Integrated authentication NTLM/Kerberos

[Verwijderd]

Hallo, ik heb een vraag over Integrated authentication met NTLM of Kerberos. Het idee is al volgt: Ik ben bezig met intranet voor een universiteit. Het intranet gaat gebruikt worden voor het delen van resources/documenten en community building. We gaan waarschijnlijk Plone (een open source Python-based system) gebruiken.

Waar gaat de vraag over?
Ik wil niet dat gebruikers moeten inloggen om bij het intranet te kunnen of pagina's te kunnen editen (ik heb zelf 6 of 7 passwords, lijkt me meer dan genoeg.) Wat ik wil is dat gebruiker automatisch worden ingelogd, net zoals je automatisch inlogd op Exchange als je Outlook gebruikt, maw Integrated Authentication. De automatisch logon is gebaseerd op the login informatie van de Windows logon.

Wat is het probleem?
Nou... het werkt niet!

Wat heb ik al?
- Testserver met Red hat ES3.
- Apache server wat voor de Plone server komt te hangen.
- mod_ntlm2, mod_auth_kerb-5
- een zeer eenvoudige website, die NTLM authenticatie afdwingt.
- Ik gebruik Firefox 1.0.7 and IE6 (moeten beide NTLM/kerberos auth ondersteunen)

Het idee is dat Apache de gebruiker dwingt om zich te authentificeren. De browser vangt dit op en authentificeert de gebruiker automatisch op basis van de login information van je normale Windows logon. De browser stuurt the bestaande login credentials naar Apache, Apache stuurt het door naar de PDC en de PDC bevestigd (al of niet) de authentiteit van de gebruiker. De gebruiker merkt dus helemaals niets, maar is wel ingelogd

Ik werk op basis van dit:
http://diaryproducts.net/...le_sign_on_windows_domain
De bedoeling is om eerst NTLM of Kerberos authenticatie aan het werk the krijgen op een simpele website. Later kan de link met Plone worden gelegd.

Ik heb apache met mod_ntlm2 en het volgende in httpd.conf:
<Location /secret-ntlm >
AuthType NTLM
NTLMAuth on
NTLMAuthoritative on
NTLMDomain COMPNET
NTLMServer abc-ad-s01
NTLMBackup abc-ad-s02
Require valid-user
</Location>

Guess what.... het werkt niet! ('tuurlijk niet )

Het volgende staat in the error_log:
[Sun Apr 09 17:21:19 2006] [error] [client 172.16.108.134] creating new ntlm_connection 136746440 4449
[Sun Apr 09 17:21:19 2006] [notice] [client 172.16.108.134] got auth_line "TlRMTVNTUAABA ..... AJMIAAAAD0=="
[Sun Apr 09 17:21:19 2006] [notice] [client 172.16.108.134] got header with host "", domain ""
[Sun Apr 09 17:21:19 2006] [error] [client 172.16.108.134] received msg1 136746440 4449
[Sun Apr 09 17:21:19 2006] [notice] [client 172.16.108.134] send WWW-Authenticate "NTLM TlRMTVNTUAAC ..... BNAEkAVABTgBFAFQA"

Vraag 1: Heeft iemand enig idee wat ik verkeerd doe? Of heeft iemand ervaring met hetzelfde?

In de tussentijd ben ik alvast verder gegaan met studeren en proberen. Het blijkt dat NTLM authenticatie niet speciaal veilig is, en Kerberos is een betere optie. Het gaat natuurlijk over een intern netwerk, maar goed, dit is een universiteit dus er lopen hier honderden potentiele hackertjes rond (ik weet nog wat ik deed toen ik studeerde )

Dus eventueel is NTLM helemaal geen goede optie en moet ik kerberos gaan gebruiken.

Vraag 2: Heeft iemand ervaring met het installeren van kerberos en het gebruik ervan voor Integrated authentication? Alvast dank voor alle hulp!

(mijn excuses als ik niet direkt reageer op reacties, ik zit in een andere tijzone helaas)

[The Lord]

Voor de server zijde heb ik geen enkele suggestie voor je helaas, daarvoor zit ik nu iets te lang in de Microsoft omgeving.

Voor de werkstation zijde kan ik je vertellen dat zolang het Windows 2000 en hoger is de clients altijd eerst authenticatie proberen d.m.v. Kerberos. Dit, omdat de SSPI vanaf Windows 2000 altijd eerst Kerberos gebruikt (zelfs als het nutteloos is zoals logon op lokaal werkstation) en dan pas NTLMv2, etc.

En om de moed er in te houden voor je. In samenwerking met Oracle is dit ook werkend gekregen voor hun portal produkt bij een opdrachtgever van me.

[paulhekje]

Stap1
Zorg dat internet explorer automatisch wil aanmelden op je site:
Bij de vertrouwde sites plaatsen en Aangepast beveiligingsniveau controleren:

Verificatie van de gebruiker
Aanmelden
Automatisch aanmelden met huidige gebruikersnaam

Stap 2 is je webserver goed configureren...

NB: om kerberos authenticatie te laten slagen is soms een werkende reverse dns noodzakelijk. Of dat het geval is kun je testen met een hosts file op de client.

Dit type configuratie wordt hier gebruikt met Oracle 9iAS en Oracle Internet Directory. In onze config is ook een kerberos service aangemaakt in AD, zodat er extra info in het kerberos ticket van de gebruiker terecht komt.

[Verwijderd]

Hoi lui! Bedankt voor de reakties zover.

Over de SSPI: Ik neem aan dat dat het authenticatie ticket is wat wordt aangemaakt als je inlogt? Dit ticket moet idd via Apache naar de AD worden gestuurd.

Stap 1: Das gelukt! (het icoontje geeft aan dat ik in een trusted Site zit, dus das goed) Helaas werkt de NTLM authenticatie nog niet (IE: "The page cannot be displayed"), maar dat is omdat NTLM is uitgeschakeld is in AD. Ik zal de IT jongens vragen het even een paar minuten aan te zetten zodat ik het kan proberen (altijd leuk om wat resultaat te zien. ) Bovendien gebruikte ik de officiele mod_ntlm2, wat niet de meest recente en niet de beste is.

Stap 2: Aha, wat ik nu begrijp is dat AD ook de Kerberos service ondersteunt (als je het aanzet) ? Betekent dat dat de login informatie op de lokale computer in Kerberos ticket format is? En dat de AD als Kerberos server werkt?

Dat zou betekenen dat IE domweg het kerberos ticket naar Apache kan sturen en Apache (met mod_auth_kerb-5) authentificeert dan met AD. Dat zou dus even makkelijk zijn als de NTLM authenticatie?

Gelukkig, ik was al bang dat het kerberos verhaal veel moeilijker zou zijn!

Bedankt en ik zal het laten weten als het gelukt is.

[paulhekje]

elke windows 2000/XP werkplek die is ingelogd op Active Directory heeft een kerberos ticket met inloginformatie.
Dit ticket kan internet explorer doorgeven aan bijvoorbeeld Apache
http://support.microsoft.com/?id=555092