在网页上使用Kerberos进行SSO

Question

我不太擅长使用Kerberos。但是我想用Kerberos实现单点登录。

我想实现的目标是，您只需使用Windows 7登录，然后打开浏览器，并且不需要其他身份验证，例如Intranet。这可能吗？

Kerberos使用票证。第一步是获取票证授予票证，不是吗？Windows Server正在使用Kerberos进行身份验证。那么在Windows中登录后是否有票证授予票证？我可以使用它（如果有的话）为其他服务获取服务票证吗？

另一个关于apache的问题是：当我在linux服务器上使用Kerberos时，我需要一个名为mod\u auth\u kerb的mod，不是吗？如果这安装在我的linux服务器上，我可以使用Kerberos身份验证吗？如果linux服务器上有intranet，如何使用kerberos进行身份验证。我应该在PHP代码中进行身份验证，还是可以通过某种方式“学习”apache进行身份验证？

非常感谢您的帮助：）

你好，Wuz

Answer 1

是的，这一切都是可能的，并且一直在做。当您登录域帐户时，Windows使用您的密码从域控制器获取Kerberos凭据（票证授予票证或TGT），这反过来又允许您在不重新输入密码的情况下获取其他服务的票证。您可以使用klist.exe.Web浏览器查看TGT和您拥有的特定服务的任何其他票证使用HTTP协商交换向Web服务器发送票证，服务器可以使用该票证来识别您（可选的返回令牌也可以向客户端验证服务器）。服务器必须是同一Kerberos领域的成员，或者是对您的领域信任链的成员。

mod\u auth\u kerb是Apache中用于Kerberos身份验证的最常见模块。您可以使用setspn将web服务器的Kerberos主体添加到AD帐户。exe，格式为HTTP/服务器主机名。然后使用ktpass创建一个保存主体密钥的文件，称为“keytab”。Windows上的exe或Unix上的ktutil之类的程序（需要AD帐户的密码）。mod\U auth\U kerb配置指的是键选项卡。mod\u auth\u kerb将环境变量REMOTE\u USER设置为客户端的标识，您只需在应用程序中读取即可（本例中为PHP代码）。

必须将web浏览器配置为实际使用HTTP协商身份验证，每个浏览器的详细信息各不相同。

这只是以高层次的方式回答你眼前的问题；当然，还涉及很多其他细节，因为您要处理一个完整的基础架构和几个需要协调的部分：Kerberos、DNS名称、主体名称、浏览器配置、Apache等。

顺便说一下：英语中的单词是“authenticate”，而不是“authenticificate”