我有一个web应用程序，它使用keydove/openid connect对windows广告的用户进行身份验证。
用户将不会在windows ad域中的工作站上使用浏览器。
web应用服务器（带有key斗篷适配器的tomcat）正在windows ad域中运行。
该web应用程序配置为keydepot/openid connect。key斗篷领域配置为使用windows ad kerberos/ldap。
用户浏览器将转发到keydrope登录，并在成功登录后转发回web应用。
web应用程序需要使用kerberos票证/gss凭据连接到ibm i。ibm i是使用windows ad为sso/eim配置的。它可以工作。
我为gss凭证转发配置了keydepot客户端。
我尝试使用key斗篷客户机从servlet请求获取gss凭证

// Obtain accessToken in your application.
        KeycloakPrincipal<KeycloakSecurityContext> kcp = (KeycloakPrincipal<KeycloakSecurityContext>)request.getUserPrincipal();
        AccessToken at = kcp.getKeycloakSecurityContext().getToken();
        String username = at.getPreferredUsername();
        wtr.append("Windows User: ").append(username).append(newLine);

        // Retrieve kerberos credential from accessToken and deserialize it

        Map<String, Object> otherClaims = at.getOtherClaims();
        Object otherClaim = otherClaims.get(KerberosConstants.GSS_DELEGATION_CREDENTIAL);
        String serializedGSSCred = (String) otherClaim;
        GSSCredential gssCredential = KerberosSerializationUtils.deserializeCredential(serializedGSSCred);

“OtherClaimes”Map为空。所以反序列化会抛出一个空指针异常和消息

org.keycloak.common.util.KerberosSerializationUtils$KerberosSerializationException: Null credential given as input. Did you enable kerberos credential delegation for your web browser and mapping of gss credential to access token?, Java version: 1.8.0_152, runtime version: 1.8.0_152-b16, vendor: Oracle Corporation, os: 6.2
at org.keycloak.common.util.KerberosSerializationUtils.deserializeCredential(KerberosSerializationUtils.java:70)

我错过了什么？