Liferay 7与Alfresco 5.2集成：NTLM认证下无法连接Alfresco求助

我之前处理过好几起Liferay NTLM认证下和Alfresco集成的案例，结合你的情况，咱们从几个关键方向来排查和解决：

1. 确认Alfresco端的NTLM认证配置 #

首先得确保Alfresco本身已经正确开启了NTLM支持，并且Atom Pub服务允许NTLM凭证传递：

• 检查Alfresco的share-config-custom.xml，确认NTLM认证的相关配置已经启用，比如：

  <config evaluator="string-compare" condition="Authentication">
      <authentication>
          <allowGuestLogin>false</allowGuestLogin>
          <authenticationChain>
              <authenticationProvider>NTLM</authenticationProvider>
              <authenticationProvider>alfrescoNtlm</authenticationProvider>
          </authenticationChain>
      </authentication>
  </config>
  

• 同时要确认Alfresco的Atom Pub服务（/alfresco/api/-default-/public/cmis/versions/1.1/atom）已经配置为接受NTLM认证，在Alfresco的web.xml里检查对应的安全约束是否包含NTLM。

2. 补全Liferay端的NTLM相关配置 #

你已经设置了session.store.password=true，这是基础，但还需要补充几个关键属性到portal-ext.properties：

• 确保NTLM本身的核心配置正确：

  auth.ntlm.enabled=true
  auth.ntlm.domain=YOUR_DOMAIN_NAME
  auth.ntlm.workstation=YOUR_LIFERAY_SERVER_HOSTNAME
  

• 强制Documents and Media的Alfresco存储适配器使用NTLM认证方案：

  dl.store.alfresco.http.client.authentication.scheme=NTLM
  

• 另外，检查Liferay的Alfresco连接配置（在控制面板→文档和媒体→配置存储→Alfresco），务必勾选Use Current User Credentials，因为NTLM是基于当前登录用户的域凭证，不能用固定的用户名密码。

3. 排查凭证传递的问题 #

NTLM是挑战-响应式的认证机制，Liferay的HTTP客户端需要正确处理这种交互：

• 确认Liferay服务器已经加入到对应的域中，并且运行Liferay的服务账号有足够的权限访问Alfresco服务器
• 如果是跨域场景，需要确保NTLM的凭证可以跨服务器传递，有些环境下可能需要配置auth.ntlm.trusted.hosts属性，把Alfresco的服务器地址加入信任列表：

  auth.ntlm.trusted.hosts=ALFRESCO_SERVER_IP,ALFRESCO_SERVER_HOSTNAME
  

4. 开启调试日志定位问题 #

如果上面的配置都没问题，建议开启Liferay的调试日志来抓认证过程的细节：

• 在portal-log4j.xml里添加以下日志配置：

  <logger name="com.liferay.portlet.documentlibrary.store.alfresco">
      <level value="DEBUG" />
  </logger>
  <logger name="org.apache.http">
      <level value="DEBUG" />
  </logger>
  

• 重启Liferay后，尝试连接Alfresco，查看日志里的HTTP请求和响应，重点看是否有401 Unauthorized的响应，以及NTLM挑战的交互过程，这能帮你定位是凭证未传递还是Alfresco拒绝了凭证。

5. 备选方案：切换到Kerberos认证 #

如果NTLM的配置始终存在问题，建议考虑切换到Kerberos认证，Liferay对Kerberos的支持更稳定，尤其是在企业域环境下：

• 你需要为Liferay配置Kerberos的keytab文件，并且在Alfresco端也开启Kerberos支持，这样凭证传递会更可靠，避免NTLM的一些跨服务器限制。

内容的提问来源于stack exchange，提问作者user5936136