通过 Internet 代理 Kerberos Web 服务安全
是否可以对 Internet 上的 Web 服务使用代理 Kerberos 身份验证？ 我正在研究已具有 Active Directory 的环境的 Web 服务安全性。 由于现有的架构，Web 服务将非常繁琐，我无法控制该架构。 执行一项业务流程最多可能需要 6 个 Web 服务调用。
人们担心多次身份验证以及由此产生的开销。 从我对代理 kerberos 身份验证的最初阅读来看，一旦提供了用户凭据，就会返回 Kerberos 安全令牌，并且每个 Web 服务调用都不需要身份验证。
我正在设想一个系统，其中用户凭据通过 Web 服务调用传递到 Active Directory，并返回 Kerberos 令牌。 然后，该令牌将用于所有后续 Web 服务调用。
这是可能的还是我正在偏离正题？ 如果我要偏离正题，是否有首选方法？ 我已经阅读完 Microsoft Web Service Security: Scenarios, Patterns and Implement Guidance for WSE 3.0，但仍然有点不清楚。
Is it possible to use Brokered Kerberos Authentication for web services over the Internet? I'm looking at web services security for an environment which already has Active Directory. Due to the existing architecture the web services will be quite chatty and I have no control over this architecture. It may take up to 6 web service calls to perform one business process .
There is concern over authenticating multiple times and the overhead this will incur. From my initial reading of brokered kerberos authentication, once the user credentials are provided then a Kerberos security token will be returned and authentication is not required for each web service call.
I'm envisaging a system where the user credentials are passed to Active Directory via a web service call and the Kerberos token is returned. This token is then used for all subsequent web service calls.
Is this possible or am I heading off on a tangent? If I am heading off on a tangent is there a preferred approach for this? I've finished reading the Microsoft Web Service Security: Scenarios, Patterns and Implementation Guidance for WSE 3.0 and still a little unclear.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
考虑利用 SAML 协议作为通过 WS-Security 交换断言的方式。
Consider leveraging the SAML protocol as a way to exchange assertions via WS-Security.