以 Kerberos 与 SPNego 打造 ABAP 平台 Web SSO 的完整实践指南

面向 SAP ABAP 平台的企业级 Single Sign-On，为什么大多数团队会选择基于 Kerberos 的 SPNego？这篇文章把原理、架构、配置步骤、故障排查与最佳实践揉成一篇可落地的中文技术长文，给出可以直接在项目里复用的流程与清单。

---

一、背景与总体思路

Kerberos 是一种起源于 MIT 的网络认证协议，目标是在不安全的网络中，让通信双方能安全地证明彼此身份，避免口令在网络中明文传播，并通过票据与会话密钥抵御窃听与重放攻击。它的核心组件是 KDC（Key Distribution Center），在 Windows 域里由域控制器提供，利用 Active Directory 作为账号数据库，负责签发 TGT 与服务票据，并内置 AS 与 TGS 两大子服务，用于完成认证与票据签发全过程。(