配置Apache Solr Kerberos身份认证插件相关问题咨询

我需要在不修改现有C#调用Apache Solr代码的前提下为Solr配置身份认证，可选基础认证和Kerberos认证，但基础认证需修改调用代码添加登录信息，因此倾向选择Kerberos。目前已了解需配置包含可访问主体列表的keytab文件，并在KDC中设置权限，我的架构为Web API与Solr分属不同服务器，现针对以下疑问解答：

疑问1：是否无需手动Kerberos登录？只要KDC包含Web API服务器、Solr服务器及Web API服务账户，服务器间就能自动完成票据申请、授权等交互？ #

是的，只要KDC中正确配置了Web API服务器、Solr服务器以及Web API的服务账户，且两台服务器完成了Kerberos的基础配置（比如正确配置krb5.ini/krb5.conf，绑定对应的keytab文件），服务器之间会自动完成票据申请、验证与授权流程，完全不需要手动执行登录操作。Web API的服务账户会以本地服务身份自动向KDC请求访问票据，随后用该票据访问Solr服务，整个过程对应用层代码完全透明。

疑问2：是否无需修改现有HTTP调用？ #

没错，只要Kerberos配置全部正确，现有C#的HTTP调用代码不需要做任何修改。Kerberos的身份验证是在HTTP传输层通过SPNEGO协议完成的，.NET自带的HttpClient或你当前使用的HTTP客户端会自动识别Solr的Kerberos认证要求，自动使用服务账户的Kerberos票据完成认证，不需要在代码里手动添加认证头或登录逻辑。

疑问3：是否无需使用安全证书？ #

是的，Kerberos认证本身不需要依赖SSL/TLS安全证书。Kerberos通过自身的票据加密机制保证身份验证的安全性，不过如果你的Solr传输需要对数据本身进行加密，仍可单独配置SSL/TLS，但这属于传输加密范畴，和Kerberos的身份认证功能无关——Kerberos只负责身份验证，不需要证书支撑。

内容的提问来源于stack exchange，提问作者Rick Hodder