Hvorfor Squid Basic LDAP-godkendelse stadig beder om en adgangskode

En Squid-konfiguration kan kontrollere adgangskoder mod Active Directory og alligevel vise en loginboks. Det betyder ikke nødvendigvis, at noget er i stykker. AD beskriver, hvor kontoen ligger; det fortæller ikke, hvordan browseren vil bevise, hvem brugeren er.

I denne linje er det vigtige ord basic:

auth_param basic realm Windows Logon

Ordene efter realm navngiver det beskyttede godkendelsesområde. De anmoder ikke om et Windows-adgangstoken og skifter ikke udfordringen til Negotiate. En Basic LDAP-hjælper modtager de angivne oplysninger og kontrollerer dem mod biblioteket.

I en typisk konfiguration er der tre separate beslutninger: hvordan Squid udfordrer klienten, hvordan en hjælper validerer svaret, og hvilke godkendte brugere eller grupper en adgangsregel tillader. Et vellykket LDAP-gruppeopslag handler kun om den sidste beslutning. Det kan ikke levere browserens manglende oplysninger.

Hvis kravet er et stille login

Vælg en browserunderstøttet integreret godkendelsesordning, og konfigurer dens forudsætninger på serversiden. For Kerberos-baseret Negotiate omfatter det tjenesteidentiteten og nøglematerialet samt en klientpolitik, der tillader godkendelse til den proxy. Blot at udskifte hjælperens eksekverbare fil under en Basic-konfiguration udfører ikke den omstilling.

Beslut, hvilket resultat du har brug for, før du erstatter en fungerende LDAP-opsætning. At acceptere det samme brugernavn og den samme adgangskode som til en arbejdsstationslogin er et rimeligt Basic-krav. At genbruge den indloggede Windows-identitet uden at spørge om adgangskoden er et andet krav med et andet arbejde med protokol og udrulning.