問題タブ [single-sign-on]

私は、いくつかの外部委託システム (Google アプリ、svn/trac) から始めた典型的な小さな会社を支援しています。内部 jabber サーバー (主に iChat クライアント用の ejabber) を追加しました。いくつかの Web サービス (highrisehq など) にサブスクライブします。また、pfsense freebsd ファイアウォールによって提供される vpn サービスがあります。

そして、これらすべての最終的な結果は、彼らがパスワードとアカウントに溺れているということです.

単一の統一されたログイン/シングル サインオン サービスがあれば、これらを組み合わせるのに大いに役立つようです。例: マスター リポジトリとしての ldap、vpn、ejabber、さらには WPA2 ワイヤレス アクセス用にリンクされた Radius、Google アプリ サインオン用のプラグイン、おそらく highrisehq などの外部 Web サイト用の openid サーバー。

これらのツールはすべて別々に存在しているようですが、それらを素敵な GUI と自動更新と組み合わせた単一のボックスを知っている人はいますか? (たとえば、ファイアウォール用の pfsense/m0n0wall、ストレージ用の freeNAS など)。FOSSである必要はありません。有料ボックスでもいいです。

これは存在しなければならないと思います。Microsoft の Active Directory はおそらく 1 つのソリューションですが、可能であれば Windows は避けたいと考えています。ISP が使用する、または企業のファイアウォール/ルーター管理に使用するさまざまな「AAA」サーバーがあるようですが、それは正しくないようです。

私が見逃している明らかな解決策はありますか？ありがとう！

さまざまなソースから情報を収集する 1 つの Web アプリケーション (sharepoint) があります。ユーザーをこれらのさまざまなソースのメイン Web サイトにリンクし、事前認証できるようにしたいと考えています。IE では、他のソース (さまざまなタイプの LDAP、AD、自家栽培です!) の資格情報を入力し、それらの情報を取得して、その詳細を記憶します (おそらく、安全に保つためのシングル サインオン)。 . その後、ユーザーはリンクをクリックして、認証済みの別のウィンドウで完全なアプリを開くことができます。

これは可能でしょうか？

Report Viewer を使用して MS レポートを表示するために使用する ASP.NET Web アプリケーションがあります。レポートはリモート サーバー上にあります。Web アプリケーションにログオンしているユーザーに基づいてレポートを表示する必要があるため、Windows 認証を使用してレポート サービスに接続する必要があります。

解決策をネットで検索しましたが、何も見つかりませんでした。

誰か助けてください。

アクセスするために認証が必要なドメインとサブドメインのグループがあります。現在、mod_auth を使用して domain.tld レベルでユーザー (mod_auth basic) を認証しています。私の目標は、ドメインとすべてのサブドメイン間のシングル サインオンです。

これらの認証情報はサブドメインに自動的に引き継がれますか、または単純な vhost 構成の変更で引き継がれますか? または、これを行うためのより良い方法はありますか?

多数のオンラインサービスを提供しています。domain1.comあるサービス ( ) から別のサービス ( ) にユーザーが移動した場合に、ユーザーにすばやく簡単なエクスペリエンスを提供するシステムを開発する必要がありますdomain2.com。

新しいサービスに移行したユーザーを自動的にログインさせる安全で確実な方法はありますか?

以下の解決策が完全に安全でない/間違っている場合は、私に怒鳴りつけてください。

私たちは、多くのオンライン サービスで提供されているパスワード回復用のシステムと同様のシステムを検討していました。有効期限が切れる一意のハッシュを含むリンクが電子メールで送信され、パスワードを変更できるようになります。

サイトは一意のdomain1.comハッシュを生成し、有効期限フィールドとともにユーザーにリンクされたハッシュとともにデータベースに保存します。

ユーザーはに転送されますdomain2.com/auto/?hash=d41d8cd98f00b204e9800998ecf8427e

domain2.comdomain1.com次に、ハッシュを使用してユーザーに関する情報を取得するように要求します。domain1.com次に、データベースからハッシュを削除します。domain2.comユーザーをログインさせ、Cookie などを設定します。

OpenID または OAuth に基づくもので同じ結果が得られるでしょうか?

Google はGoogle Friend Connectを発表し、Facebook はFacebook Connectを発表しました。どちらのサービスも、シングル サインオンの問題を解決しようとしています。OpenID はこの問題を解決するために作成されたので、Facebook と Google の双子の重鎮に対して失敗するでしょうか?

