Kerberos Kimlik Doğrulamasını Farklı Tarayıcılarda Yapılandırma

Bu makalede, bir şirket ağında bir kullanıcının parolasını yeniden girmeye gerek kalmadan web sunucularında şeffaf ve güvenli kimlik doğrulamayı etkinleştirmek için bir Windows etki alanındaki farklı tarayıcılar için Kerberos kimlik doğrulamasının nasıl yapılandırılacağına bakacağız. Modern tarayıcıların çoğu (IE, Chrome, Firefox) Kerberos'u destekler, ancak çalışması için bazı ekstra adımlar uygulamanız gerekir.

Bir tarayıcının bir web sunucusunda kimlik doğrulaması yapmasına izin vermek için aşağıdaki koşulların yerine getirilmesi gerekir:

  1. Kerberos desteği web sunucusu tarafında etkinleştirilmelidir (IIS Web Sitesi için Kerberos Kimlik Doğrulaması Kurulumu örneği);

  2. Bir kullanıcının web sunucusuna erişimi olmalıdır;

  3. Bir kullanıcının, Kerberos kullanılarak Active Directory'ye katılmış bilgisayarında kimliği doğrulanmalıdır (geçerli bir TGT - Kerberos Bilet Verme Biletine sahip olmalıdır).

Örneğin, Kerberos istemcilerinin a-d.site etki alanındaki herhangi bir web sunucusunda bir tarayıcı kullanarak kimlik doğrulaması yapmasına izin vermek istiyorsunuz (web sunucusunun IP adresi yerine DNS veya FQDN adı kullanılmalıdır).

Internet Explorer'da Kerberos Kimlik Doğrulamasını Etkinleştirme

Internet Explorer 11'de Kerberos kimlik doğrulamasının nasıl etkinleştirileceğini düşünelim.

Ocak 2016'dan beri resmi olarak desteklenen tek Internet Explorer sürümünün IE11 olduğunu hatırlatırız.

İnternet Seçenekleri -> Güvenlik -> Yerel intranet'e gidin ve Siteler -> Gelişmiş 'i tıklayın. . Bölgeye aşağıdaki girişleri ekleyin:

  • https://*.a-d.site
  • http://*.a-d.site

Grup İlkesini kullanarak siteleri bu bölgeye ekleyebilirsiniz: Bilgisayar Yapılandırması -> Yönetim Şablonları -> Windows Bileşenleri -> Internet Explorer -> İnternet Kontrol Paneli -> Güvenlik Sayfası -> Siteden Bölgeye Atama. Her web sitesi için 1 değerine sahip bir giriş ekleyin. “İnternetten indirilen dosyalar için Windows'ta Açık Dosya güvenlik uyarısı nasıl devre dışı bırakılır” makalesindeki örneğe bakın.

Ardından, Gelişmiş sekmesine gidin ve Güvenlik bölümünde, Tümleşik Windows Kimlik Doğrulamasını Etkinleştir seçeneğinin işaretli olduğundan emin olun.

Önemli. Kerberos kimlik doğrulamasının etkinleştirildiği web sitelerinin yalnızca Yerel intranet bölgesinde bulunduğundan emin olun. Güvenilir siteler bölgesine dahil olan web siteleri için bir Kerberos belirteci ilgili web sunucusuna gönderilmez.

Google Chrome'da Kerberos Kimlik Doğrulaması Nasıl Etkinleştirilir?

TOA'nın Google Chrome'da çalışmasını sağlamak için Internet Explorer'ı yukarıda açıklanan yöntemi kullanarak yapılandırın (Chrome, IE ayarını kullanır). Ek olarak, Chrome'un tüm yeni sürümlerinin web sitesinde Kerberos desteğini otomatik olarak algıladığını belirtmek gerekir. Daha eski Chrome (Chromium) sürümlerinden birini kullanıyorsanız, web sunucularınızda Kerberos kimlik doğrulamasının düzgün çalışması için aşağıdaki parametrelerle çalıştırın:

--auth-server-whitelist="*.a-d.site"
--auth-negotiate-delegate-whitelist="*.a-d.site"

Örneğin:

"C:\Program Files (x86)\Google\Chrome\Application\chrome.exe” --auth-server-whitelist="*.a-d.site " --auth-negotiate-delegate-whitelist="*.a-d.site"

Bu ayarları Chrome için GPO'yu (AuthServerWhitelist politikası) kullanarak veya HKLM\SOFTWARE\Policies\Google\Chrome kayıt defteri anahtarında bulunan AuthNegotiateDelegateWhitelist kayıt defteri parametresini kullanarak yapılandırabilirsiniz (GPO kullanılarak bir kayıt defteri anahtarı nasıl dağıtılır).

Değişikliklerin yürürlüğe girmesi için tarayıcınızı yeniden başlatın ve kullanarak Ketberos biletlerini sıfırlayın.

klist purge

komut (makaleye bakın).

Firefox'u Kerberos kullanarak Kimlik Doğrulaması Yapacak Şekilde Yapılandırma

Varsayılan olarak, Firefox'ta Kerberos desteği devre dışıdır. Etkinleştirmek için tarayıcı yapılandırma penceresini açın (adres çubuğunda about:config'e gidin). Ardından, aşağıdaki parametrelerde Kerberos kimlik doğrulamasını kullanacağınız web sunucularının adreslerini belirtin.

  1. network.negotiate-auth.trusted-uris
  2. network.automatic-ntlm-auth.trusted-uris

Kolaylık sağlamak için network.negotiate-auth.allow-non-fqdn parametresini etkinleştirerek FQDN sunucu adresinin Mozilla Firefox adres çubuğuna zorunlu olarak girilmesini devre dışı bırakabilirsiniz.

Fiddler veya Fiddler kullanarak tarayıcınızın sunucuda Kerberos kimlik doğrulamasını geçtiğinden emin olabilirsiniz.

klist tickets

emretmek.

İlgili makaleler