Аутентификация пользователя Kerberos в Apache

Question

Кто-нибудь может порекомендовать несколько действительно хороших ресурсов о том, как заставить Apache аутентифицировать пользователей с помощью Kerberos.

Фоновое чтение на Kerberos также было бы полезно

Спасибо

Peter

Answer 1

mod_auth_kerb - хорошее начало: http://modauthkerb.sourceforge.net/. Если вам нужна поддержка Active Directory, посмотрите здесь: http://support.microsoft.com/?id=555092.

Answer 2

Мне понравилась эта статья о настройке apache для использования Kerberos:

http://www.roguelynn.com/words/apache-kerberos-for-django/

(вы можете пропустить части о Джанго, если вы не заинтересованы)

EDIT:

Полный ответ

Довольно легко настроить apache для использования аутентификации Kerberos.

Я предполагаю, что вы правильно настроили Kerberos на своей машине.

1) Ваш веб-сервер должен иметь keytab [1].

Итог, ваш веб-сервер имеет , чтобы иметь возможность читать таблицу ключей!

2) У вас должен быть правильный модуль httpd для аутентификации - mod_auth_kerb:

LoadModule auth_kerb_module modules/mod_auth_kerb.so

3) Тогда вы должны рассказать Apache о Kerberos:

<Location /> 
    AuthName "Kerberos Authentication -- this will be showed to users via BasicAuth"
    AuthType Kerberos
    KrbMethodNegotiate On
    KrbMethodK5Passwd Off
    # this is the principal from your keytab (you may lose the FQDN part)
    KrbServiceName HTTP/$FQDN
    KrbAuthRealms KERBEROS_DOMAIN
    Krb5KeyTab /path/to/http.keytab
    Require valid-user

    Order Deny,Allow
    Deny from all
</Location>

Тогда apache передаст пользователя вашему приложению через REMOTE_USER HTTP-заголовок.

И это все.

Я также советую вам включить ведение журнала отладки в apache во время установки. Убедитесь, что у вас есть правильное время, и httpd может прочитать keytab, вот и все.

[1] http://kb.iu.edu/data/aumh.html

[2] Основной ресурс: http://www.roguelynn.com/words/apache-kerberos-for-django/

Answer 3

Вот пример использования Active Directory в качестве KDC: http://oslabs.mikro -net.com / krb_apache.html

Answer 4

Я нашел mod_auth_spnego также вполне нормально, так как он может использовать SSPI в Windows вместо MIT Kerberos. mod_spnego