למה אימות Squid Basic LDAP עדיין מבקש סיסמה

תצורת Squid יכולה לבדוק סיסמאות מול Active Directory ובכל זאת להציג תיבת התחברות. אין זה אומר בהכרח שמשהו שבור. AD מתאר היכן נמצא החשבון; הוא אינו אומר כיצד הדפדפן יוכיח מי המשתמש.

בשורה הזו, המילה החשובה היא basic:

auth_param basic realm Windows Logon

המילים שאחרי realm נותנות שם למרחב ההגנה של האימות. הן אינן מבקשות אסימון גישה של Windows ואינן מחליפות את האתגר ל-Negotiate. עוזר Basic LDAP מקבל את פרטי ההתחברות שסופקו ובודק אותם מול המדריך.

בתצורה טיפוסית יש שלוש החלטות נפרדות: כיצד Squid מאתגר את הלקוח, כיצד עוזר מאמת את התגובה הזו, ואילו משתמשים או קבוצות מאומתים כלל גישה מתיר. חיפוש קבוצה מוצלח ב-LDAP מטפל רק בהחלטה האחרונה. הוא אינו יכול לספק את פרטי ההתחברות החסרים לדפדפן.

אם הדרישה היא התחברות שקטה

בחרו סכימת אימות משולבת שהדפדפן תומך בה והגדירו את הדרישות המוקדמות שלה בצד השרת. עבור Negotiate מבוסס Kerberos זה כולל את זהות השירות וחומר המפתח, וכן מדיניות לקוח שמתירה אימות מול אותו פרוקסי. החלפת קובץ ההרצה של העוזר בלבד בתצורת Basic לא תבצע את ההמרה הזו.

החליטו איזה תוצאה דרושה לכם לפני שאתם מחליפים התקנת LDAP עובדת. קבלת אותו שם משתמש וסיסמה שמשמשים לכניסה לתחנת עבודה היא דרישת Basic סבירה. שימוש חוזר בזהות Windows שאליה כבר התחברתם בלי לשאול את הסיסמה הוא דרישה אחרת, עם עבודת פרוטוקול ופריסה אחרת.