Kial Squid Basic LDAP-aŭtentigo ankoraŭ petas pasvorton

Squid-agordo povas kontroli pasvortojn kontraŭ Active Directory kaj tamen montri ensalutan fenestron. Tio ne nepre signifas, ke io rompiĝis. AD priskribas, kie loĝas la konto; ĝi ne diras, kiel la retumilo pruvos, kiu estas la uzanto.

En ĉi tiu linio, la grava vorto estas basic:

auth_param basic realm Windows Logon

La vortoj post realm nomas la protektitan aŭtentigan spacon. Ili ne petas Windows-aliroĵetonon nek ŝanĝas la defion al Negotiate. Basic LDAP-helpilo ricevas la donitajn akreditilojn kaj kontrolas ilin kontraŭ la adresaro.

En tipa agordo ekzistas tri apartaj decidoj: kiel Squid defias la klienton, kiel helpilo validigas tiun respondon, kaj kiujn aŭtentigitajn uzantojn aŭ grupojn permesas alirregularo. Sukcesa LDAP-grupa serĉo traktas nur la lastan decidon. Ĝi ne povas liveri la mankantajn akreditilojn de la retumilo.

Se la postulo estas malbrua ensaluto

Elektu retumile subtenatan integritan aŭtentigan skemon kaj agordu ĝiajn servilflankajn antaŭkondiĉojn. Por Kerberos-bazita Negotiate tio inkluzivas la servan identecon kaj ŝlosilmaterialon, same kiel klientan politikon permesantan aŭtentigon al tiu prokurilo. Nur ŝanĝi la plenumeblon de la helpilo sub Basic-agordo ne faros tiun konvertiĝon.

Decidu, kian rezulton vi bezonas, antaŭ ol anstataŭigi funkciantan LDAP-agordon. Akcepti la saman uzantnomon kaj pasvorton kiel por labortstacia ensaluto estas racia Basic-postulo. Reuzi la ensalutintan Windows-identecon sen demandi tiun pasvorton estas alia postulo, kun alia protokola kaj deploja laboro.