Настройка единого входа Kerberos/NTLM с использованием Apache в Windows.

Обзор

пошаговая инструкция по настройке Проверка подлинности Kerberos На Windows с Apache. Узнайте, как настроить Kerberos для безопасной и бесперебойной аутентификации пользователей, включая первоначальную настройку, параметры и т. д. Настройки браузера.

Единый вход (SSO) с Apache на сервере Windows XAMPP:

• Откройте командную строку в Режим администратора.
• Выполните следующую команду для добавления. Имя участника службы (SPN) для учетной записи сервиса.
Setspn -s http/<computer-name>.<domain-name> <domain-user-account>


Пример: C:\Users\Administrator> setspn -S HTTP/ machinename.domain.com service_account





Примечание: "machinename.domain.com" здесь — это имя компьютера. Убедитесь, что оно доступно на сервере Windows, на котором запущена служба Active Directory.



• Проверьте правильность настроек, выполнив следующую команду:
setspn -l domain\service_account

• В результате должен быть указан список. http/machinename.domain.com
• Откройте «Пользователи и компьютеры Active Directory» и в верхнем меню выберите Просмотреть >> Расширенные функции.
• Откройте учетную запись службы и перейдите в... редактор атрибутов вкладка, перейдите к ServicePrincipalName проверить Вход SPN.
• Перейдите в Делегация меню.
• Выбрать Доверьте этому пользователю делегирование прав любой службе (только Kerberos).

• Нажмите Применить.
• Кликните сюда для загрузки модуля Apache.
• Скопируйте mod_authnz_sspi.so от Apache24 > модули и поместите эту папку в каталог модулей (C:\xampp\apache\modules).
• Скопируйте sspipkgs.exe файл из Apache24 -> bin поместите эту папку в папку bin вашего XAMPP Apache (.....\xampp\apache\bin) на вашем веб-сервере.
• Откройте файл httpd.conf (.....\xampp\apache\conf) и вставьте следующую строку кода в раздел LoadModule.
LoadModule authnz_sspi_module modules/mod_authnz_sspi.so

• Убедитесь, что следующие модули раскомментированы:
LoadModule authn_core_module modules/mod_authn_core.so
LoadModule authz_core_module modules/mod_authz_core.so

• Кроме того, убедитесь, что включить расширение LDAP.
• Откройте файл httpd.conf из (.....\xampp\apache\conf\httpd.conf).
  Перейдите по ссылке и вставьте следующие строки после #Require all grants.
<Directory "...../xampp/htdocs">
......
......
#Require all granted
AllowOverride None Options None
AuthType SSPI
SSPIAuth On
SSPIAuthoritative On
Require valid-user
</Directory>

• Перезапустите Сервер Apache.

Настройка браузеров для единого входа Kerberos:

Общая настройка единого входа Kerberos для всех браузеров:

• Перейдите в Панель управления и нажмите на Сеть и Интернет >> Параметры интернета.
• Откроется окно «Свойства интернета». Нажмите на Безопасность >> Локальная интранет-сеть >> Сайты.

• После этого нажмите на Кнопка «Дополнительно».

• В Добавить этот сайт в зону В этом разделе укажите URL-адрес веб-сайта, на который вы хотите войти с помощью единого входа (SSO).

• Нажмите Инструменты > Параметры интернета > Безопасность > Локальная интранет-сеть > Пользовательский уровень.
• Прокрутите вниз до раздела «Параметры аутентификации пользователя» и выберите Автоматический вход в систему возможен только в зоне интранета..

• Нажмите на Ok Нажмите кнопку, а затем перезапустите браузер.

После выполнения вышеуказанных настроек вам не потребуется настраивать параметры браузеров Internet Explorer, Google Chrome и Apple Safari.

• Internet Explorer
• Google Chrome
• Mozilla Firefox
• Apple Safari

Internet Explorer:

По умолчанию применяются общие настройки браузера, никаких дополнительных настроек для Internet Explorer не требуется.

Google Chrome:

По умолчанию будут применяться общие настройки браузера, никаких дополнительных настроек для Google Chrome не требуется.

Mozilla Firefox:

• Откройте браузер Mozilla Firefox и введите о: конфигурации в адресной строке.
• Найдите network.negotiate-auth.trusted-uris Укажите название параметра и нажмите на него. РедактироватьВведите имя хоста или домен веб-сервера, защищенного протоколом Kerberos HTTP SPNEGO. Укажите несколько доменов и имен хостов, разделенных запятой.

• Найдите network.automatic-ntlm-auth.trusted-uris Введите имя параметра и нажмите «Изменить». Введите имя хоста или домен веб-сервера, защищенного протоколом Kerberos HTTP SPNEGO. Укажите несколько доменов и имен хостов, разделенных запятой.

• Нажмите OK а затем перезапустите браузер.

Яблочное сафари:

Safari в Windows поддерживает SPENGO без дополнительной настройки. Он поддерживает как Kerberos, так и NTLM в качестве вспомогательных механизмов SPENGO.