Hvorfor Squid Basic LDAP-autentisering fortsatt spør om et passord

En Squid-konfigurasjon kan kontrollere passord mot Active Directory og likevel vise en påloggingsboks. Det betyr ikke nødvendigvis at noe er ødelagt. AD beskriver hvor kontoen ligger; det forteller ikke hvordan nettleseren skal bevise hvem brukeren er.

På denne linjen er det viktige ordet basic:

auth_param basic realm Windows Logon

Ordene etter realm navngir det beskyttede autentiseringsområdet. De ber ikke om et Windows-tilgangstoken og bytter ikke utfordringen til Negotiate. En Basic LDAP-hjelper mottar legitimasjonen som er oppgitt, og kontrollerer den mot katalogen.

I en typisk konfigurasjon finnes tre atskilte beslutninger: hvordan Squid utfordrer klienten, hvordan en hjelper validerer svaret, og hvilke autentiserte brukere eller grupper en tilgangsregel tillater. Et vellykket LDAP-gruppeoppslag gjelder bare den siste beslutningen. Det kan ikke skaffe nettleserens manglende legitimasjon.

Hvis kravet er en stille pålogging

Velg en nettleserstøttet integrert autentiseringsordning og sett opp forutsetningene på tjenersiden. For Kerberos-basert Negotiate omfatter det tjenesteidentiteten og nøkkelmaterialet, samt en klientpolicy som tillater autentisering mot den proxyen. Å bare bytte hjelperens kjørbare fil under en Basic-konfigurasjon utfører ikke den omleggingen.

Bestem hvilket resultat du trenger før du erstatter et fungerende LDAP-oppsett. Å godta samme brukernavn og passord som ved pålogging på en arbeidsstasjon er et rimelig Basic-krav. Å gjenbruke den innloggede Windows-identiteten uten å spørre etter passordet er et annet krav, med annet arbeid på protokoll og utrulling.