Jak zaimplementować jednokrotne logowanie (SSO) przy użyciu Microsoft AD dla wewnętrznej aplikacji PHP?

Byłbym ciekaw rozwiązania, które używa OpenID jako backend (swego rodzaju) do tego... Nie widziałem niczego, co podłączałoby się bezpośrednio do ActiveDirectory, gdy googlowałem (szybko). Jednak implementacja przez zwykły HTTP(S) może być dość bezbolesna (byłby to dostawca OpenID, który sprawdzał poświadczenia w stosunku do lokalnej reklamy). W najlepszym przypadku możesz po prostu dodać kilka klas do swojej aplikacji i być wyłączonym i działającym - nie są wymagane moduły serwera www. Jest wiele z otwartego kodu źródłowego dla obu stron tego, więc jeśli nic innego, warto spojrzeć. Jeśli udostępnisz backend użytkownikom (tj. podasz im adresy URL OpenID), zyskasz dodatkową korzyść, ponieważ będą mogli logować się do więcej niż tylko do witryn wewnętrznych za pomocą tych poświadczeń. (Przykład: Przepełnienie Stosu.)

Na marginesie, byłbym przeciwny, aby Internet Explorer był wymagany. Nie jestem pewien czy taki jest cel z tego jak napisałeś pytanie, ale w zależności od twoje środowisko IT, spodziewałbym się ludzi, którzy używają Firefoksa lub Safari (lub Opery lub ...) być mniej niż entuzjastycznym. (Nie rozwijasz się najpierw przeciwko IE, prawda? To było bolesne, kiedy to robiłem.) Nie oznacza to, że nie można użyć tej funkcji IE, tylko, że nie powinna być jedyną opcją. Link, który zamieściłeś stwierdził, że NTLM współpracuje z czymś więcej niż IE, ale ponieważ nie mam z nim żadnego doświadczenia, trudno ocenić, jak dobrze by to działało.

Miałem podobny problem, który musiałem rozwiązać dla mojej organizacji.

Rozważałem użycie adLDAP .

Na stronie znajduje się dokumentacja umożliwiająca bezproblemowe uwierzytelnianie za pomocą usługi Active Directory.

Jedną z opcji jest skorzystanie z CAS (central authentication service).

Posiada bibliotekę klienta php.

Jak połączyć się z MS Active Directory: http://www.ja-sig.org/wiki/display/CASUM/Active + Katalog

Wymagałbyś jednak Apache maven 2.

Dla IIS / PHP FCGI, musisz wysłać nieautoryzowany nagłówek:

function EnableAuthentication()
{
    $realm = "yoursite";
    header('WWW-Authenticate: Digest realm="'.$realm.'",qop="auth",nonce="'.uniqid().'",opaque="'.md5($realm).'"');
    header("HTTP/1.1 401 Unauthorized"); 
    exit;
}

Możesz następnie uzyskać nazwę Użytkownika za pomocą:

$winuser = $_SERVER["REMOTE_USER"];

Upewniam się, że $winuser jest w mojej bazie dozwolonych użytkowników.

Upewnij się i przetestuj to pod kontem nieuprzywilejowanym. Kiedy po raz pierwszy zainstalowałem to przetestowałem i działało dobrze, ale później, gdy standardowy użytkownik non-server-admin próbował to nie powiodło się. Okazuje się, że niektóre katalogi tymczasowe muszą mieć zmienione uprawnienia gościa użytkowników. Nie pamiętam dokładnych ustawień.