Connexion LDAP sans mot de passe et obtenir des informations utilisateur à l'aide du ticket Kerberos en PHP
J'essaie de mettre en œuvre le SSO sur certains des sites intranet de notre entreprise en utilisant FreeIPA/Kerberos. Mais il existe très peu d’informations sur ce sujet.
J'ai trois machines en cours d'exécution dans mon réseau de test :
- Serveur FreeIPA v4.9.8 sur Centos 8 Stream
- Serveur Web sur Debian 11 (Apache v2.4.53, PHP v7.4.28)
- Client Xubuntu 22.04 avec Kinit et Firefox
Kinit, la connexion Unix et l'authentification Apache Kerberos fonctionnent. Le navigateur Firefox sur le système client peut se connecter à FreeIPA WebConfig sans mot de passe (à l'aide du ticket Kerberos). Je souhaite maintenant déplacer cette fonctionnalité vers notre page intranet. Jusqu'à présent, les connexions à ces pages étaient basées sur les connexions LDAP traditionnelles. Avec un léger ajustement du script de connexion, les utilisateurs peuvent désormais se connecter au nouveau serveur FreeIPA. Cependant, il a toujours besoin d'un mot de passe, mais grâce au ticket Kerberos, le mot de passe n'est en réalité plus nécessaire.
La question est : à quoi ressemble la connexion sans mot de passe ?
Extrait fonctionnel du script de connexion :
<?php
$username = $_SERVER['PHP_AUTH_USER'];
$password = 'password';
$ldap_rdn = 'uid='.$username.',cn=users,cn=accounts,dc=exampletest,dc=de';
$ldap_server = ldap_connect('ldap://ipa.exampletest.de:389');
ldap_set_option($ldap_server, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldap_server, LDAP_OPT_REFERRALS, 0);
if ($ldap_server) {
$ldap_bind = @ldap_bind($ldap_server, $ldap_rdn, $password);
if ($ldap_bind) {
$search = array("uid","givenname","sn","mail","uidnumber","gidnumber");
$result = ldap_search($ldap_server, $ldap_rdn, "mail=$username*", $search);
$info = ldap_get_entries($ldap_server, $result);
print_r($info);
}
}
?>
Maintenant, j'ai deux pensées :
- Je pourrais utiliser ldap_sasl_bind() au lieu de ldap_bind(), mais cette fonction n'est pas documentée sur php.net (https://www.php.net/manual/en/function.ldap-sasl-bind.php). Si quelqu'un sait comment utiliser cette fonctionnalité, je lui en serais reconnaissant.
- Je serais également heureux si je pouvais exécuter ldap_search() sans mot de passe pour obtenir des informations sur l'utilisateur (nom complet, e-mail, etc.).
Merci beaucoup d'avance.
Éditeur :
La VM du serveur Web et la VM client sont initialisées via "ipa-client-install". De plus, le serveur Web a enregistré le service Apache (ipa service-add HTTP/ebook.exampletest.de).
La configuration d'Apache reflète également ceci :
<Directory /var/www/ebook/>
AuthType GSSAPI
AuthName "eBook Login"
GssapiCredStore keytab:/etc/apache2/http.keytab
GssapiAllowedMech krb5
GssapiBasicAuthMech krb5
GssapiImpersonate On
GssapiDelegCcacheDir /run/apache2/clientcaches
GssapiLocalName On
# for production set to on:
GssapiSSLonly Off
GssapiNegotiateOnce Off
GssapiUseSessions On
Session On
SessionCookieName gssapi_session path=/private;httponly;secure;
Require valid-user
</Directory>
Comme je l'ai déjà mentionné, l'authentification des utilisateurs semble fonctionner comme ceci (client（自己的票） > web 服务（自己的票） > ipa server). Sinon, le serveur Apache ne renverra pas mon nom d'utilisateur ldap/kerberos. Ou est-ce que j'ai raté quelque chose d'important ici ? Existe-t-il un autre moyen d'appliquer cette authentification ?
Sortie : <?php print_r($_SERVER) ?> (interceptée)
[GSS_MECH] => Negotiate/krb5 [GSS_NAME] => test@EXAMPLETEST.DE [REMOTE_USER] => test [AUTH_TYPE] => Negotiate [PHP_AUTH_USER] => test
