我需要编写一个java程序来连接到HTTPS服务器(DoD网站).该网站需要CAC(DoD通用访问卡)身份验证.如果您通过浏览器访问此站点,则先插入CAC,然后输入PIN.
我需要在java中以编程方式完成身份验证过程(有点像浏览器).如何从CAC检索信息？我一直在谷歌上搜索Java PKCS#11参考指南.看起来像Sun PKCS#11 Provider可以做到这一点,但您需要本机PKCS#11令牌实现.
我对吗？有没有人这样做过？任何建议或评论将不胜感激.
我对试图确定 CAC/Active Directory(AD) 身份验证在基于 Java 的 Web 应用程序中发挥作用的位置感到相当困惑。以多个 Weblogic 容器上托管的多个 J2E JSF 应用程序为例。这些应用程序中的每一个都通过检查用户所处的 AD 角色来限制用户的访问。如果所有这些应用程序都需要 CAC/AD 身份验证，那么在什么阶段执行 CAC/AD 身份验证？
据我了解，理想情况下，您需要一个与执行身份验证的应用程序分开的网关。一个简单的例子是 F5 硬件/软件捆绑包。一旦用户使用其 CAC/pin 组合进行身份验证，它们就会被转发到 Weblogic 上部署的应用程序，并在其标头中包含一些附加信息（如前面提到的 AD 角色）。我并不是说我应该购买它，因为没有可编程解决方案，而是作为一个例子，身份验证和使用的资源是两个独立的实体，并且不必针对此问题将其组合起来。
然而，在实践中，我了解到许多项目正在结合 Microsoft 和 Apache 服务来允许身份验证。这是一篇很好的博客文章，概述了一些好处。一旦用户通过 IIS 身份验证，他们就会被转发到 apache 上的应用程序。无论如何，混合使用 IIS 和 Weblogic 似乎是一个坏主意，尤其是在尝试配置两个节点之间的通信时。
堆栈和网络上也有许多可以追溯到 2012 年之前的帖子，其中推荐了不同的解决方案。一篇文章建议如下：
当服务器验证客户端证书时，您可以指定一组可接受的证书策略
虽然答案总体上是有道理的，但作者从未深入探讨进行这种交流的架构细节。其他一些帖子推荐JOSSO来执行 SSO 功能，如前面提到的网关机制。这篇文章还讨论了使用PKCS11通过使用制造商提供的驱动程序直接读取智能卡。还有一些问题没有答案，例如Authenticating AD server user using DOD Issued CAC in java。
考虑到其中一些帖子的平均间隔时间为 5 年，我不确定今天解决此问题的最佳实践是什么。网关方法是进行身份验证的理想方法吗？我的想法根本不适用并且存在更好的解决方案吗？