Log masuk LDAP tanpa kata laluan dan dapatkan maklumat pengguna menggunakan tiket Kerberos dalam PHP
Saya cuba melaksanakan SSO pada beberapa tapak intranet syarikat kami menggunakan FreeIPA/Kerberos. Tetapi terdapat sedikit maklumat mengenai topik ini.
Saya mempunyai tiga mesin yang sedang berjalan dalam rangkaian ujian saya:
- PelayanIPA v4.9.8 Percuma pada Centos 8 Stream
- Pelayan web pada Debian 11 (Apache v2.4.53, PHP v7.4.28)
- Xubuntu 22.04 pelanggan dengan Kinit dan Firefox
Kinit, log masuk Unix dan Apache Kerberos Auth berfungsi. Pelayar Firefox pada sistem klien boleh log masuk ke FreeIPA WebConfig tanpa kata laluan (menggunakan Kerberos Ticket). Saya kini mahu mengalihkan fungsi ini ke halaman intranet kami. Sehingga kini, log masuk ke halaman ini berdasarkan log masuk LDAP tradisional. Dengan sedikit pelarasan pada skrip log masuk, pengguna kini boleh log masuk ke pelayan FreeIPA baharu. Bagaimanapun, dia masih memerlukan kata laluan, tetapi terima kasih kepada tiket Kerberos, kata laluan itu sebenarnya tidak diperlukan lagi.
Persoalannya, apakah rupa log masuk tanpa kata laluan?
Coretan fungsi skrip log masuk:
<?php
$username = $_SERVER['PHP_AUTH_USER'];
$password = 'password';
$ldap_rdn = 'uid='.$username.',cn=users,cn=accounts,dc=exampletest,dc=de';
$ldap_server = ldap_connect('ldap://ipa.exampletest.de:389');
ldap_set_option($ldap_server, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldap_server, LDAP_OPT_REFERRALS, 0);
if ($ldap_server) {
$ldap_bind = @ldap_bind($ldap_server, $ldap_rdn, $password);
if ($ldap_bind) {
$search = array("uid","givenname","sn","mail","uidnumber","gidnumber");
$result = ldap_search($ldap_server, $ldap_rdn, "mail=$username*", $search);
$info = ldap_get_entries($ldap_server, $result);
print_r($info);
}
}
?>
Sekarang saya ada dua fikiran:
- Saya boleh menggunakan ldap_sasl_bind() dan bukannya ldap_bind(), tetapi fungsi itu tidak didokumenkan pada php.net (https://www.php.net/manual/en/function.ldap-sasl-bind.php). Jika sesiapa tahu cara menggunakan ciri ini saya akan berterima kasih.
- Saya juga gembira jika saya boleh menjalankan ldap_search() tanpa kata laluan untuk mendapatkan maklumat pengguna (nama penuh, e-mel, dll.).
Terima kasih banyak-banyak terlebih dahulu.
Editor:
Kedua-dua VM Pelayan Web dan VM Pelanggan dimulakan melalui "ipa-client-install". Selain itu, pelayan web telah mendaftarkan perkhidmatan apache (ipa service-add HTTP/ebook.exampletest.de).
Konfigurasi apache juga menggambarkan ini:
<Directory /var/www/ebook/>
AuthType GSSAPI
AuthName "eBook Login"
GssapiCredStore keytab:/etc/apache2/http.keytab
GssapiAllowedMech krb5
GssapiBasicAuthMech krb5
GssapiImpersonate On
GssapiDelegCcacheDir /run/apache2/clientcaches
GssapiLocalName On
# for production set to on:
GssapiSSLonly Off
GssapiNegotiateOnce Off
GssapiUseSessions On
Session On
SessionCookieName gssapi_session path=/private;httponly;secure;
Require valid-user
</Directory>
Seperti yang telah saya nyatakan, pengesahan pengguna nampaknya berfungsi seperti ini (client（自己的票） > web 服务（自己的票） > ipa server). Jika tidak pelayan apache tidak akan mengembalikan nama pengguna ldap/kerberos saya. Atau adakah saya kehilangan sesuatu yang penting di sini? Adakah terdapat cara lain untuk menguatkuasakan pengesahan ini?
Output: <?php print_r($_SERVER) ?> (dipintas)
[GSS_MECH] => Negotiate/krb5 [GSS_NAME] => test@EXAMPLETEST.DE [REMOTE_USER] => test [AUTH_TYPE] => Negotiate [PHP_AUTH_USER] => test