2 つの異なるドメインを持つ 2 つの異なるサーバーで 2 つの異なるサイトを実行しています。一方のサイトでは Joomla を実行し、もう一方のサイトでは Moodle を実行しています。Joomla サイトのユーザー テーブルに基づいて認証を行うように Moodle サーバーを構成したので、ユーザー情報の信頼できる情報源が得られます。

私がやりたいことは次のとおりです: 誰かが Joomla サイトにサインインした後、Moodle サイトへのリンクを提供します。Moodle サイトは黙ってログインし、シングル サインオン ソリューションを偽装します。Joomla のパスワードは MD5 化されており、それぞれに独自のシークレット ソルトがあります。

これに対処する方法として最初に考えたのは、パスワードがプレーンテキストで保存されていることを Moodle に伝え、リンクをクリックしたときに非表示のフォーム入力を介して暗号化されたパスワードを送信することでした。それに関する明らかなセキュリティ上の問題は別として、Moodle インターフェイス経由でログインしようとすると、巨大な MD5 文字列を入力する必要があることも意味していました。

Moodle の認証モジュールを変更して、送信されたパスワードが特定の基準 (例: 16 進数の 32 文字) に一致する場合、Joomla バージョンと比較する前に MD5 を実行しないようにすることを検討してきました。 （暗号化されたパスワードを発見したら）それを使用してログインします。必要なのは、暗号化されたパスワードをJoomlaからMoodleに送信し、そのログイン要求を別の方法で処理するようにMoodleに通知する特別な方法です。

何かご意見は？

少数のプライベート グループがアクセスするドメインがあります。だから私は認証を介してアクセスを制御したい。

ドメインには、それぞれ独自のサブドメインを持つアプリケーションのコレクションがインストールされています。例: domain.com、app1.domain.com、app2.domain.com、app3.domain.com

アプリケーションごとに自分自身を認証する必要がないように、シングル サインオン ソリューションがあればいいのにと思います。また、アプリケーションはさまざまな言語 (PHP、Python、および Perl) で記述されているため、Apache モジュールを介してユーザーを認証することが理想的です。

認証をダイジェストするのは初めてですが、良い解決策のようです。私はhtdigest自分のユーザーを作成するために使用しました。ドメインとサブドメインを構成しました (以下を参照)。

ドメインまたはサブドメインのいずれかにアクセスすると、ユーザー名とパスワードの入力を求められます。正しいユーザー名とパスワードを入力すると、認証されてページが読み込まれます。ただし、別のサブドメインに移動すると、ユーザー名とパスワードを再度入力するよう求められます。同じユーザー名とパスワードを入力すると、機能します。

したがって、パスワード ファイルは問題なく、認証も問題ありませんが、問題は の構成にあるようですAuthDigestDomain。

複数のドメインでダイジェスト認証を使用する例を見つけるためにネット全体を検索しましたが、問題を解決する具体的な例が見つかりません。

ここの誰かが助けてくれることを願っています。すべての に同じ認証情報を入れDirectoryますか? DirectoryまたはLocationまたはを使用する必要がありFilesますか? 一緒に何かを逃したことがありますか？

前もって感謝します！

以下は、私の Apache 構成の domain.com の例です。

次に、app1.domain.com の例を示します。

さらに厄介なことに、これは IE6 を使用している場合には機能しますが、Firefox や Chrome では機能しません。クライアントが認証を適切に送信していないのでしょうか、それともサーバーが正しい資格情報を送信していないのでしょうか?

また、 RFC 2617を読み、PHP を使用して認証ヘッダーを作成し、要求/応答チャレンジが正しいことを確認しました。これはまったく役に立ちませんでした！

JavaGSS-APIを使用してKeyDistributionCenter（KDC）からサービスチケットを取得する方法を知っている人はいますか？

最初にKrb5LoginModuleを使用してJAAS経由で認証し、チケットキャッシュからTGTをフェッチするシッククライアントアプリケーションがあります（バックグラウンド：Windowsは、たとえばKerberos実装を使用し、チケット許可チケットを安全なメモリ領域に格納します）。LoginManagerから、TGTを含むSubjectオブジェクトを取得します。これで、サービス用に特定のGSSCredentialオブジェクトを作成するときに、サービスチケットがサブジェクトのプライベートクレデンシャルにも入れられることを期待していました（Webのどこかで読んだことがあります）。だから私は次のことを試しました：

残念ながら、GSSExceptionが発生します：有効な資格情報が提供されていません（メカニズムレベル：Kerberos tgtが見つかりませんでした）。

2つのWebサイトがあります。1つはASP.NETで駆動され、もう1つはPHPで駆動されます。PHPサイトは、比較的安価なホストプロバイダーでホストされています（月額$ 10の無制限の帯域幅とディスクスペース）。PHPサイトには、Webサイトの収益化に役立つRESTURLも用意されています。

もう1つのサイト（いわば「メイン」サイト）は、ログインメカニズムを収容するASP.NETWebサイトです。私の目標は、ユーザーがASP.NETサイトにログインして、PHPベースのドメインにリダイレクトできるようにすることです。これを達成するための簡単で実行可能な解決策はありますか？

そのアプローチに関していくつか質問があります。

「シングルサインオン」のオーラを促進するために、ASP.NETアプリケーションからPHPベースのアプリケーションにセッション情報と変数を渡すにはどうすればよいですか？

「単純な」Cookieはこのシナリオを処理できますか？または、暗号化されたクエリ文字列を使用する必要がありますか？

これらのサイトには「機密」データがないため、ユーザーデータの保護は最優先事項ではありません。このサイトは「楽しみのために」構築されました。

サブドメインをメインドメインとは異なる言語プラットフォームでホストできるようにするホストはありますか？www.example.comをASP.NETサーバーでホストしている場合、サブドメイン（forum.example.com）をPHPサーバーでホストできますか？これは可能ですか？

これに関するどんな助けも大いに感謝されます。