LINUX.ORG.RU
ФорумAdmin

Прозрачность авторизации из домена Windows AD на linux сервер


0

0

Доброго времени суток. Настраиваю доступ к веб репрозитарию SVN.
SVN установлен на сервере: операционная система Debian 4 Eth, apache 2.2.3, subversion 1.4.2, модули authnz_ldap, dav_svn, ldap. Сеть представляет собой ряд клиентских машин с ОС Windows XP, под управлением контроллера домена Windows 2003 SP2.
Конфиг виртуального хоста (фрагмент с авторизацией лдап):

<Location "/repos">
DAV svn
SVNPath /путь/к/репозитарию/
AuthBasicProvider ldap
AuthType Basic
AuthzLDAPAuthoritative off
AuthName "my server"
AuthLDAPURL "ldap://192.168.1.1:389/DC=example,DC=com?sAMAccountName?sub?(objectClass=*)" NONE
AuthLDAPBindDN "CN=User,OU=groupeuser,DC=example,DC=com
AuthLDAPBindPassword password
require valid-user
AuthzSVNAccessFile /путь/к/файлу
</Location>

Все работает, ограничения прописанные в AccessFile действуют, но! все равно выходит окошко логин/пароль, и пользователю необходимо повторно (первый раз он это делает при включении компьютера и входе в домен) вводить свой логин/пароль.
Кто-нибудь может подсказать - есть ли способ сделать авторизацию с клиентских машин полностью прозрачной?


Ответ на: комментарий от DonkeyHot

А поподробней? Необходимо полноценно настроить керберос, с вводом линукс сервера в домен, генерацией кейтабов, и всю авторизацию повесить на него?

mormon
() автор топика
Ответ на: комментарий от mormon

Ставишь mod_auth_kerb (или как-то так), идёшь в гугль с вопросом про apache + kerberos + AD, находишь документ с подробной пошаговой инструкцией, делаешь. На работе есть ссылка, но я там не скоро окажусь, и я её так же нашёл, т.ч. удачи.

DonkeyHot ★★★★★
()
Ответ на: комментарий от DonkeyHot

http://www.opennet.ru/base/net/subversion_ldap.txt.html

Вот судя по всему этот документ. Я от него в свое время отказался именно по той же причине, несмотря на четко прописанную директиву mod_auth_kerb KrbMethodNegotiate On все равно не получается прозрачная авторизация.

mormon
() автор топика
Ответ на: комментарий от mormon

mod_ntlm Вам уже советовали. Пароль запрашиваться не будет, а имя пользователя нужно будет вытянуть из CGI enviroment. Правда когда я решал подобную задачу для HTMLDB, наши админы не смогли настроить, мне пришлось писать сервлет на java и потом редиректить.

anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.