Apache/Kerberos/Active Directory

[ViNyL]

Ik heb een server met Ubuntu voorzien van Apache en Kerberos. Een gebruiker die is ingelogd op een werkstation in ons domein wordt nu automagisch gevalideerd tegen de AD aan.

Dit werkt goed maar:
- Ga je naar http://servernaam dan werkt het;
- Ga je naar http://servernaam.local dan werkt het;
- Ga je naar http://servernaam.nl(intern) dan krijg je popup voor username en wachtwoord.

Het domein hier is gebaseerd op .local, dat is ook de realm die ik opgeef. Het probleem met .local is dat alle servers voorzien zijn van HTTPS middels een wildcard op de .nl naam. Een server benaderen op servernaam of servernaam.local zal dan ook een fout opleveren.

Ik ben niet heel bekend met Kerberos icm Apache, dat het werkt was al een mijlpijltje op zich , maar is het mogelijk om vanaf een .nl een gebruiker toch te valideren op een Active Directory die van .local uitgaat?

Op de domaincontroller heb ik een keytab file gegenereerd met @local bij de principal en de user. Als ik dit vervang door ".nl" dan krijg ik ook een foutmelding dat dit niet mogelijk is:

code:

Failed getting target domain for specified user

Users hebben hier bijvoorbeeld bij het account staan: [e-mail]

Mijn krb5.conf ziet er zo uit:

code:

[libdefaults]
        default_realm = DOMAIN.LOCAL
[realms]
        DOMAIN.LOCAL = {
                kdc = domaincontroller.domain.local
                admin_server = domaincontroller.domain.local
        }
[domain_realm]
        .domain.local = DOMAIN.LOCAL
        domain.local = DOMAIN.LOCAL

Iemand hier misschien meer ervaring mee?

[Afvalzak]

Ik heb hier heel weinig ervaring mee maar het lijkt mij dat je in de domain_realm het domein waarop ze binnenkomen kan mappen naar het domain.local, dus:

.servernaam.nl = SERVERNAAM.LOCAL
servernaam.nl = SERVERNAAM.LOCAL

The [domain_realm] section provides a translation from a domain name or hostname to a Kerberos realm name

http://web.mit.edu/kerber...b5_conf.html#domain-realm

[ Voor 6% gewijzigd door Afvalzak op 11-05-2016 13:35 ]

[ViNyL]

Dat heb ik net inderdaad ook al geprobeerd, maar helaas levert dat ook een inlogschermpie. Inloggen met gebruikersnaam en wachtwoord gaat dan wel, maar het is de bedoeling om het seamless te doen.

[Thulium]

Heb je meerdere linux hosts die gebruik moeten maken van AD authenticatie? Dan kan FreeIPA een interessant project zijn.

http://www.freeipa.org/pa...ntication_against_FreeIPA

tl;dr, FreeIPA is een implementatie van dezelfde -functies- als wat AD voor Windows doet, maar dan gericht op Linux clients. Het voordeel is, omdat het gebruik maakt van Kerberos en LDAP, kan het een trust aan gaan met je AD controller. Hiermee hoef je dus geen compatibiliteitsproblemen op te lossen, doordat de clients tegen hun 'native' domein babbelen.

[ViNyL]

FreeIPA lijkt inderdaad wel een mooie oplossing. Dat zou ik in mijn achterhoofd kunnen houden. Ik heb echter het idee dat het met mijn config te maken heeft.

Als ik naar servernaam.domain.local ga dan werkt alles naar behoren, ga ik naar servernaam.domain.nl dan niet. Vermoedelijk omdat de naam aangeboden wordt als "[e-mail]" en die is niet geconfigureerd omdat dat niet de naam van onze REALM is. Las net iets over het 'mappen' met auth_to_local. Misschien dat dat een oplossing is.

[Pascal]

Doe je dit met IE? Probeer eens de website (https://servernaam.nl) in de zone "Local Intranet" te zetten. (instellingen --> security)

[ViNyL]

Je hebt helemaal gelijk. Dat is de truc inderdaad. Omdat ik niet veel ervaring met kerberos heb zat ik het daar te zoeken!

Thanks!

[Thc_Nbl]

je kan ook je host.domainnaam.nl als CNAME naar kerberos.fqdn.local zetten.
zou ook moeten werken.
en let op, je moet een A en PTR record hebben voor kerberos.

Hou er ook rekening mee dat .local een gereserveerde TLD is voor Apple's mDNS. ( en .lan )