Удобная SSO-аутентификация в Active Directory

У меня есть веб-страница, на которую я хочу, чтобы входила только определенная группа.

Я работаю в колледже, и мы используем учетные записи Active Directory, и только определенная группа может получить доступ к этой php-странице (на сервере Apache).

Я знаю, что могу ограничить доступ с помощью некоторого PHP-кода, но я хочу добиться беспрепятственного входа в систему.

Все используют IE7 на работе (которые настроены для передачи правильных учетных данных) и должны войти в систему на компьютере (который регистрирует их в контроллере домена).

Когда пользователь зайдет на http://intranet, он автоматически войдет в систему, так как он уже вошел в свой компьютер ранее.

Если пользователь перейдет на страницу http://intranet.domain.com, ему будет предложено ввести учетные данные.

Я знаю, что мне нужно использовать kerberos для аутентификации и LDAP для авторизации.

Кто-нибудь добился успеха в бесшовной аутентификации?


php apache single-sign-on kerberos ldap
person Brad    schedule 28.09.2009    source источник

Ответы (2)


arrow_upward
4
arrow_downward

Существуют коммерческие продукты, которые предлагают это как модули Apache, см. ссылки в конце статьи Википедии на SPNEGO (например, Руководство по SPNEGO с Apache) . Я также знаю о некоторых модулях php, таких как php_krb5: PHP.html" rel="nofollow noreferrer">php_krb5 beta / согласование авторизации с помощью GSSAPI для PHP или модулей Apache, таких как mod_auth_kerb. Хотя сам я никогда ими не пользовался.

Что касается прохождения всех 9 ярдов и реализации Negotiate auth в PHP, я реализовал в своей жизни RFC 2617. в PHP для Digest HTTP-аутентификации, и я внедрил модули аутентификации Windows SSPI, но никогда не пытался реализовать RFC 4559 в PHP. В то время как часть аутентификации HTTP довольно тривиальна, непрозрачная часть GSS-API пугает, даже если в вашем распоряжении есть хорошая библиотека GSS-API для RFC 2743.

person Remus Rusanu    schedule 28.09.2009

arrow_upward
3
arrow_downward

Это связано с тем, что вам нужно добавить intranet.domain.local в зону локальной интрасети в IE. Подробнее см. в этой статье: http://www.sysadminlab.net/other/local-intranet-zone-in-ie8-exaplained-for-sysadmins

person Jonas B    schedule 22.06.2010