Windows 上の Apache で Kerberos/NTLM SSO を設定する

概要

Windows環境でApacheを使用してKerberos認証を設定するための手順を段階的に解説します。初期設定、各種設定、ブラウザ構成など、安全でシームレスなユーザー認証を実現するためのKerberosの設定方法を学びましょう。

Windows Xampp サーバー上の Apache を使用した SSO:

• コマンドプロンプトを開く 管理者モード.
• 追加するには次のコマンドを実行します サービス プリンシパル名 (SPN) サービス アカウント用。
Setspn -s http/<computer-name>.<domain-name> <domain-user-account>


例: C:\Users\Administrator> setspn -S HTTP/ machinename.domain.com service_account





注：「machinename.domain.com」はコンピューター名です。ADサービスを実行しているWindowsサーバー上で名前解決できることを確認してください。



• 次のコマンドを実行して、これが正しく設定されているかどうかを確認します。
setspn -l domain\service_account

• 結果にはリストが表示されます http/マシン名.ドメイン.com
• [Active Directory ユーザーとコンピュータ] を開き、上部のメニューから [Active Directory ユーザーとコンピュータ] を選択します。 表示 >> 高度な機能.
• サービスアカウントを開いて、 属性エディタ タブで、 サービスプリンシパル名 を確認するには SPNエントリ.
• に移動します 代表団 タブには何も表示されないことに注意してください。
• 選択 任意のサービスへの委任に関してこのユーザーを信頼します (Kerberos のみ).

• 詳しくはこちら Apply.
• 詳細 apache モジュールをダウンロードします。
• コピー mod_authnz_sspi.so from Apache24 > モジュール フォルダーを作成し、モジュール (C:\xampp\apache\modules) ディレクトリに配置します。
• コピー ssipkgs.exe からのファイル Apache24 -> bin フォルダーを作成し、Web サーバー上の Xampp Apache フォルダー (....\xampp\apache\bin) の bin フォルダーに配置します。
• httpd.conf (....\xampp\apache\conf) を開き、次のコード行を LoadModule セクションに配置します。
LoadModule authnz_sspi_module modules/mod_authnz_sspi.so

• 次のモジュールのコメントが解除されていることを確認してください。
LoadModule authn_core_module modules/mod_authn_core.so
LoadModule authz_core_module modules/mod_authz_core.so

• また、 LDAP拡張機能を有効にする.
• (.....\xampp\apache\conf\httpd.conf) から httpd.conf ファイルを開きます。
  に移動し、#Require all Grants の後に以下の行を貼り付けます。
<Directory "...../xampp/htdocs">
......
......
#Require all granted
AllowOverride None Options None
AuthType SSPI
SSPIAuth On
SSPIAuthoritative On
Require valid-user
</Directory>

• 再起動する Apacheサーバー.

Kerberos SSO 用にブラウザを構成します。

すべてのブラウザの一般的な Kerberos SSO 構成:

• 「コントロールパネル」に移動し、「 ネットワークとインターネット >> インターネット オプション.
• これにより、「インターネットのプロパティ」ウィンドウが開きます。 クリック セキュリティ >> ローカル イントラネット >> サイト.

• その後、をクリックします 詳細ボタン.

• この Web サイトをゾーンに追加します セクションに、SSO でログインする Web サイトの URL を追加します。

• 詳しくはこちら [ツール] > [インターネット オプション] > [セキュリティ] > [ローカル イントラネット] > [カスタム レベル].
• 「ユーザー認証」オプションまで下にスクロールし、選択します。 イントラネットゾーンでのみ自動ログオン.

• ソフトウェアの制限をクリック Ok ボタンをクリックしてブラウザを再起動します。

上記の設定を完了すると、Internet Explorer、Google Chrome、Apple Safari のブラウザ設定を行う必要はありません。

• インターネットエクスプローラ
• Google Chrome
• Mozilla Firefox
• アップルのSafari

Internet Explorer:

デフォルトでは、一般的なブラウザ構成設定が適用され、Internet Explorer にはそれ以上の追加設定は必要ありません。

Google Chromeの：

デフォルトでは、一般的なブラウザ構成設定が適用され、Google Chrome にはそれ以上の追加設定は必要ありません。

Mozilla Firefoxの：

• Mozilla Firefox ブラウザを開いて次のように入力します。 約：設定 アドレスバーに。
• 検索する network.negotiate-auth.trusted-uris 設定名を入力し、 をクリックします。 編集。 Kerberos HTTP SPNEGO によって保護されている Web サーバーのホスト名またはドメインを入力します。 複数のドメインとホスト名をカンマで区切って指定します。

• 検索する network.automatic-ntlm-auth.trusted-uris 設定名を入力し、「編集」をクリックします。 Kerberos HTTP SPNEGO によって保護される Web サーバーのホスト名またはドメインを入力します。 複数のドメインとホスト名をカンマで区切って指定します。

• 詳しくはこちら OK そしてブラウザを再起動してください。

Apple Safari：

Windows 上の Safari は、追加の設定を行わなくても SPNEGO をサポートします。 SPENGO のサブメカニズムとしてケルベロスと NTLM の両方をサポートします。