针对Active Directory的无缝SSO身份验证

Question

我有一个网页，我只希望特定的人群登录。

我在一所大学工作，我们使用Active Directory帐户，只有特定的组可以访问此php页面（在apache服务器上）。

我知道我可以使用一些PHP代码来限制访问，但是我想完成无缝登录。

每个人都在工作中使用IE7（配置为通过适当的凭据），并且需要登录到计算机（登录到域控制器）。

用户访问http：// intranet时，由于他们较早登录到计算机，因此他们将自动登录。

如果用户访问http://intranet.domain.com ，则会提示他们输入凭据。

我知道我需要使用kerberos进行身份验证，并使用LDAP进行授权。

有没有人在无缝身份验证方面取得成功？

Answer 1

有一些商业产品可以将其作为Apache模块提供，请参见SPNEGO上Wikipedia文章结尾的链接（例如，带有Apache的SPNEGO指南 ）。 我也知道一些php模块，例如php_krb5： php_krb5 beta /使用GSSAPI for PHP协商auth或Apache模块，例如mod_auth_kerb 。 我自己从来没有用过它们。

至于整个9码并在PHP中实现Negotiate auth，我在一生中确实在PHP中实现了Digest HTTP Auth的RFC 2617 ，并且确实实现了Windows SSPI身份验证模块，但是我从未尝试过在PHP中实现RFC 4559 。 尽管HTTP auth部分相当琐碎，但不透明的GSS-API部分却令人生畏，即使您拥有可用于RFC 2743的良好GSS-API库。

Answer 2

这是因为您需要将intranet.domain.local添加到IE中的“本地Intranet”区域。 检查本文以了解详细信息： http : //www.sysadminlab.net/other/local-intranet-zone-in-ie8-exaplained-for-sysadmins