Kerberos身份验证，服务主机和对KDC的访问

我有一个Web应用程序（主机名：service.domain.com），并且希望使用Kerberos身份验证来识别登录到Windows域的用户。Microsoft AD（Windows Server 2008 R2）提供Kerberos服务。

该服务是一个Java Web应用程序，使用Spring Security Kerberos扩展库来实现SPNEGO / Kerberos协议。我在AD中创建了一个密钥表文件，其中包含一个共享密钥，该密钥应足以验证客户端浏览器使用Web应用程序发送的Kerberos票证。

我的问题是，服务主机（service.domain.com）是否需要具有对KDC（kdc.domain.com）的防火墙访问权限（TCP / UDP 88），或者密钥表文件足以使服务主机能够解密Kerberos票证并提供身份验证？

该服务永远不需要与KDC交谈。它需要KDC生成的密钥表，但您可以通过任何方式进行复制。他们再也不必互相交谈。

我认为发生的事情的过度简化版本或多或少是这样的：

设置服务

• KDC会生成一个服务密钥表（如果您愿意，它就像一个秘密密钥/密码）
• 该密钥表以某种方式提供给服务（scp或根据需要在USB记忆棒上携带）

客户端连接到服务

• 客户请求服务票证从KDC
• KDC生成服务票证，其中包含一些只能由服务密钥表解密的信息（这是位于服务器上的文件）
• 客户将其服务票发送到服务
• 该服务使用其密钥表来验证车票（无需网络通信）