Einrichten von Kerberos/NTLM SSO mit Apache unter Windows

Übersicht

Schritt-für-Schritt-Anleitung zur Einrichtung Kerberos-Authentifizierung unter Windows mit Apache. Erfahren Sie, wie Sie Kerberos für eine sichere und nahtlose Benutzerauthentifizierung konfigurieren, einschließlich der Ersteinrichtung, Einstellungen, Browserkonfigurationen.

SSO mit Apache auf Windows XAMPP Server:

• Öffnen Sie die Eingabeaufforderung in Administratormodus.
• Führen Sie den folgenden Befehl aus, um hinzuzufügen Dienstprinzipalname (SPN) für das Dienstkonto.
Setspn -s http/<computer-name>.<domain-name> <domain-user-account>


Ejemplo: C:\Benutzer\Administrator> setspn -S HTTP/Maschinenname.domain.com service_account





Hinweis:„machinename.domain.com“ ist hier der Computername. Stellen Sie sicher, dass es auf dem Windows-Server auflösbar ist, auf dem der AD-Dienst ausgeführt wird.



• Überprüfen Sie, ob dies richtig eingestellt wurde, indem Sie den folgenden Befehl ausführen:
setspn -l domain\service_account

• Das Ergebnis sollte aufgelistet sein http/maschinenname.domain.com
• Öffnen Sie Active Directory-Benutzer und -Computer und wählen Sie im oberen Menü die Option aus Ansicht >> Erweiterte Funktionen.
• Öffnen Sie das Dienstkonto und gehen Sie zu Attributeditor Navigieren Sie zur Registerkarte „ servicePrincipalName um die zu überprüfen SPN-Eintrag.
• Navigieren Sie zu der Delegation Tab.
• Auswählen Vertrauen Sie diesem Benutzer für die Delegierung an einen beliebigen Dienst (nur Kerberos)..

• Klicke Tragen Sie.
• Mehr Info um das Apache-Modul herunterzuladen.
• Kopieren Sie die mod_authnz_sspi.so von Apache24 > Module Ordner und legen Sie es im Verzeichnis „modules“ (C:\xampp\apache\modules) ab.
• Kopieren Sie die sspipkgs.exe Datei von Apache24 -> bin Ordner und platzieren Sie ihn im bin-Ordner Ihres Xampp-Apache-Ordners (.....\xampp\apache\bin) auf Ihrem Webserver.
• Öffnen Sie httpd.conf (...\xampp\apache\conf) und platzieren Sie die folgende Codezeile im Abschnitt LoadModule.
LoadModule authnz_sspi_module modules/mod_authnz_sspi.so

• Stellen Sie sicher, dass die folgenden Module unkommentiert sind:
LoadModule authn_core_module modules/mod_authn_core.so
LoadModule authz_core_module modules/mod_authz_core.so

• Stellen Sie auch sicher LDAP-Erweiterung aktivieren.
• Öffnen Sie die Datei httpd.conf unter (....\xampp\apache\conf\httpd.conf).
  Gehen Sie zu und fügen Sie die folgenden Zeilen nach #Require all grants ein.
<Directory "...../xampp/htdocs">
......
......
#Require all granted
AllowOverride None Options None
AuthType SSPI
SSPIAuth On
SSPIAuthoritative On
Require valid-user
</Directory>

• Starten Sie neu Apache-Server.

Konfigurieren Sie Browser für Kerberos SSO:

Allgemeine Kerberos SSO-Konfiguration für alle Browser:

• Gehen Sie zur Systemsteuerung und klicken Sie auf Netzwerk und Internet >> Internetoptionen.
• Dadurch wird ein Internet-Eigenschaftenfenster geöffnet. Klicke auf Sicherheit >> Lokales Intranet >> Sites.

• Danach klicken Sie auf die Schaltfläche Erweiterte Schaltfläche.

• Im Fügen Sie diese Website zur Zone hinzu Fügen Sie im Abschnitt die Website-URL hinzu, auf der Sie sich mit SSO anmelden möchten.

• Klicke Extras > Internetoptionen > Sicherheit > Lokales Intranet > Stufe anpassen.
• Scrollen Sie nach unten zu den Benutzerauthentifizierungsoptionen und wählen Sie aus Automatische Anmeldung nur in der Intranet-Zone.

• Klicken Sie auf Ok Klicken Sie auf die Schaltfläche und starten Sie dann Ihren Browser neu.

Sobald Sie mit den oben genannten Einstellungen fertig sind, müssen Sie die Browsereinstellungen für Internet Explorer, Google Chrome und Apple Safari nicht mehr konfigurieren.

• Internet Explorer
• Google Chrome
• Mozilla Firefox
• Apple Safari

Internet Explorer:

Standardmäßig gelten die allgemeinen Browserkonfigurationseinstellungen. Für den Internet Explorer sind keine weiteren zusätzlichen Einstellungen erforderlich.

Google Chrome:

Standardmäßig gelten die allgemeinen Browser-Konfigurationseinstellungen, für Google Chrome sind keine weiteren zusätzlichen Einstellungen erforderlich.

Mozilla Firefox:

• Öffnen Sie den Mozilla Firefox-Browser und geben Sie ein about: config in der Adressleiste.
• Suchen Sie nach network.negotiate-auth.trusted-uris Wählen Sie den Präferenznamen aus und klicken Sie auf Bearbeiten. Geben Sie den Hostnamen oder die Domäne des Webservers ein, der durch Kerberos HTTP SPNEGO geschützt ist. Geben Sie mehrere Domänen und Hostnamen durch Komma getrennt an.

• Suchen Sie nach network.automatic-ntlm-auth.trusted-uris Geben Sie den Präferenznamen ein und klicken Sie auf Bearbeiten. Geben Sie den Hostnamen oder die Domäne des Webservers ein, der durch Kerberos HTTP SPNEGO geschützt ist. Geben Sie mehrere Domänen und Hostnamen durch Komma getrennt an.

• Klicke OK und starten Sie dann Ihren Browser neu.

Apple Safari:

Safari unter Windows unterstützt SPNEGO ohne weitere Konfiguration. Es unterstützt sowohl Kerberos als auch NTLM als Submechanismus von SPENGO.