ユーザーまたはサービス・プリンシパル名のレルムがデフォルト・レルムの場合は(Kerberos要件を参照)、Kerberosにログインする際、ユーザー名を求めるプロンプトが表示された時点で、レルムを指定しないことも可能です。このため、たとえばユーザー名がmjones@KRBNT-OPERATIONS.EXAMPLE.COMで、SampleClientを実行する場合、ユーザー名が要求されたら、レルムを省略して単にmjonesと指定できます。名前はKerberosプリンシパル名のコンテキストで解釈され、必要に応じてデフォルトのレルムが付けられます。

GSSManagerのcreateNameメソッドにより、プリンシパル名がGSSNameに変換される場合にも、レルムの指定を省略できます。たとえば、SampleClientの実行時に、引数の1つにサーバー・サービス・プリンシパル名を指定します。この場合、SampleClientが名前をcreateNameメソッドなどに渡し、このメソッドが必要に応じてデフォルトのレルムを追加するため、名前を指定する際にレルムを省略できます。

プリンシパル名をログイン構成ファイルおよびポリシー・ファイルで使用する場合は、常にレルムを含めて名前を指定することをお薦めします。理由は、これらのファイルのパーサーの動作が実装に依存しないため、プリンシパル名の使用前にデフォルトのレルムが追加される場合と、追加されない場合があるためです。名前にレルムが指定されていない場合、以降のアクションは失敗します。

grant codebase "file:./Login.jar" {
   permission java.security.AllPermission;
};

permission java.net.SocketPermission "*", "connect";

  grant CodeBase "file:./SampleClient.jar", 
    Principal javax.security.auth.kerberos.KerberosPrincipal 
        "your_user_name@your_realm" {

    permission java.net.SocketPermission "*", "connect";

    permission javax.security.auth.kerberos.ServicePermission
        "krbtgt/your_realm@your_realm", 
        "initiate";

    permission javax.security.auth.kerberos.ServicePermission
        "service_principal@your_realm", 
        "initiate";
};

grant CodeBase "file:./SampleClient.jar", 
    Principal javax.security.auth.kerberos.KerberosPrincipal 
        "mjones@KRBNT-OPERATIONS.EXAMPLE.COM" {

    permission java.net.SocketPermission "*", "connect";

    permission javax.security.auth.kerberos.ServicePermission
        "krbtgt/KRBNT-OPERATIONS.EXAMPLE.COM@KRBNT-OPERATIONS.EXAMPLE.COM", 
        "initiate";

    permission javax.security.auth.kerberos.ServicePermission
        "sample/raven.example.com@KRBNT-OPERATIONS.EXAMPLE.COM", 
        "initiate";
};

SampleServerの実行準備では、次の操作を行います。

1. 次のファイルを、SampleServerを実行するマシンからアクセス可能なディレクトリにコピーします。
   • Login.javaソース・ファイル。
   • SampleServer.javaソース・ファイル。
   • csLogin.confログイン構成ファイル。
   • server.policyポリシー・ファイル。
2. csLogin.confのservice_principal@your_realmを、SampleServerを表すサービス・プリンシパルの名前で置き換えます(Kerberosユーザー名およびサービス・プリンシパル名を参照)。
3. 表示される両方の場所で、server.policyのservice_principal@your_realmを、SampleServerを表すサービス・プリンシパルのKerberos名で置き換えてください。これは、ログイン構成ファイルで使用する名前と同じ名前です。
4. Login.javaとSampleServer.javaをコンパイルします。

   javac Login.java SampleServer.java
   

   Login.javaには2つのクラスが含まれるため、Login.javaをコンパイルするとLogin.classおよびMyAction.classが生成されます。

