我一直在考虑mod_auth_kerb在我们的内部 Web 服务器上部署以启用 SSO。我能看到的一个明显问题是，它是一种要么全有要么全无的方法，要么您的所有域用户都可以访问某个站点，要么不能。
是否有可能结合起来mod_auth_kerb的东西，如mod_authnz_ldap在特定的组中LDAP检查组成员？我猜这个KrbAuthoritative选项会与此有关吗？
此外，据我所知，该模块将用户名设置为username@REALM经过身份验证，但当然在目录中，用户仅存储为用户名。此外，我们运行的一些内部站点（例如 trac）已经有一个链接到每个用户名的用户配置文件。有没有办法解决这个问题，也许是通过在身份验证后以某种方式剥离领域位？