Dotaz: httpd24 ako proxy s ad auth passthrough

[drunkezz]

Ahojte

potrebujem zasadne nakopnut.

Bezi mi webappka do ktorej sa autentifikujem voci AD. Z nej je preklik na druhu webappku, kde by mal fungovat SSO.

Problem je to ze na tu druhu webappku sa pristupuje cez proxy.

Takto vyzera config proxy

 

<VirtualHost *:50470>


 ProxyPreserveHost On
 ProxyRequests Off
 ServerName webapp1.domena.tld
 SSLEngine Onbigdata.
 SSLProxyEngine On
 SetEnv proxy-chain-auth On



 SSLCertificateFile /etc/pki/bigdata/wildcard_bigdata_it_internal.crt
 SSLCertificateKeyFile /etc/pki/bigdata/wildcard_bigdata_it_internal.key

 ProxyPass / https://webapp2.it.internal:50470
 ProxyPassReverse / webapp2.it.internal:50470
 RequestHeader set X-Remote-User expr=%{REMOTE_USER}s
 ErrorLog /var/log/httpd/wa1-proxy-error.log
 CustomLog /var/log/httpd/wa1-proxy-access.log Combined


</VirtualHost>

Ked to testujem z konzoly curlom, tak si najprf kinit-om fetchnem ticket a lognem sa najprv priamo na webapp2 dostanem ocakavany response

Ked s tym istym ticketom idem cez proxy dostavam 401 Authentication required...

Neviete ma niekto nakopnut? Dakujem

D.

Odpovědi

[Sten]

Ta aplikace je nastavená, aby četla hlavičku X-Remote-User?

Tickety předávané webapps z bezpečnostních důvodů normálně nejsou forwardable.

[drunkezz]

ten forwarded user je nejaky moj pokus neuspesny

cize sso over proxy v kerberizovanom prostredi nie je mozne?

Dakujem

D.

[drunkezz]

Nj v logu sa objavuje

gss_init_sec_context() failed: : Server not found in Kerberos database

Tak pokracujem dalej:)

D.

[Sten]

Ticket se ve výchozím nastavení vydává pro HTTP/$adresa_serveru, kde adresa serveru je kanonická adresa (pokud je jméno CNAME, použije se to, na co odkazuje) bez portu.

[Sten]

Možné to je, je potřeba nastavit prohlížeč, aby pro danou adresu serveru vydal forwardovatelný ticket.