SASL и gssapi в основном решают одну и ту же проблему по-разному. Оба являются способом найти лучший общий метод аутентификации для использования между двумя системами.
Так что нет, gssapi не используется под капотом в SASL, если вы не используете что-то вроде RFC4752
Да, вы можете использовать gssapi без SASL, например, это может быть типичная машина linux, которая входит в домен Windows AD через провайдеров kerberos / gssapi.
Все зависит от того, какие сценарии аутентификации вам нужно реализовать, и SASL, и gssapi имеют свои применения. GSSAPI чаще всего используется с системой Kerberos.