Single Sign-On на основе логин/пароля windows?

Question

[akass]

Есть необходимость сделать SSO на основе логин/пароля винды. Чтобы после входа в систему делать запрос на внешний сервис и получать токен. Как лучше это сделать? Сейчас пытаюсь кастомизировать вход в винду (pGINA) но что-то не очень мне это нравится

Comments

[Станислав Макаров]

Нужно, чтобы вход в Винду был через аутентификацию во внешнем сервисе? Какие версии Вендов интересуют?

[akass]

Станислав Макаров: В винду обычный вход, просто параллельно с этими же данными пройти аутентификацию на внешнем сервисе. Пока только Windiws 7

[Станислав Макаров]

Просто в Семерке и выше есть нормальные API для поставщиков учетных данных (в Семерке первая версия этого API, в Восьмерке и выше - вторая), а GINA это что-то из времён XP, имхо.

[Станислав Макаров]

akass а, т.е. наоборот все-таки. Обычный это какой? В домене же?

[akass]

Станислав Макаров: Вы про Credential Provider?

[akass]

Станислав Макаров: Да, обычный в домене.

[Станислав Макаров]

akass да, я про них, но это если бы у вас наоборот было - что у вас есть условно говоря база пользователей, и вам надо залогинить человека, пользуясь этой базой, при этом стандартными механизмами вроде домена вы пользоваться не хотите.
Как я теперь понимаю, вы наоборот, хотите залогиниться в обычную учетку в домене, но пройти также и авторизацию на внешнем сервисе.

Если этот сервис внешний по отношению к вашей компании, то вам бы не помешали Federation Services. Но этот внешний сервис должен уметь в SAML, да и вам придётся поднять на сервере эту роль. Внешний сервис достаточно умён для таких вещей?

[Станислав Макаров]

akass вот типичный сценарий прямо с Вики ( https://en.wikipedia.org/wiki/Active_Directory_Fed... ). Это про вас?

In practice a user might typically perceive this approach as follows:

The user logs into their local PC (as they typically would when commencing work in the morning).
The user needs to obtain information on a partner company's extranet website - for example to obtain pricing or product details.
The user navigates to the partner-company extranet site - for example: example.com.
The partner website now does not require any password to be typed in - instead, the user credentials are passed to the partner extranet site using AD FS.
The user is now logged into the partner website and can interact with the website "logged in".

[akass]

Станислав Макаров: Учетка в домене AD, надо по ней во время входа отправить запрос на CAS сервер и получить тикет для доступа к сервисам. Все это внутри компании. Цель вводить пароль только один раз. pGina как раз и есть обертка над GINA у старых систем и Credential Providers у новых. Вроде бы удобная система написания расширений. Но на данный момент она у меня как раз с доменами и конфликтует.

Answer 1

[akass]

pGINA после должной настройки решила задачу.

Comments

[#алгоптимизируй #отботизируй]

Что именно настроили?

[akass]

Добавил и доделал под себя плагин LDAP, с помощью которого стал нормально заходить через учетку AD, без создания локальной учетки. Ну и собственно написал плагин реализующий необходимую мне стратегию SSO

Answer 2

[mark1yan]

support.squaredup.com/support/solutions/articles/4...