問題タブ [kerberos]

シェアポイント サイトのコンテキストで動作する Web サービスを開発しました。これは、通常の Windows 認証を使用して正常に機能します。

これを Kerberos 対応の共有ポイント サイトにインストールしたいクライアントがいます。これを有効にするには、Web サービス、呼び出し元のクライアント (Windows サービス)、またはその両方にどのような変更を加える必要がありますか?

Webページのログインフォームから提供された認証資格情報を使用して.NETを使用してKerberosチケットを生成し（これにより、SQLデータベースでユーザーが認証されます）、このチケットを使用して、他の複数のユーザーのシングルサインオンとしてユーザーを認証しますWebアプリ。

これは可能ですか？WSEを確認しましたが、認証に使用する前に、使用する許可されたKerberosチケットがすでにあると想定しているようです。

チケットを発行するためのMITKerberosサーバーがあります。

Sharepoint 2007 Web パーツがコードを実行して、K2 ワークフロー プロセスを開始します。ワークフロー サーバーは別のサーバー上にあります。

コードを実行すると、次のエラーが表示されます。

これは一般的な IIS 委任の問題 (K2 固有ではない) であると確信していますが、解決方法がわかりません。現在のドメイン ユーザーを偽装する必要がある場合に、Sharepoint が AnonymousLogon として他のサーバーに接続しようとするのはなぜですか?

注: - 私の Sharepoint AppPool ID はドメイン ユーザーです (ネットワーク サービスではありません)。- ASP.NET の偽装が有効になっています。

Mac Book Pro で SSH がハングアップするという問題が発生しています。これは、仕事中に SSH を使用した後、仕事から帰宅したときにのみ発生します。私が問題を絞り込んだ 3 つの要因は、SSH、私たちの仕事の AFS ネットワーク ドライブ、およびネットワーク接続の方法です。

職場では、Kerberos 認証を備えた AFS ドライブを使用して、すべてのソフトウェア開発作業を行っています。すべてのソース コードが存在する AFS ドライブにアクセスするために Kerberos で認証しますが、AFS ドライブ上のファイルを参照するローカル エディター (Eclipse) を開きます。コードをコンパイルする必要があるときはいつでも、開発サーバー (AFS ドライブに対しても認証されています) に SSH 接続し、そこからコンパイルします。(正気のメモ: 私はそれが非常に風変わりな設定であることを知っていますが、私はそれとは何の関係もないと約束します.

私のネットワーク設定では、常に自動ロケーションを使用しています。その構成では、仕事中にDHCPと当社のDNSサーバーを使用するように構成された組み込みイーサネットen1があります（ワイヤレスは利用できません）。家に帰ると、再び DHCP を使用してワイヤレス経由でホーム ネットワークに接続します。

ここでは、AFS 接続/イーサネット構成がどういうわけか犯人であるという予感があります。SSH デーモンを再起動しても問題は解決しません。この問題を解決する唯一の方法は、SSH を使用するたびにコンピューターを再起動することです。仕事でラップトップを使用した後、自宅にいる間、他の (既知の) ネットワークの問題は発生していないことに注意してください。

MBP で同じ問題を報告した同僚がいます。

私は本当にこれに困惑しています。いくつかのガイダンスを提供してください。ありがとう！

IIS Web サイトが正常に Kerberos を使用しており、NTLM にフォールバックしていないことを確認するにはどうすればよいでしょうか?

Tomcatで使用するためにKerberos認証を実装し、Kerberos委任もサポートするApacheモジュールはありますか？

私はすでにmod_spnegoを見てきましたが、プリンシパル名のみを保持して作成したSSPIコンテキストを破棄します。代わりに、Tomcatに送信されたチケットの委任を可能にするモジュールを探しています。つまり、認証のために送信されたサービスチケットを取得し、サーバー側を使用してユーザーに代わって別のサービスにアクセスします。

編集：明確にするために、GSS / SSPIコンテキストを使用してWin32で偽装する必要があるため、レガシーコードが別のサーバーに接続するときに、委任された資格情報が使用されます。

'NT AUTHORITY \ NetworkService'として実行したいコンソールアプリケーションがありますが、その方法を思い出せません。唯一の理由は、サービスをWindowsサービスでホストすることですが、Kerberos認証用です。テストすでにドメインにある（サービスプリンシパル名）SPNを使用したい（委任が有効になっている）。

つまり、コンソールアプリケーションからWindowsサービスに簡単に変換できますが、それを避けたいと思っていました。

これどうやってするの？

JavaGSS-APIを使用してKeyDistributionCenter（KDC）からサービスチケットを取得する方法を知っている人はいますか？

最初にKrb5LoginModuleを使用してJAAS経由で認証し、チケットキャッシュからTGTをフェッチするシッククライアントアプリケーションがあります（バックグラウンド：Windowsは、たとえばKerberos実装を使用し、チケット許可チケットを安全なメモリ領域に格納します）。LoginManagerから、TGTを含むSubjectオブジェクトを取得します。これで、サービス用に特定のGSSCredentialオブジェクトを作成するときに、サービスチケットがサブジェクトのプライベートクレデンシャルにも入れられることを期待していました（Webのどこかで読んだことがあります）。だから私は次のことを試しました：

残念ながら、GSSExceptionが発生します：有効な資格情報が提供されていません（メカニズムレベル：Kerberos tgtが見つかりませんでした）。

私は Kerberos についてあまり知らないと仮定してみましょう。基本的なことだけです。

私は持っている...

• Debian Linux 2.6 ウェブサーバー
  • アパッチ 2.2
    • mod_auth_kerb/5.3
    • PHP/5.2
• (動作中の) Kerberos レルム
• Windows クライアント
  • Firefox 3
  • MIT Network Identity Manager のログイン ID「user@EXAMPLE.COM」

訪問者がそのような kerberos チケットを持っている場合に Web サイトにログインする必要がないように、PHP スクリプトでこの情報を使用するにはどうすればよいですか? Apache に認証を処理させたくありません。PHP 経由でサイトにアクセスしているユーザーを特定する必要があります。

それは可能ですか？もしそうなら：どのように？

これまでにわかったこと: Firefox でドメインを「有効」にする必要があります。

とはいえ、そこまで...

私のネットワークには、ユーザー名/パスワード認証用の kerberos サーバーがあります。アプリケーションを実行するマシンには kerberos クライアントが機能しているため、ユーザーは kinit などを使用できます。

独自のカスタム アプリケーションからプログラムでサーバーと対話するにはどうすればよいですか? 例として推奨される言語は C です。

特定の機能にアクセスする前に、アプリケーションのユーザーが kerberos サーバーに対して認証されるようにします。ユーザー名とパスワードを尋ねる必要があると思います - kinit が呼び出されていない可能性があります。

アプリケーションをホストするマシンは、OS X と Debian/Linux を実行します。

その答えには、GSSAPI が関係している可能性が高いと思います。もしそうなら、これのための良いチュートリアルはありますか?