存档通知

Calendar and Contacts Server及其相关项目的开发人员已各自转向其他事物。现在是正式归档该项目的时候了。感谢所有用户和贡献者。如果您希望继续维护该项目，请随时分叉。

PyKerberos包

这个Python包是Kerberos（GSSAPI）操作的高级封装。目标是避免构建一个包装整个Kerberos框架的模块，而是提供一组有限的函数，完成基于http://www.ietf.org/rfc/rfc4559.txt的客户端/服务器Kerberos认证所需的功能。

这里的大部分C代码改编自Apache的mod_auth_kerb-5.0rc7。

构建

在此目录中运行：

python setup.py build

测试

要运行tests文件夹中的测试，测试机器上必须有有效的Kerberos设置。您可以使用.travis.sh脚本作为快速简便的方法来设置Kerberos KDC和可用于测试的Apache Web端点。或者，您也可以运行以下命令来运行一个独立的Docker容器：

docker run \
-v $(pwd):/app \
-w /app \
-e PYENV=2.7.13 \
-e KERBEROS_USERNAME=administrator \
-e KERBEROS_PASSWORD=Password01 \
-e KERBEROS_REALM=example.com \
-e KERBEROS_PORT=80 \
ubuntu:16.04 \
/bin/bash .travis.sh

Docker命令需要在该库所在的同一目录中运行，您可以通过更改命令中设置的PYENV环境变量的值来使用不同的Python版本进行测试。

更多信息请查看testing_notes.md。

重要提示

本库提供的checkPassword方法仅用于测试目的，因为它不提供任何针对可能的KDC欺骗的保护。该方法不应在任何生产代码中使用。

通道绑定

您可以使用此库进行支持通道绑定的认证。通道绑定是标识用于认证的特定数据通道的标签。您可以使用通道绑定来提供更多有效身份的证明。像Microsoft的扩展保护这样的服务可以在授权时强制执行通道绑定支持，您可以使用此库来满足这些要求。

有关通过GSSAPI设置的通道绑定的更多详细信息，请参见https://docs.oracle.com/cd/E19455-01/806-3814/overview-52/index.html。以TLS为例，这是如何将通道绑定支持添加到您的认证机制中。以下代码片段基于RFC5929 https://tools.ietf.org/html/rfc5929，使用'tls-server-endpoint-point'类型。

import hashlib

def get_channel_bindings_application_data(socket):
    # 这是一个高度简化的示例，在其他用例中，
    # 您可能需要使用不同的哈希类型或以某种方式获取套接字对象。
    server_certificate = socket.getpeercert(True)
    certificate_hash = hashlib.sha256(server_certificate).hexdigest().upper()
    certificate_digest = base64.b16decode(certificate_hash)
    application_data = b'tls-server-end-point:%s' % certificate_digest

    return application_data

def main():
    # 代码用于设置与服务器的套接字
    # 大量代码用于设置握手并开始认证过程
    socket = getsocketsomehow()

    # 连接到主机并开始认证过程

    # 构建通道绑定对象
    application_data = get_channel_bindings_application_data(socket)
    channel_bindings = kerberos.channelBindings(application_data=application_data)

    # 更多工作以获取服务器的响应

    result, context = kerberos.authGSSClientInit(kerb_spn, gssflags=gssflags, principal=principal)

    # 传递通过kerberos.channelBindings方法创建的channel_bindings对象
    result = kerberos.authGSSClientStep(context, neg_resp_value, channel_bindings=channel_bindings)

    # 根据需要重复