如何为需Kerberos认证的JNDI数据源指定专用用户？

场景背景 #

• 用户通过用户名和密码（非Kerberos方式）连接JDV
• JNDI数据源配置为使用域安全
• 该JNDI数据源需支持使用Kerberos认证的不同用户

问题解答 #

针对这个场景，核心思路是通过安全域（security-domain）承接Kerberos的认证逻辑，不需要在数据源配置里直接硬编码具体的Kerberos用户，而是让提前配置好的安全域来处理用户身份验证的全流程。

核心配置要点 #

• 必须开启数据源的allow-multiple-users属性，这是支持不同Kerberos用户复用同一数据源池的前提
• 在数据源的<security>节点中指定对应的Kerberos安全域，这个安全域需要预先配置好Kerberos相关的认证模块（比如JAAS配置、密钥表路径、KDC地址等）

示例配置解析 #

你给出的示例已经是标准的正确配置，我帮你拆解下关键部分：

<datasource jndi-name="java:/K_MYSQL" pool-name="K_MYSQL" enabled="true">
  <connection-url>jdbc:mysql://localhost/k_test</connection-url>
  <driver>mysql</driver>
  <pool>
    <allow-multiple-users>true</allow-multiple-users>
  </pool>
  <security>
    <security-domain>FUNKE.HK</security-domain>
  </security>
</datasource>

• <allow-multiple-users>true</allow-multiple-users>：开启多用户支持，确保不同身份的Kerberos用户都能使用这个数据源池
• <security-domain>FUNKE.HK</security-domain>：这里指定的安全域是提前配置完成的Kerberos安全域，它会负责与KDC交互、验证用户的Kerberos凭证、获取数据库连接所需的身份信息，数据源本身不需要单独定义用户，用户身份会通过安全域自动传递

总结来说：数据源本身不需要直接定义Kerberos用户，只需要关联正确的Kerberos安全域，并开启多用户支持即可，所有Kerberos认证逻辑都由安全域来处理。

内容的提问来源于stack exchange，提问作者Norbert Funke