Squid の Basic LDAP 認証が依然としてパスワードを要求する理由

Squid の設定は Active Directory に対してパスワードを確認でき、それでもログインボックスを表示することがあります。これは必ずしも何かが壊れているわけではありません。AD はアカウントがどこにあるかを示すだけで、ブラウザが利用者をどう証明するかは示しません。

この行で重要なのは basic という語です。

auth_param basic realm Windows Logon

realm の後ろの語は、保護された認証領域に名前を付けるものです。Windows のアクセストークンを要求するわけでも、チャレンジを Negotiate に切り替えるわけでもありません。Basic LDAP ヘルパーは渡された資格情報を受け取り、ディレクトリに対して確認します。

一般的な設定には三つの別々の判断があります。Squid がクライアントにどうチャレンジするか、ヘルパーがその応答をどう検証するか、そしてアクセス規則がどの認証済み利用者やグループを許可するかです。LDAP のグループ検索が成功しても、扱えるのは最後の判断だけです。ブラウザに足りない資格情報を補うことはできません。

要件が静かなサインインである場合

ブラウザが対応する統合認証方式を選び、そのサーバー側の前提条件を設定します。Kerberos ベースの Negotiate では、サービス ID と鍵素材、およびそのプロキシへの認証を許可するクライアントポリシーが必要です。Basic 設定のままヘルパーの実行ファイルだけを差し替えても、その変換は行われません。

動作している LDAP 設定を置き換える前に、どちらの結果が必要かを決めてください。ワークステーションのログインと同じユーザー名とパスワードを受け入れることは、Basic 認証の妥当な要件です。そのパスワードを尋ねずにログイン済みの Windows ID を再利用することは別の要件であり、プロトコルと展開の作業も別になります。