Apache shiro身份验证,授权和带Active Directory的SSO

我是一个关于网络安全概念的完全新手,我有一个预先设想的概念,即保护应用程序是非常困难的.

看一下关于Apache shiro的视频,我感觉安全的复杂性都是以一个漂亮,简单,统一的API的形式抽象出来的.

我正在尝试编写一个安全层,负责基础SOAP Web服务的授权和SSO.

权限将全部来自LDAP(OpenDS),它将保留在我这边(即非外部),因为它们反映了我系统上可用的一系列功能.

我要求客户端可以在Active Directory(外部)中进行用户管理,一旦他们登录到AD(可能是他们的Windows登录),他们应该自动进行身份验证,以便能够使用我的服务.

然后我将检查用户是否拥有使用特定服务的正确授权.

这实际上意味着,身份验证是在外部完成的,但就我的边界而言,授权是在内部完成的.但我的安全层必须了解用户已经过身份验证并知道用户是谁.

这可以在Shiro实现吗？任何指针都会有很大的帮助.