Configurar Kerberos/NTLM SSO com Apache no Windows

Visão geral

diretrizes passo a passo para configuração Autenticação Kerberos no Windows com Apache. Aprenda a configurar o Kerberos para autenticação de usuário segura e contínua, incluindo configuração inicial, configurações, configurações do navegador.

SSO com Apache no Windows XAMPP Server:

• Abra o prompt de comando em Modo de administrador.
• Execute o seguinte comando para adicionar Nome da entidade de serviço (SPN) para a conta de serviço.
Setspn -s http/<computer-name>.<domain-name> <domain-user-account>


Exemplo: C:\Usuários\Administrador> setspn -S HTTP/nomedamáquina.domínio.com conta_de_serviço





Observação:"machinename.domain.com" aqui é o nome do computador. Certifique-se de que ele possa ser resolvido no servidor Windows que executa o serviço AD.



• Verifique se isso foi definido corretamente executando o seguinte comando:
setspn -l domain\service_account

• O resultado deve listar http/nomedamáquina.domínio.com
• Abra Usuários e Computadores do Active Directory e, no menu superior, selecione Ver >> Recursos avançados.
• Abra a conta de serviço e vá para editor de atributos guia, navegue até a servicePrincipalName para verificar o Entrada SPN.
• Navegue até a Delegação aba.
• Selecionar Confiar neste usuário para delegação a qualquer serviço (somente Kerberos).

• Clique Inscreva-se.
• Clique aqui para baixar o módulo apache.
• Copie o mod_authnz_sspi.so da Apache24 > módulos pasta e coloque-a no diretório de módulos (C:\xampp\apache\modules).
• Copie o sspipkgs.exe arquivo de Apache24 -> bin pasta e coloque-a na pasta bin da sua pasta Xampp Apache (.....\xampp\apache\bin) no seu servidor web.
• Abra httpd.conf (.....\xampp\apache\conf) e coloque a linha de código abaixo na seção LoadModule.
LoadModule authnz_sspi_module modules/mod_authnz_sspi.so

• Certifique-se de que os seguintes módulos não estejam comentados:
LoadModule authn_core_module modules/mod_authn_core.so
LoadModule authz_core_module modules/mod_authz_core.so

• Além disso, certifique-se de habilitar extensão ldap.
• Abra o arquivo httpd.conf em (.....\xampp\apache\conf\httpd.conf).
  Acesse e cole as linhas abaixo depois de #Require all grants.
<Directory "...../xampp/htdocs">
......
......
#Require all granted
AllowOverride None Options None
AuthType SSPI
SSPIAuth On
SSPIAuthoritative On
Require valid-user
</Directory>

• Reinicie seu Servidor Apache.

Configurar navegadores para Kerberos SSO:

Configuração geral do Kerberos SSO para todos os navegadores:

• Vá ao Painel de Controle e clique em Rede e Internet >> Opções de Internet.
• Isso abrirá uma janela de Propriedades da Internet. Clique em Segurança >> Intranet Local >> Sites.

• Depois disso, clique no Botão Avançado.

• De acordo com o relatório Adicione este site à zona seção adicione a URL do site no qual você deseja fazer login com SSO.

• Clique Ferramentas > Opções da Internet > Segurança > Intranet local > Nível personalizado.
• Role para baixo até as opções de Autenticação do Usuário e selecione Login automático apenas na zona da Intranet.

• Clique em Ok botão e reinicie o navegador.

Depois de fazer as configurações acima, você não precisa configurar os navegadores Internet Explorer, Google Chrome e Apple Safari.

• Internet Explorer
• Google Chrome
• Mozilla Firefox
• apple Safari

Internet Explorer:

Por padrão, as configurações gerais do navegador serão aplicáveis, não sendo necessárias mais configurações adicionais para o Internet Explorer.

Google Chrome:

Por padrão, as configurações gerais do navegador serão aplicáveis, não sendo necessárias mais configurações adicionais para o Google Chrome.

Mozilla Firefox:

• Abra o navegador Mozilla Firefox e digite about: config na barra de endereços.
• Procurar por rede.negotiate-auth.trusted-uris Nome da preferência e clique em Editar. insira o nome do host ou o domínio do servidor web protegido pelo Kerberos HTTP SPNEGO. Especifique vários domínios e nomes de host separados por vírgula.

• Procurar por rede.automatic-ntlm-auth.trusted-uris Nome da Preferência e clique em Editar. Insira o nome do host ou o domínio do servidor web protegido pelo Kerberos HTTP SPNEGO. Especifique vários domínios e nomes de host separados por vírgula.

• Clique OK e reinicie o navegador.

Safári de maçã:

O Safari no Windows suporta SPNEGO sem necessidade de configuração adicional. Ele suporta Kerberos e NTLM como submecanismo do SPNEGO.