5. Login.class and MyAction.classを含むLogin.jarという名前のJARファイルを作成します。

   jar -cvf Login.jar Login.class MyAction.class
   

6. SampleServer.classを含むSampleServer.jarという名前のJARファイルを作成します。

   jar -cvf SampleServer.jar SampleServer.class
   

SampleClientの実行準備では、次の操作を行います。

1. 次のファイルを、SampleClientを実行するマシンからアクセス可能なディレクトリにコピーします。
   • Login.javaソース・ファイル。
   • SampleClient.javaソース・ファイル。
   • csLogin.confログイン構成ファイル。
   • client.policyポリシー・ファイル。
2. client.policyの各部を置き換えます。
   • your_user_name@your_realmを、実際のユーザー名およびレルムで置き換えます。
   • krbtgt/your_realm@your_realmのyour_realmを、実際のレルムで置き換えます。
   • service_principal@your_realmを、SampleServerを表すサービス・プリンシパルのKerberos名で置き換えます(Kerberosユーザー名およびサービス・プリンシパル名を参照)。
3. Login.javaとSampleClient.javaをコンパイルします。

   javac Login.java SampleClient.java
   

4. Login.class and MyAction.classを含むLogin.jarという名前のJARファイルを作成します。

   jar -cvf Login.jar Login.class MyAction.class
   

5. SampleClient.classを含むSampleClient.jarという名前のJARファイルを作成します。

   jar -cvf SampleClient.jar SampleClient.class
   

SampleClientを実行する前に、必ずSampleServerを実行してください。SampleClientはSampleServerへのソケット接続を試みるため、SampleServerが稼動していないとソケット接続が受け付けられず、失敗します。

SampleServerを実行する場合、SampleServerを稼動する予定のマシンで実行してください。このマシン名(ホスト名)は、SampleClientの引数として指定します。サービス・プリンシパル名は、ログイン構成ファイルやポリシー・ファイルなど、いくつかの場所に表示されます。

SampleServerの実行用に準備したディレクトリに移動します。次を指定して、Loginクラスを実行します。

• 適切な-classpath節(Login.jarおよびSampleServer.jar JARファイル内のクラスを検索するため)。
• -Djava.security.manager。セキュリティ・マネージャのインストールを指定します。

  警告:

  セキュリティ・マネージャおよびそれに関連するAPIは非推奨であり、今後のリリースでは削除されます。セキュリティ・マネージャの代わりとなるものはありません。詳細および代替手段については、JEP 411を参照してください。
• -Djava.security.krb5.realm=<your_realm> (使用するKerberosレルム)。たとえば、レルムがKRBNT-OPERATIONS.EXAMPLE.COMの場合、-Djava.security.krb5.realm=KRBNT-OPERATIONS.EXAMPLE.COMのように指定します。
• -Djava.security.krb5.kdc=<your_kdc> (使用するKerberos KDC)。たとえば、KDCがsamplekdc.example.comの場合、-Djava.security.krb5.kdc=samplekdc.example.comのように指定します。
• -Djava.security.policy=server.policy。使用するポリシー・ファイルとしてserver.policyを指定します。
• -Djava.security.auth.login.config=csLogin.conf。使用するログイン構成ファイルとしてcsLogin.confを指定します。

Loginの引数として、アプリケーションの名前(ここではSampleServer)を渡します。次に、アプリケーションに必要なすべての引数を追加します。SampleServerの場合、クライアント接続の待機に使用するポート番号を指定する単一の引数です。通常は使用しない大きなポート番号であれば、どの番号でも選択できます。(例、4444)。

次に、Windows、LinuxおよびmacOSで使用する完全なコマンドを示します。クラス・パス項目の区切りとして、LinuxおよびmacOSではコロンを使用するのに対し、Windowsではセミコロンを使用する点のみが異なります。

次に、Windowsのコマンドを示します。

java -classpath Login.jar;SampleServer.jar 
 -Djava.security.manager 
 -Djava.security.krb5.realm=<your_realm> 
 -Djava.security.krb5.kdc=<your_kdc> 
 -Djava.security.policy=server.policy 
 -Djava.security.auth.login.config=csLogin.conf 
 Login SampleServer <port_number>

次に、LinuxおよびmacOSのコマンドを示します。

java -classpath Login.jar:SampleServer.jar 
 -Djava.security.manager 
 -Djava.security.krb5.realm=<your_realm>
 -Djava.security.krb5.kdc=<your_kdc> 
 -Djava.security.policy=server.policy 
 -Djava.security.auth.login.config=csLogin.conf 
 Login SampleServer <port_number>

