Pourquoi l'authentification Squid Basic LDAP demande encore un mot de passe

Une configuration Squid peut vérifier des mots de passe auprès d'Active Directory et malgré tout afficher une fenêtre de connexion. Cela ne signifie pas forcément que quelque chose est cassé. AD décrit où se trouve le compte ; il ne dit pas comment le navigateur prouvera qui est l'utilisateur.

Dans cette ligne, le mot important est basic :

auth_param basic realm Windows Logon

Les mots qui suivent realm nomment l'espace d'authentification protégé. Ils ne demandent pas de jeton d'accès Windows et ne basculent pas le défi vers Negotiate. Un assistant Basic LDAP reçoit les identifiants fournis et les vérifie auprès de l'annuaire.

Dans une configuration typique, il y a trois décisions distinctes : comment Squid met le client au défi, comment un assistant valide cette réponse, et quels utilisateurs ou groupes authentifiés une règle d'accès autorise. Une recherche de groupe LDAP réussie ne traite que la dernière décision. Elle ne peut pas fournir les identifiants manquants du navigateur.

Si l'exigence est une connexion silencieuse

Choisissez un schéma d'authentification intégrée pris en charge par le navigateur et configurez ses prérequis côté serveur. Pour Negotiate fondé sur Kerberos, cela comprend l'identité de service et le matériel de clé, ainsi qu'une politique client autorisant l'authentification vers ce proxy. Remplacer seulement l'exécutable de l'assistant dans une configuration Basic ne réalisera pas cette conversion.

Décidez du résultat dont vous avez besoin avant de remplacer une installation LDAP qui fonctionne. Accepter le même nom d'utilisateur et le même mot de passe que pour une connexion à un poste de travail est une exigence Basic raisonnable. Réutiliser l'identité Windows déjà connectée sans demander ce mot de passe est une autre exigence, avec un autre travail de protocole et de déploiement.