| ... |
... |
@@ -1,8
+1,8 @@ |
|
1 |
+Da Kerberos und NTLM jetzt im Einmalanmeldemenü zusammen sind, muss diese Seite in deutsch und englisch neu erstellt werden. Der Inhalt der beiden alten Seiten befindet sich erstmal noch hier: |
|
2 |
+ |
| 1 |
1 |
{{content/}} |
| 2 |
2 |
|
| 3 |
|
-{{figure image="single_sign_on_ntlm_de.png" width="600"}} |
| 4 |
|
-Nutzeroberfläche für die Einstellungen zu NTLM. Nur verfügbar, wenn die Lizens dies erlaubt. |
| 5 |
|
-{{/figure}} |
|
5 |
+{{figure image="ntlm" width="300"/}} |
| 6 |
6 |
|
| 7 |
7 |
NTLM wird für die Authentifizierung von Formularbenutzern verwendet. Ein typisches Einsatzszenario sind Formulare, die intern von Mitarbeitern eines Unternehmens aufgerufen werden. Über NTLM kann das Formular auf die Benutzerdaten des angemeldeten ActiveDirectory zugreifen. |
| 8 |
8 |
|
| ... |
... |
@@ -109,13
+109,11 @@ |
| 109 |
109 |
|
| 110 |
110 |
== Einstellungen für Kerberos Authentifizierung == |
| 111 |
111 |
|
| 112 |
|
-{{figure image="single_sign_on_kerberos_de.png" width="600"}} |
| 113 |
|
-Nutzeroberfläche für die Einstellungen zu Kerberos. Nur verfügbar, wenn die Lizens dies erlaubt. |
| 114 |
|
-{{/figure}} |
|
112 |
+{{figure image="kerberos"}}Nutzeroberfläche für die Einstellungen zu Kerberos. Nur verfügbar, wenn die Lizens dies erlaubt.{{/figure}} |
| 115 |
115 |
|
| 116 |
116 |
Kerberos wird für die Authentifizierung von Formularbenutzern verwendet. Ein typischen Einsatzszenario sind Formulare, die "intern" von Mitarbeitern eines Unternehmens aufgerufen werden. In einem nachgeordneten Schritt kann das Formular dann Benutzerdaten des angemeldeten Nutzers aus dem ActiveDirectory bereitstellen. |
| 117 |
117 |
|
| 118 |
|
-Kerberos muss als Lizenz-Option freigeschaltet sein! |
|
116 |
+Kerberos muss als Lizenz-Option freigeschaltet sein! |
| 119 |
119 |
Ist dies der Fall, können folgende Einstellungen bearbeitet werden: |
| 120 |
120 |
|
| 121 |
121 |
=== Kerberos nutzen === |
| ... |
... |
@@ -129,7
+129,7 @@ |
| 129 |
129 |
=== Nutzername === |
| 130 |
130 |
|
| 131 |
131 |
Windows Domain Account, welcher für den Zugriff auf das Key Distribution Center (KDC) benötigt wird, um den nachfolgenden Authentifizierungsprozess einzuleiten. |
| 132 |
|
-In den meisten Fällen ist dies ein User-Account aus dem AD, welcher als Service-Account fungiert und nicht zur Anmeldung an einer Workstation gedacht ist. |
|
130 |
+In den meisten Fällen ist dies ein User-Account aus dem AD, welcher als Service-Account fungiert und nicht zur Anmeldung an einer Workstation gedacht ist. |
| 133 |
133 |
|
| 134 |
134 |
{{info}} |
| 135 |
135 |
Es wird ein Nutzername mit Domainangabe (FQDN) benötigt, wenn in der **krb5.conf** Datei, unter dem Abschnitt //[libdefaults]//, kein **default_realm** definiert ist. |
| ... |
... |
@@ -138,7
+138,7 @@ |
| 138 |
138 |
|
| 139 |
139 |
=== Passwort === |
| 140 |
140 |
|
| 141 |
|
-Passwort des oben genannten Service-Accounts |
|
139 |
+Passwort des o.g. Service-Accounts |
| 142 |
142 |
|
| 143 |
143 |
=== Datei krb5.conf === |
| 144 |
144 |
|
| ... |
... |
@@ -242,9
+242,10 @@ |
| 242 |
242 |
|
| 243 |
243 |
Der Name, welcher in der //login.conf// Datei für die Definition des Servers verwendet wird. |
| 244 |
244 |
|
| 245 |
|
-{{error}} |
| 246 |
|
- |
| 247 |
247 |
|
|
244 |
+ |
|
245 |
+ |
|
246 |
+{{error}} |
| 248 |
248 |
Sollte es bei aktiviertem Kerberos vereinzelt oder dauerhaft zu Fehlern beim Formular-Aufruf kommen (HTTP-Status 400), so überschreitet das Kerberos-Ticket die standardmäßige Größenlimitierung des HTTP-Headers durch den Anwendungsserver (z.B. Tomcat). Eine Lösung bringt die Erhöhung dieser Limitierung welche [[hier>>doc:Main.Beschraenkung der HTTP-Header-Groesse aendern]] beschrieben wird. |
| 249 |
249 |
{{/error}} |
| 250 |
250 |
|
| ... |
... |
@@ -264,7
+264,7 @@ |
| 264 |
264 |
|
| 265 |
265 |
=== Verweis-Sprünge* === |
| 266 |
266 |
|
| 267 |
|
-Gibt die maximale Anzahl von durchzuführenden Verweis-Sprüngen (Referrels-Hops) auf dem LDAP-Server an. |
|
266 |
+Gibt die maximale Anzahl von durchzuführenden Verweis-Sprüngen (Referrels-Hops) auf dem LDAP-Server an. |
| 268 |
268 |
Ein Wert von 0 deaktiviert ein Folgen von Verweisen. |
| 269 |
269 |
|
| 270 |
270 |
=== Nutzer-Account (mit Domainangabe)* === |
| ... |
... |
@@ -290,7
+290,7 @@ |
| 290 |
290 |
Die zum authentifizierten Nutzer ermittelten Eigenschaften aus dem LDAP werden im **XFC_METADATA**-Objekt abgelegt und stehen dadurch im Formular zur Verfügung. Am JSON-Objekt **currentUser** befindet sich die Eigenschaft **ldap**, welche die ermittelten Daten als JSON-Struktur beinhaltet. |
| 291 |
291 |
|
| 292 |
292 |
{{info}} |
| 293 |
|
-Welche Daten die JSON-Struktur unter der **ldap** Eigenschaft beinhaltet, hängt maßgeblich von den Leserechten des LDAP-Accounts ab, |
|
292 |
+Welche Daten die JSON-Struktur unter der **ldap** Eigenschaft beinhaltet, hängt maßgeblich von den Leserechten des LDAP-Accounts ab, |
| 294 |
294 |
welcher die Nutzersuche im LDAP-System durchführt. |
| 295 |
295 |
{{/info}} |
| 296 |
296 |
|