Warum Squid Basic LDAP Authentifizierung weiterhin ein Passwort abfragt

Eine Squid-Konfiguration kann Passwörter gegen Active Directory prüfen und trotzdem ein Anmeldefenster erzeugen. Dabei ist nichts zwangsläufig kaputt. AD beschreibt, wo das Konto liegt; es sagt nicht, wie der Browser beweisen wird, wer der Benutzer ist.

In dieser Zeile ist das entscheidende Wort basic:

auth_param basic realm Windows Logon

Die Wörter nach realm benennen den geschützten Authentifizierungsbereich. Sie fordern kein Windows-Zugriffstoken an und wechseln die Challenge auch nicht auf Negotiate. Ein Basic-LDAP-Helper erhält die übergebenen Zugangsdaten und prüft sie gegen das Verzeichnis.

In einer typischen Konfiguration gibt es drei getrennte Entscheidungen: wie Squid den Client auffordert, wie ein Helper diese Antwort validiert und welche authentifizierten Benutzer oder Gruppen eine Zugriffsregel zulässt. Eine erfolgreiche LDAP-Gruppensuche betrifft nur die letzte Entscheidung. Sie kann die fehlenden Zugangsdaten des Browsers nicht liefern.

Wenn eine stille Anmeldung gefordert ist

Wählen Sie ein browsergestütztes integriertes Authentifizierungsverfahren und richten Sie dessen serverseitige Voraussetzungen ein. Für Kerberos-basiertes Negotiate gehören dazu die Dienstidentität und das Schlüsselmaterial sowie eine Client-Richtlinie, die die Authentifizierung an diesem Proxy erlaubt. Nur die Helper-Binärdatei unter einer Basic-Konfiguration auszutauschen, leistet diese Umstellung nicht.

Entscheiden Sie, welches Ergebnis Sie brauchen, bevor Sie eine funktionierende LDAP-Einrichtung ersetzen. Denselben Benutzernamen und dasselbe Passwort wie bei einer Workstation-Anmeldung zu akzeptieren, ist eine vernünftige Basic-Anforderung. Die angemeldete Windows-Identität wiederzuverwenden, ohne nach diesem Passwort zu fragen, ist eine andere Anforderung mit anderer Protokoll- und Bereitstellungsarbeit.