Single sign-on para intranet?

Question

Estou tentando configurar um login único para minha intranet. Encontrei algumas soluções on-line, mas não tenho certeza se elas se aplicam à minha situação específica.

Eu tenho vários subdomínios no mesmo servidor. Um nível de usuário deve ser capaz de acessar todos os subdomínios e outro nível de usuário só deve ser capaz de acessar alguns subdomínios.

Fazer login em um subdomínio deve fazer com que você não precise fazer login em nenhum outro.

Alguém pode me apontar na direção certa? Eu estou no Ubuntu usando o Apache.

    

Answer 1

Não tenho 100% de certeza da solução, mas tenho quase certeza de que você pode executar um servidor LDAP e autenticar o apache através do uso de mod_ldap. Você pode querer escopo deste artigo para ver se é o que você quer:

link

De lá, você deve ser capaz de criar grupos de usuários no ldap e configurar o apache para refletir o acesso de grupos para diferentes pastas.

Aviso justo: nunca fiz isso antes, então talvez não seja o que você quer.

Além disso, parece que o apache agora tem seu próprio projeto de servidor de diretório, eu só usei o Fedora-DS agora 389-DS, deve ser bem parecido:

link

    

Answer 2

Como você autenticará seus usuários? PHP / mysql? se assim você poderia apenas usar cookies

    

Answer 3

Aqui está o que proponho (situação de estritamente Intranet - subdomínios do mesmo domínio da Web):

No provedor de identidade após o código de autenticação principal, chame um método que:

• envia dados criptografados sobre o usuário conectado ao consumidor
• recebe e verifica a resposta com o cookie de login assinado
• retorna o nome e o valor do cookie

após o retorno do método - defina o cookie para o subdomínio.

No serviço ao consumidor de identidade:

• recebe dados do método
• descriptografar
• se o usuário não existir, crie sua conta
• determine o cookie da sessão
• assine o cookie
• envia o nome do cookie, o valor e a assinatura de volta ao provedor de identidade

Isso é mais fácil de configurar do que o OAuth, o LDAP, etc., mas funcionará apenas com os subdomínios, já que os cookies não podem cruzar limites de domínio.