使用桌面ldap進行Web身份驗證

Question

問題：我希望公司客戶端中的用戶使用本地LDAP憑據向我的Web服務器進行身份驗證。 用戶具有可以通過本地LDAP服務器進行身份驗證的本地桌面客戶端。 我的服務器和LDAP服務器無法互相通信。

我知道，如果Web服務器將LDAP請求中繼到LDAP服務器，則可以使用LDAP在Web服務器上進行身份驗證。 （用戶/桌面客戶端連接到Web服務器，發送憑據，並且Web服務器與LDAP服務器交互以進行身份​​驗證）

但是，台式機客戶端是否可以通過本地LDAP服務器進行身份驗證，然后連接到發送令牌的Web服務器，該令牌將授予對Web服務器的訪問權限？ （用戶對ldap進行身份驗證，將ldap響應發送到Web服務器）

我說的不是Oauth，這需要兩個服務器都可以通話。 在這種情況下，LDAP服務器與外部聯系人隔離。

這里最大的問題是，即使您自己編寫客戶端，也永遠不要信任客戶端。 諸如公共/專用身份驗證之類的東西（ 可能 ）不能很好地工作，因為問題不是加密，而是確保消息來自LDAP服務器，消息為“確定”。 流氓客戶可能會偽造OK並仍然簽名。

Answer 1

如果我正確理解了您的問題，那么您正在尋找一種使用用戶的域憑據使桌面客戶端與Web應用程序對話的方法。

使用ADFS之類的方法應該很容易做到。 如果在客戶端Active Directory域中運行ADFS，則桌面客戶端可以使用Kerberos從該客戶端獲取令牌。 然后，它可以使用此令牌向您的Web應用程序進行身份驗證。

您將需要配置Web應用程序以信任客戶端域中ADFS實例發出的令牌。

Answer 2

ADFS可能有效，但是沒有必要。 您應該考慮使用SPNEGO，因為它不需要ADFS基礎結構。