Как вэб сервер может узнать имя пользователя домена при входящем запросе от пользователя RPD?

Question

[FragMaster]

Цель: сделать систему, которая будет отдавать данные в зависимости от имени пользователя в домене

Что есть:

• домен
  
• apache
  
• пользователи на терминальном сервере
  

Что хочется: на апаче развернуть http сервис, в заголовках входящего запроса у которого будет указан доменный пользователь.

По идее план такой:

• настроить доменную авторизацию на апаче и включить его в домен
  
• настроить апач так, чтобы он в заголовки входящего запроса добавлял поле с именем пользователя домена, от которого будет происходить входящий запрос
  
• обработать имя доменного пользователя и выдать нужный мне результат
  

Вопрос:
1) При реализации такого плана нет нюансов при использовании терминального сервера? Т.е. много пользователей будет обращаться от одного IP адреса, но с разными доменными именами
2) Как, все таки, апач определит доменного пользователя? Хочется понять механизм.

Comments

[Valentin Barbolin]

https://stackoverflow.com/questions/30152416/apach...

[FragMaster]

Valentin Barbolin, прочитал, там упоминания rdp нет..
Я в замешательстве.
Рассуждаю так:
- для того чтобы однозначно определить пользователя ан стороне апаче нужно какое-то поле прописывать автоматом во все исходящие запросы от имени пользователя в rdp сеансе
- апач, получив такой входящий запрос, может по этому уникальному полю(access token?) сделать запрос в АД и получить имя пользователя

но вроде как-то не секьюрно получается, если винда автоматом access token в заголовки добавляет

[Valentin Barbolin]

FragMaster, RDP тут не причем, он никак не участвует в процессе прозрачной авторизации пользователей на WEB ресурсах. Почитай как работает kerberos.

[FragMaster]

Valentin Barbolin, да, гляну описание kerberos

Тогда получается, если я буду действовать по плану
По идее план такой:

• настроить доменную авторизацию на апаче и включить его в домен
  
• настроить апач так, чтобы он в заголовки входящего запроса добавлял поле с именем пользователя домена, от которого будет происходить входящий запрос
  
• обработать имя доменного пользователя и выдать нужный мне результат
  

по идее все должно сработать нормально как для случая отдельного компа, так и для случая пользователей из rdp?

[FragMaster]

Получается, если верить статье на хабре, то процесс запущенный в rdp от имени доменного пользователя будет во все исходящие http запросы к удаленному апач добавлять в заголовки поле access token?

[Valentin Barbolin]

FragMaster, Отличный план)

по идее все должно сработать нормально как для случая отдельного компа, так и для случая пользователей из rdp?

Да.

[Valentin Barbolin]

FragMaster, Давно с этим разбирался, помоему есть какое-то ограничение на доменное имя, то есть WEB ресурс должен быть в той же доменной зоне что и контроллер. То есть, если внутренний домен mydomain.local, то к WEB серверу надо обращаться например по имени info.mydomain.local.

[FragMaster]

Valentin Barbolin, учту, спс
А если будет несколько доменов?
Просто апач подружить со всем доменами и должно работать как и с одним?

[Valentin Barbolin]

FragMaster, Мне не приходилось использовать несколько доменов, ничего не могу посоветовать.

[Alexey Dmitriev]

FragMaster то, что вы описываете - вероятно называется SSO

[MVV]

FragMaster, в разных доменах AD (домен, с точки зрения Kerberos - это realm) вполне могут быть пользователи с одним и тем же именем (например, Administartor ;-) ). Уникальным идентификатором для пользователя в Kerberos является User Principal Name (AKA UPN), оно имеет вид [e-mail].
Оно обязательно должно быть в билете (token) Kerberos, который пользователь обязан прислать при аутентификации по этому протоколу. Но вот как достать его в Apache - это я не в курсе, смотрите документацию. Или, может, тут кто подскажет.

[Quqas]

пользователи на терминальном сервере

сервер тоже линуховый? если да то зачем домен?

а если терминальник виндовый зачем лепить горбатого если есть встроенный rdweb? прозрачно в зависимости от группы можно разные приложения\ресурсы выдавать
sso тоже прикручивается к iis.

[FragMaster]

Quqas, да, все на винде. В итоге решили попробовать все это на IIS, т.к. там проще с включением в домен и доверием к другим доменам.

Answer 1

[Shaman_RSHU]

По второму пункту как-то так:

<Location />
    AuthType Kerberos
    AuthName "Kerberos Login"
    KrbAuthRealms EXAMPLE.COM
    KrbServiceName HTTP/[e-mail]
    Krb5KeyTab /etc/apache2/auth.keytab
    Require valid-user
</Location>