在 Java 或命令行工具中，有没有办法使用本机 SSPI API 获取服务的 Kerberos 票证？
我想在Java中实现使用Kerberos的单一登录，并已成功设法使用Windows登录中的票证为服务创建票证。不幸的是，我只能在注册表项“allowtgtsessionkey”启用时创建该票证。我收到一个异常，其中包含消息“标识符与预期值 （906）不匹配”，只要我禁用它。注册表项记录在 http://java.sun.com/j2se/1.5.0/docs/guide/security/jgss/tutorials/Troubleshooting.html 和 http://support.microsoft.com/kb/308339 上。
不幸的是，我无法访问将使用我的应用程序的计算机上的注册表，因此我正在寻找一种方法来执行此操作，而无需对其进行修改。当我在Internet Explorer或Mozilla Firefox中通过SPNEGO进行单点登录时，他们会在我的票证缓存中创建一个服务票证，因此肯定必须有一种方法可以在不设置注册表项的情况下执行此操作。有没有人知道如何在Java中做到这一点？
感谢您的帮助，梅明格
更新：我放弃了这个问题。Windows 注册表项阻止访问票证缓存中的票证（更准确地说：主题）。Windows上的Java使用自己的GSSAPI实现，我认为需要访问票证才能创建服务票证。不过，SSPI Windows API 具有对票证缓存的完全访问权限，因此可以创建服务票证。此 API 由 Web 浏览器使用，但未被 Java 使用（根据 http://java.sun.com/developer/technicalArticles/J2SE/security/#3）。当我在访问一个网页一次后在Firefox中禁用SSPI时（因此已经创建了一个服务票证），我仍然可以访问该页面，所以也许命令行实用程序就足够了，可以使用SPPI API创建服务票证。
对于我们来说，这意味着现在我们可以放弃单一登录（这对我们来说是不可接受的），或者我们在应用程序的客户端进行身份验证（因为我们只能读出用户名，但不能验证服务器上的票证），这是一个主要的安全风险。另一个例子是，更强的安全约束如何导致更大的安全漏洞，因为它们变得太复杂而无法使用。
