Чому базова LDAP-автентифікація Squid досі запитує пароль

Конфігурація Squid може перевіряти паролі в Active Directory і все одно показувати вікно входу. Це не обов'язково означає, що щось зламано. AD описує, де розташований обліковий запис; він не каже, як браузер доведе, хто є користувачем.

У цьому рядку важливе слово — basic:

auth_param basic realm Windows Logon

Слова після realm задають назву захищеного простору автентифікації. Вони не запитують маркер доступу Windows і не перемикають запит на Negotiate. Помічник Basic LDAP отримує надані облікові дані та перевіряє їх у каталозі.

У типовій конфігурації є три окремі рішення: як Squid запитує клієнта, як помічник перевіряє цю відповідь і яким автентифікованим користувачам чи групам дозволяє доступ правило. Успішний пошук групи в LDAP вирішує лише останнє рішення. Він не може надати відсутні облікові дані браузера.

Якщо потрібен тихий вхід

Виберіть підтримувану браузером схему інтегрованої автентифікації та налаштуйте її серверні передумови. Для Negotiate на основі Kerberos це включає ідентичність служби та ключовий матеріал, а також клієнтську політику, що дозволяє автентифікацію на цьому проксі. Проста заміна виконуваного файлу помічника в конфігурації Basic не виконає такого перетворення.

Вирішіть, який результат вам потрібен, перш ніж замінювати робочу конфігурацію LDAP. Приймати те саме ім'я користувача й пароль, що й для входу на робочу станцію, — розумна вимога Basic. Повторно використовувати вже автентифіковану ідентичність Windows, не запитуючи цей пароль, — інша вимога, з іншою роботою над протоколом і розгортанням.