Apache中的Kerberos用户身份验证

Question

任何人都可以推荐一些非常好的资源，以便如何让Apache使用Kerberos对用户进行身份验证。 Kerberos的

背景读数也将是有益的

感谢

彼得

Answer 1

mod_auth_kerb所是一个良好的开端：http://modauthkerb.sourceforge.net/。如果您需要Active Directory支持，请看这里：http://support.microsoft.com/?id=555092。

Answer 2

我发现mod_auth_spnego也相当好，因为它可以在Windows上使用SSPI而不需要MIT Kerberos。 mod_spnego

Answer 3

下面是一个例子使用Active Directory作为KDC： http://oslabs.mikro-net.com/krb_apache.html

Answer 4

我喜欢有关配置Apache以使用Kerberos这篇文章：

http://www.roguelynn.com/words/apache-kerberos-for-django/

（你可以跳过关于Django的部分，如果你不感兴趣）

编辑：

Fullblown answer

配置apache以使用Kerberos身份验证非常简单。

我假设你已经在你的机器上正确配置了Kerberos。

1）您的网络服务器必须有keytab [1]。

底线，您的网络服务器有能够读取密钥表！

2）你必须有适当的身份验证模块的httpd - mod_auth_kerb：

LoadModule auth_kerb_module modules/mod_auth_kerb.so 

3）然后，你必须告诉Apache有关Kerberos：

<Location /> 
    AuthName "Kerberos Authentication -- this will be showed to users via BasicAuth" 
    AuthType Kerberos 
    KrbMethodNegotiate On 
    KrbMethodK5Passwd Off 
    # this is the principal from your keytab (you may lose the FQDN part) 
    KrbServiceName HTTP/$FQDN 
    KrbAuthRealms KERBEROS_DOMAIN 
    Krb5KeyTab /path/to/http.keytab 
    Require valid-user 

    Order Deny,Allow 
    Deny from all 
</Location> 

然后Apache将通过用户通过REMOTE_USER HTTP头向您的应用程序发送。

就是这样。

我也建议你在安装过程中打开apache的调试日志。确保你有正确的时间，httpd可以读取密钥表，就这些。

[1] http://kb.iu.edu/data/aumh.html

[2]主要资源：http://www.roguelynn.com/words/apache-kerberos-for-django/