Tema: Apache / AD / SSO
Autorius: Milas
Data: 2010-02-20 14:06:18
Sveiki,

problema trumpai: noriu SSO (single sign-on) sprendimo ant Apache'iaus 
(platforma gali būt bet kokia, tik ne windows'inė), vartotojai 
autentifikuojami aktyvioj direktorijoj (kontroleris w2003). Kurie įsiloginę 
į domeną- puslapyje autentifikuotis nereikia.

O jei šiek tiek plačiau...

BEVEIK viską, ką noriu, pigiai greitai ir neskausmingai padarė mod_auth_kerb 
apačiaus modulis. Ant serverio užtenka kerberoso, nereikia sambų / winbind'ų 
ir kitų gargarų- tai man labai patinka. SSO veikia, vartotoją patikrina- 
viskas gerai kol gerai...

Bėdos tokios:

* į domeną neprisiloginę vartotojai nesugeba autorizuotis (čia greičiausiai 
kažką nenugroju iki galo su konfigūracija- dar žiūriu);
* autentifikavimas vyksta per tą "negražų" standartinį IE langutį (kaip jis 
vadinas?), norėčiau viską gražiai išsiguldyt puslapyje. Galvoju, gal su PHP 
galėčiau šitą procesą prasukt, tik dar nelabai sugalvojau kaip :)
* IE kerberoso autentifikacija veikia iš karto be didesnių nustatinėjimų, 
pats atsirenka, kad čia intranetas, o va firefox'ui jau reikia 
painstruktuot, kad leistų autentifikuotis 
(network.negotiate-auth.trusted-uris). Bet dėl to dar galima būtų išgyvent. 
Ir sugudraut kažin ar bepavyks ką nors.

Iš čia ir klausimas. Ar toliau žaist su mod_auth_kerb moduliu ir įmanoma 
viską "pritempt" iki norimo rezultato (gal kas taip pasidarę jau?), ar yra 
kitų, labiau pasiteisinusių mechanizmų? Labai jau skurdu pasirodė Apache + 
SSO + AD literatūros klausimu ant svieto...

didelis dėkui už pamąstymus ar pasidalinimus patirtimi. Serverio pusėj 
paprogramint su PHP ar perl'u nebijau.

p.s. noris, žinoma, kuo paprasčiau, be mašinos join'inimo į domeną, be visų 
klientų replikavimo ir kitų "negražių" sprendimų :) ir atsiprašau už ilgą 
rašliavą, stengiaus kaip aiškiau, gavos... balažin kas.