Kerberos и проверка подлинности форм?

Question

Kerberos и проверка подлинности форм?

У нас есть система, которая предоставляется внутренним пользователям (которые имеют аутентификацию Kerberos) и третьим сторонам, которые могут войти в систему через традиционную форму имени пользователя/пароля. То, что мы сейчас сделали, - это запустить несколько серверов, некоторые из которых Kerberized, скажем, a.mysite.com и некоторые, у которых есть проверка подлинности форм на b.mysite.com.

Я бы хотел, чтобы у меня был один URL-адрес, который мы разделяем с обеими группами, и сервер определяет, доступен ли токен Kerberos. Если это так, используйте это, иначе переадресовывайтесь на страницу входа. В идеале пользователи остаются на «myproject.mysite.com» все время ... но если нам необходимо (автоматически) перенаправить их на a.mysite.com или b.mysite.com на основе того, есть ли у них этот токен, это нормально.

Мысли?

0

добавлено 09 Январь 2013 в 05:42 автор Oli

Просмотры: 3

источник

nl ja de

Наш сайт представляет собой стек ruby / rails, работающий на Apache (через Passenger), а хранилища учетных данных отличаются.

добавлено 09 Январь 2013 в 06:20, автор Oli, источник

Какой технологический стек вы используете? В конечном итоге оба типа пользователей аутентифицируются на одном сервере аутентификации? Какой тип сервера аутентификации вы используете?

добавлено 09 Январь 2013 в 05:48, автор Scott Stevens, источник

1 ответы

автор Michael-O · Answer 1 · 2013-01-18T10:16Z

Это очень легко достичь. Для вас есть два варианта.

1: Отправлять обратно клиенту

WWW-Authenticate: Negotiate
WWW-Authenticate: Kerberos
WWW-Authenticate: Basic (or better yet Digest)

Клиент выберет наилучший доступный для него метод.

2: Если вам действительно требуется form-auth, отправьте

WWW-Authenticate: Negotiate

и представить форму как страницу 401. Дайте сообщению формы незащищенному контроллеру и выполните команду auth.

Вы можете использовать mod_auth_kerb или mod_auth_gss для Apache HTTPd и изучить $ REMOTE_USER после успешного авторизации.

Имейте в виду, что если вы хотите, чтобы некоторые пользователи использовали Kerberos auth, они должны быть частью вашей сети/домена с учетными записями KDC и соответствующими DNS-записями.