Проверка подлинности пользователя Kerberos в Apache

Question

может кто-нибудь рекомендовать некоторые действительно хорошие ресурсы для того, как заставить Apache аутентифицировать пользователей с Kerberos.

фона чтение на Kerberos также будет полезно

Благодаря

Питер

Answer 1

mod_auth_kerb хорошее начало: http://modauthkerb.sourceforge.net/. Если вам нужна поддержка Active Directory, смотрите здесь: http://support.microsoft.com/?id=555092.

Answer 2

Я нашел mod_auth_spnego тоже вполне нормально, так как он может использовать SSPI для Windows вместо того, чтобы требовать MIT Kerberos. mod_spnego

Answer 3

Вот пример использования Active Directory в качестве KDC: http://oslabs.mikro-net.com/krb_apache.html

Answer 4

мне понравилась эта статья о настройке Apache для использования Kerberos:

http://www.roguelynn.com/words/apache-kerberos-for-django/

(вы можете пропустить детали о Джанго, если вам не заинтересованы)

EDIT:

Полноразмерный ответ

Очень просто настроить apache для использования аутентификации Kerberos.

Я предполагаю, что вы правильно настроили Kerberos на своем компьютере.

1) Ваш веб-сервер должен иметь keytab [1].

Внизу, на вашем веб-сервере есть, чтобы прочесть keytab!

2) Вы должны иметь надлежащий модуль HTTPd для аутентификации - mod_auth_kerb:

LoadModule auth_kerb_module modules/mod_auth_kerb.so 

3) Затем вы должны сказать апачу о Kerberos:

<Location /> 
    AuthName "Kerberos Authentication -- this will be showed to users via BasicAuth" 
    AuthType Kerberos 
    KrbMethodNegotiate On 
    KrbMethodK5Passwd Off 
    # this is the principal from your keytab (you may lose the FQDN part) 
    KrbServiceName HTTP/$FQDN 
    KrbAuthRealms KERBEROS_DOMAIN 
    Krb5KeyTab /path/to/http.keytab 
    Require valid-user 

    Order Deny,Allow 
    Deny from all 
</Location> 

Тогда апач будет проходить пользователь к вашему приложению через HTTP-заголовок REMOTE_USER.

И все.

Я также советую вам включить ведение журнала отладки в apache во время установки. Убедитесь, что у вас есть правильное время, и httpd может читать keytab, вот и все.

[1] http://kb.iu.edu/data/aumh.html

[2] Главный ресурс: http://www.roguelynn.com/words/apache-kerberos-for-django/