Как я могу взаимодействовать с сервером Kerberos из моего собственного приложения

Question

В моей сети есть сервер kerberos для аутентификации по имени пользователя и паролю. На машинах, на которых запущено мое приложение, работают клиенты Kerberos, поэтому пользователи могут использовать kinit и т. Д.

Как мне взаимодействовать с сервером программно, из моих собственных приложений? Предпочтительным языком для примера является C.

Я хочу, чтобы пользователи моего приложения проходили аутентификацию на сервере Kerberos перед доступом к определенным функциям. Я ожидаю, что мне придется спросить их имя пользователя и пароль - возможно, kinit не был вызван.

Машины, на которых установлены приложения, работают под управлением OS X и Debian / Linux.

Я полагаю, что ответ вполне может касаться GSSAPI. Если да, есть ли хорошие уроки для этого?

Answer 1

Sun описывает это в своей книге Руководство по безопасности Solaris для разработчиков . Возможно, вам особенно пригодится Приложение A - Примеры программ GSSAPI на основе C и Глава 5. Пример клиента GSS-API .

Answer 2

Посмотрите на Heimdal, у них есть обширный API Kerberos, и на сайте ниже есть отличная установка doxygen, описывающая API.

http://www.h5l.org

Answer 3

GSSAPI - действительно рекомендуемый подход, но точные детали будут зависеть от вашей языковой среды и от того, требуется ли вам взаимодействие с Windows. Ваш провайдер Kerberos Windows или что-то еще?

В Windows Kerberos - это собственный протокол, поддерживаемый ОС, и многие высокоуровневые API Win32 предоставят его бесплатно. Взаимодействие с сервером Kerberos, отличным от Windows, возможно, но не тривиально.

В UNIX вам может понадобиться сначала установить поддержку клиента Kerberos и заставить ее работать, но если в вашей сети уже есть сервер Kerberos, возможно, это уже сделано для вас.

Windows включает в себя реализацию GSSAPI, как и Java, и большинство версий UNIX имеют реализацию. Я считаю, что дополнения GSSAPI доступны и для PHP.

Если вы можете добавить больше информации о ваших требованиях, я могу немного подтвердить этот ответ.