Proč základní LDAP autentizace v Squidu stále žádá heslo

Konfigurace Squidu může ověřovat hesla proti Active Directory a přesto zobrazit přihlašovací okno. To nutně neznamená, že je něco rozbité. AD popisuje, kde účet žije; neříká, jak prohlížeč prokáže, kdo je uživatel.

V tomto řádku je důležité slovo basic:

auth_param basic realm Windows Logon

Slova za realm pojmenovávají chráněný prostor autentizace. Nevyžadují přístupový token Windows ani nepřepínají výzvu na Negotiate. Pomocník Basic LDAP přijme dodané údaje a ověří je proti adresáři.

V typické konfiguraci existují tři samostatná rozhodnutí: jak Squid vyzve klienta, jak pomocník tuto odpověď ověří a kterým autentizovaným uživatelům nebo skupinám pravidlo přístupu povolí průchod. Úspěšné hledání skupiny v LDAP řeší jen poslední rozhodnutí. Nemůže dodat chybějící údaje prohlížeče.

Pokud je požadavkem tiché přihlášení

Zvolte integrované schéma autentizace podporované prohlížečem a nastavte jeho předpoklady na straně serveru. U Negotiate založeného na Kerberu to zahrnuje identitu služby a klíčový materiál i klientskou politiku povolující autentizaci vůči této proxy. Pouhá výměna spustitelného souboru pomocníka v konfiguraci Basic tuto změnu neprovede.

Rozhodněte, jaký výsledek potřebujete, než nahradíte fungující nastavení LDAP. Přijímat stejné uživatelské jméno a heslo jako při přihlášení k pracovní stanici je rozumný požadavek Basic autentizace. Znovu použít přihlášenou identitu Windows bez dotazu na toto heslo je jiný požadavek, s jinou prací na protokolu i nasazení.