CAS代理认证IOU和票证

Question

我打算使用Apero CAS v5对可能需要访问受保护的Web服务（S）的应用程序（A）进行身份验证，如下所示here

为了PGTIOU请求，以及serviceValidate到PGTIOU的映射，我们会将CAS protocol说明PGT票据转发给应用程序（A）票证被提供给pgtUrl链接（作为serviceValidate请求的参数给出）。

1. PGTIOU门票的目的是什么？它如何提高安全性？
2. 如何在here提到的验证响应中配置PGT？ 我已经尝试将我的应用程序密钥对（在to​​mcat中与cas一起部署）添加到cas/WEB-INF/classes/truststore.jks。同样也添加了java default keystore（"$JAVA_HOME"/jre/lib/security/cacerts）