Por que a autenticação Squid Basic LDAP ainda pede uma senha

Uma configuração do Squid pode verificar senhas no Active Directory e ainda assim exibir uma caixa de login. Isso não significa necessariamente que algo esteja quebrado. O AD descreve onde fica a conta; não diz como o navegador provará quem é o usuário.

Nesta linha, a palavra importante é basic:

auth_param basic realm Windows Logon

As palavras depois de realm nomeiam o espaço protegido de autenticação. Elas não solicitam um token de acesso do Windows nem mudam o desafio para Negotiate. Um auxiliar Basic LDAP recebe as credenciais fornecidas e as verifica no diretório.

Numa configuração típica há três decisões separadas: como o Squid desafia o cliente, como um auxiliar valida essa resposta e quais usuários ou grupos autenticados uma regra de acesso permite. Uma busca de grupo LDAP bem-sucedida trata apenas da última decisão. Ela não pode fornecer as credenciais que faltam ao navegador.

Se o requisito é um login silencioso

Escolha um esquema de autenticação integrada compatível com o navegador e configure os pré-requisitos do lado do servidor. Para Negotiate baseado em Kerberos, isso inclui a identidade do serviço e o material da chave, além de uma política de cliente que permita autenticação nesse proxy. Trocar apenas o executável do auxiliar numa configuração Basic não fará essa conversão.

Decida qual resultado você precisa antes de substituir uma instalação LDAP que funciona. Aceitar o mesmo usuário e senha usados para entrar numa estação de trabalho é um requisito Basic razoável. Reutilizar a identidade Windows já autenticada sem pedir essa senha é outro requisito, com outro trabalho de protocolo e implantação.