Single-Sign-On im Intranet - wie?

[Martin]

Hallo!

Ich möchte in einem Intranet eine SSO-Lösung einrichten. Ziel: Alle User der Firma loggen sich morgen an Ihrem Windows-Domänen-Acoount ein, und ohne weitere Logins bekommt Frau A von Abteilung AAA "ihre" Web-Anwendung zu sehen, und Herr B aus der Abteiling BBB die seinige.

Nun habe ich mittlerweile via Suchmaschinen herausgefunden, daß dies wohl mit LDAP (stünde übrigens zur Verfügung) gehen soll. Aber mir fehlt das prinzipielle Verständnis für diese Technik. Woher "weiß" denn meine Anwendung (Intranetserver/PHP/IIS 5.0, daran kann ich nichts ändern), daß es sich gerade um Frau A oder Herrn B handelt? Das liefert der Browser doch nicht mit?! Wie also spielen all diese Dinge zusammen?

Fragend,

Martin

[Eternius]

Hallo,

http://de.wikipedia.org/wiki/Single_Sign_On für den Anfang.

gruss

[Martin]

Danke (für den Anfang ;-))! So richtig weitergeholfen hat das leider nicht, denn einen Kerberos-Server kann ich mir nicht hinstellen. Zudem wäre dann immer noch unklar, woher meine Webanwendung "weiß", ob es sich um Frau A oder Herrn B handelt, vor allem dann, wenn ich von einer Cookie-basierten Lösung absehe. Mir kommt langsam der Verdacht, daß die Lösung wie ich sie mir vorstelle, überhaupt nicht geht - kann das sein? Oder läßt sich möglicherweise über ASP (der IIS 5.0 'kann' es ja) der User herausbekommen und über diesen Umweg etwas basteln?

[Der Martin]

Hi, lieber Namensvetter,

Zudem wäre dann immer noch unklar, woher meine Webanwendung "weiß", ob es sich um Frau A oder Herrn B handelt, vor allem dann, wenn ich von einer Cookie-basierten Lösung absehe.

Ich kenne mich mit der Thematik auch nicht so recht aus - aber beim Internet Explorer gibt's in den Sicherheitseinstellungen eine Option "Automatisches Anmelden". Kann es sein, dass es das Mosaiksteinchen ist, das dir noch fehlt? Da kann man nämlich einstellen, dass der IE sich, wenn nach User/Password gefragt wird, sofort mit den Windows-Anmeldedaten identifizieren soll (wahlweise nur im Intranet).

Hilft dir das weiter?

So long,

Martin

[Martin]

Hi DER Martin!

Ja, das hatte ich bislang glatt übersehen - ein guter Tip von Dir! Damit ist auch langsam klar, worauf die Sache hinausläuft: Windows (Browser), Windows (Server), Windows (überall)...;-) Ok, mal sehen, wie sich das i.d. Praxis gestalten wird.

Ich mag allerdings noch nicht ganz aufstecken, viell. hat ja jemand im Forum eine Lösung parat, die ohne IE-Browser und ohne IIS funktionieren würde. Szenario: ich habe verschiedenste Nicht-MS-Browser und die Anwendung läuft auf LAMP - was dann? Nur noch Cookie setzen möglich?

Bis bald, der MARTIN

[Rouven]

Hi,

also ohne den IE ist mir derzeit keine Lösung bekannt, aber diese "automatisches Anmelden"-Version kann man auf den Apache portieren. Such mal nach mod_auth_sspi, das ist ein Modul für den 2.x Apache, das diese Windows-Authentifizierung mitspielt.

MfG
Rouven

[Martin]

Hi Rouven!

Hey,das hört sich wirklich gut an! Danke für den Tip :-)

Schönen Tach,

Martin

[Yeti]

Hi,
es gibt da z.B. ein ActiveX-Plugin namens WScript. Das liefert dir folgendermaßen:

  
<script type="text/javascript">  
var wScript = new ActiveXObject("WScript.Network");  
document.loginform.user.value = wScript.UserName;  
</script>  

den Benutzernamen in das Feld user des Formulars loginform (kannst du natürlich selbstständig anpassen).

Zur automatischen Anmeldung kann ich dir NTLM empfehlen. Ich habe da auch mal ein PHP-Skript zu geschrieben (kannst du gerne haben), damit meldet sich der Browser automatisch an. Aber Achtung! Der Server muss in der Intranet-Zone eingetragen sein! Bei mir hier ist das Problem, dass die "Intranet"-Rechner alle IP-Adressen aus 131.*.*.* haben und somit in die Internetzone gesteckt werden. Aus gutem Grund liefert dann der Browser den Benutzernamen nicht aus. Zusätzlich darf ich wegen der Admins die Zoneneinstellungen auch nicht ändern oder Seiten zu Zonen hinzufügen. :-(
Aber wenn das bei dir kein Hindernis ist, würde ich es mal damit versuchen!

Gruß,
Der Yeti