SSO Authentication - Apache/PHP/ActiveDirectory

Question

Я хочу создать интрасеть с аутентификацией SSO через Active Directory. Я искал о, и я нашел, может быть два пути:

1. Использование модуля апачский mod_authnz_sspi. Я могу получить имя пользователя и домен, но кажется, что аутентификации нет. Может быть, я не понимаю ...

   Вот мой апач конф для этого модуля:

    
       
       AuthType SSPI 
       SSPIAuth On 
       SSPIAuthoritative On 
       SSPIOfferBasic On 
       SSPIOmitDomain Off 
       SSPIDomain MyDOMAIN 
       Require valid-user 
   
   

   Так что я думаю «соединение» не очень безопасно ...

2. Использование модуль Apache mod_authnz_ldap, но я не могу сделать это хорошо работает ...

   Вот мой апач конф для этого модуля:

    
       
       AuthName "LDAP Authentication" 
       AuthType Basic 
       AuthBasicProvider ldap 
       AuthLDAPBindAuthoritative off 
       AuthLDAPURL "ldap://ad.server.fr:389/DC=server,DC=local?sAMAccountName?sub?(objectClass=person)" NONE 
       AuthLDAPBindDN ldap@server.local 
       AuthLDAPBindPassword password 
       AuthLDAPRemoteUserAttribute on 
       LDAPReferrals Off 
   
   

   Я получил эту ошибку LDAP: SSL support unavailable: LDAP: CA certificates cannot be set using this method, as they are stored in the registry instead., но я не хочу использовать SSL для соединения ...

   На самом деле я не очень понимаю, как это работает. Мой активный каталог не получает соединение из моего apache или просто может быть анонимным.

Теперь я не знаю, как сделать аутентификацию SSO в моей интрасети. Какой путь лучше? Есть еще один?

Я использую wamp (для окон) с apache 2.4.4.

Answer 1

Я использую apache 2.4.4, на windows xp, с mod_authnz_sspi, и для людей, использующих IE8, работает следующее. Но я не использую PHP. Использование Django.

<Location "/k/"> 
    AuthName "Something" 
    AuthType SSPI 
    SSPIAuth On 
    SSPIAuthoritative On 
    SSPIDomain "COMPANY" 
    SSPIUsernameCase "upper" 
    require valid-user 
    SSPIPerRequestAuth Off 
    require user "NT AUTHORITY\ANONYMOUS LOGON" denied 
</Location>