コマンド全体を1行で入力してください。ここでは、読みやすくするために複数行に分けて表示してあります。システムに対しコマンドが長すぎる場合は、.batファイル(Windowsの場合)または.shファイル(LinuxおよびmacOSの場合)に記述し、そのファイルを実行して、コマンドを実行する必要がある場合があります。

サービス・プリンシパルのKerberosパスワードの入力が求められます。ログイン構成ファイルで指定された基盤となるKerberos認証メカニズムにより、サービス・プリンシパルのKerberosへのログインが行われます。認証が成功すると、SampleServerのコードがサービス・プリンシパルに代わって実行されます。このコードは、指定されたポート上でソケット接続を待機します。

ログイン時のトラブルシューティングについては、「トラブルシューティング」を参照してください。

SampleClientを実行するため、SampleClientの実行準備を行ったディレクトリに移動します。次に、次を指定して、Loginクラスを実行します。

• 適切な-classpath節(Login.jarおよびSampleClient.jar JARファイル内のクラスを検索するため)。
• -Djava.security.manager。セキュリティ・マネージャのインストールを指定します。

  警告:

  セキュリティ・マネージャおよびそれに関連するAPIは非推奨であり、今後のリリースでは削除されます。セキュリティ・マネージャの代わりとなるものはありません。詳細および代替手段については、JEP 411を参照してください。
• -Djava.security.krb5.realm=<your_realm> (使用するKerberosレルム)。
• -Djava.security.krb5.kdc=<your_kdc> (使用するKerberos KDC)。
• -Djava.security.policy=client.policy。使用するポリシー・ファイルとしてclient.policyを指定します。
• -Djava.security.auth.login.config=csLogin.conf。使用するログイン構成ファイルとしてcsLogin.confを指定します。

Loginに、アプリケーションの名前(SampleClient)、その後SampleClientに必要な引数を渡します。SampleClientの引数は、(1) SampleServerを表すサービス・プリンシパルのKerberos名(Kerberosユーザー名およびサービス・プリンシパル名を参照)、(2) SampleServerを実行するホスト(マシン)の名前、(3) SampleServerがクライアント接続を待機するポート番号です。

次に、Windows、LinuxおよびmacOSで使用する完全なコマンドを示します。

次に、Windowsのコマンドを示します。

java -classpath Login.jar;SampleClient.jar 
 -Djava.security.manager 
 -Djava.security.krb5.realm=<your_realm> 
 -Djava.security.krb5.kdc=<your_kdc> 
 -Djava.security.policy=client.policy 
 -Djava.security.auth.login.config=csLogin.conf 
 Login SampleClient <service_principal> <host> <port_number>

次に、LinuxおよびmacOSのコマンドを示します。

java -classpath Login.jar:SampleClient.jar 
 -Djava.security.manager 
 -Djava.security.krb5.realm=<your_realm> 
 -Djava.security.krb5.kdc=<your_realm> 
 -Djava.security.policy=client.policy 
 -Djava.security.auth.login.config=csLogin.conf 
 Login SampleClient <service_principal> <host> <port_number>

コマンド全体を1行で入力してください。ここでは、読みやすくするために複数行に分けて表示してあります。SampleServerを実行するコマンドと同様、コマンド・ウィンドウに直接入力するにはコマンドが長すぎる場合、.batファイル(Windowsの場合)または.shファイル(LinuxおよびmacOSの場合)に記述して、そのファイルを実行してください。

入力が求められたら、Kerberosユーザー名およびパスワードを入力します。ログイン構成ファイルで指定された基盤となるKerberos認証メカニズムにより、Kerberosへのログインが行われます。認証が成功すると、SampleClientのコードがユーザーに代わって実行されます。このコードは、SampleServerとのソケット接続を要求します。SampleServerが接続を受け付けると、SampleClientおよびSampleServerにより、このチュートリアルで解説した方法で、共有コンテキストの確立およびメッセージの交換が行われます。

ログイン時のトラブルシューティングについては、「トラブルシューティング」を参照してください。