Re: SPNEGO sous Debian
On Tue, 6 Dec 2011 09:10:07 +0100
David BERCOT <debian@bercot.org> wrote:
> >> Maintenant, pour mon appli, ça ne fonctionne pas !
> >> Dans Firefox, j'ai essayé de modifier la directive
> >> network.negotiate-auth.trusted-uris sans succès.
> >>
> >> Avez-vous des pistes en la matière ?
> >>
> >
> >J'ai utilisé
> >http://blog.webonweboff.com/2010/12/integrated-windows-authentication-and.html
> >Et ça marche au moins avec le outlook webaccess du bureau.
> >
> >PS: l'authentification de ma debian est faite par kerberos sur le DC
> >windows, ça doit aider aussi.
>
> Au niveau de l'authentification, je suis comme toi... Cette partie-là
> fonctionne parfaitement.
Ceci t'aidera ptêt:
http://appliedcrypto.com/files/spnego-centeris-identity-likewise-integration.pdf
http://mbechler.eenterphace.org/blog/index.php?/archives/6-Doing-GSSNegotiate-SSO-using-Mozilla-Firefox,-MIT-Kerberos-and-PHP.html
http://bofriis.dk/files/doc/spnego-browser-configuration-.pdf
https://wiki.jasig.org/display/CASUM/SPNEGO
http://rc.quest.com/topics/mozilla/
> Déjà, il semblerait qu'avec d'autres navigateurs (Chrome ou Chromium
> par exemple), c'est la croix et la bannière...
http://www.google.com/support/forum/p/Chrome/thread?tid=28894030e871cb94&hl=en
http://blob.inf.ed.ac.uk/gdutton/2010/11/chrome-and-spnego/
> J'ai fait les manipulations recommandées dans le lien que tu cites,
> mais ça ne fonctionne toujours pas. En fait, on sent qu'IceWeasel fait
> quelque chose, mais il n'arrive à rien.
Il-y-a 2 primitives à modifier; et certaines versions de FF sont
"cassées" au niveau SPNEGO.
Par ailleurs, ça serait bien que tu saches *exactement* ce qui
merde; dans ce cas, wireshark est ton ami: isole les trames qui
t'intéressent, et 'gade ce que répond le svr à la requête de FF.
> A priori, je penche pour un problème de transfert de droits. Ainsi, mon
> compte est identifié sur un domaine ad.maboite.intra et le site où je
> dois être identifié, en interne, est maboite.fr.
CA ça peut-être un gros PB (mis tu te connectes déjà en session,
donc normalement ça ne devrait pas rentrer en ligne de compte).
> Je dois reconnaître que, ne connaissant pas le fonctionnement de
> spnego, c'est difficile d'avancer.
Il peut se configurer en multi-domains.
--
What is a magician but a practising theorist?
-- Obi-Wan Kenobi
Reply to: