การกำหนดค่าการตรวจสอบสิทธิ์ Kerberos ในเบราว์เซอร์ต่างๆ

ในบทความนี้ เราจะดูวิธีกำหนดค่าการตรวจสอบสิทธิ์ Kerberos สำหรับเบราว์เซอร์ต่างๆ ในโดเมน Windows เพื่อเปิดใช้งานการตรวจสอบสิทธิ์ที่โปร่งใสและปลอดภัยบนเว็บเซิร์ฟเวอร์โดยไม่จำเป็นต้องป้อนรหัสผ่านของผู้ใช้ซ้ำในเครือข่ายองค์กร เบราว์เซอร์สมัยใหม่ส่วนใหญ่ (IE, Chrome, Firefox) รองรับ Kerberos อย่างไรก็ตาม คุณต้องดำเนินการตามขั้นตอนเพิ่มเติมเพื่อให้ใช้งานได้

ในการอนุญาตให้เบราว์เซอร์ตรวจสอบสิทธิ์บนเว็บเซิร์ฟเวอร์ จะต้องปฏิบัติตามเงื่อนไขต่อไปนี้:

1. ต้องเปิดใช้งานการสนับสนุน Kerberos ทางฝั่งเซิร์ฟเวอร์ของเว็บ (ตัวอย่างการตั้งค่า Kerberos Authentication สำหรับเว็บไซต์ IIS)

2. ผู้ใช้ต้องมีสิทธิ์เข้าถึงเว็บเซิร์ฟเวอร์

3. ผู้ใช้ต้องได้รับการรับรองความถูกต้องบนคอมพิวเตอร์ของเขาที่เชื่อมต่อกับ Active Directory โดยใช้ Kerberos (ต้องมี TGT — Kerberos Ticket Granting Ticket ที่ถูกต้อง)

ตัวอย่างเช่น คุณต้องการอนุญาตให้ไคลเอนต์ Kerberos รับรองความถูกต้องโดยใช้เบราว์เซอร์บนเว็บเซิร์ฟเวอร์ใดๆ ของโดเมน a-d.site (ต้องใช้ชื่อ DNS หรือ FQDN แทนที่อยู่ IP ของเว็บเซิร์ฟเวอร์)

การเปิดใช้งาน Kerberos Authentication ใน Internet Explorer

ลองพิจารณาวิธีเปิดใช้งานการรับรองความถูกต้อง Kerberos ใน Internet Explorer 11

ไปที่ ตัวเลือกอินเทอร์เน็ต -> ความปลอดภัย -> อินทราเน็ตเฉพาะที่ แล้วคลิก ไซต์ -> ขั้นสูง<. เพิ่มรายการต่อไปนี้ในโซน:

• https://*.a-d.site

• http://*.a-d.site

จากนั้นไปที่แท็บ ขั้นสูง และในส่วน ความปลอดภัย ตรวจสอบให้แน่ใจว่าได้เลือกตัวเลือก เปิดใช้การพิสูจน์ตัวจริงของ Windows แบบรวม

วิธีเปิดใช้ Kerberos Authentication ใน Google Chrome

หากต้องการให้ SSO ทำงานใน Google Chrome ให้กำหนดค่า Internet Explorer โดยใช้วิธีการที่อธิบายไว้ด้านบน (Chrome ใช้การตั้งค่า IE) นอกจากนี้ ควรสังเกตว่า Chrome เวอร์ชันใหม่ทั้งหมดตรวจพบการสนับสนุน Kerberos บนเว็บไซต์โดยอัตโนมัติ หากคุณใช้ Chrome (Chromium) เวอร์ชันก่อนหน้า ให้รันด้วยพารามิเตอร์ต่อไปนี้เพื่อให้การตรวจสอบสิทธิ์ Kerberos บนเว็บเซิร์ฟเวอร์ของคุณทำงานได้อย่างถูกต้อง:

--auth-server-whitelist="*.a-d.site"
--auth-negotiate-delegate-whitelist="*.a-d.site"

ตัวอย่างเช่น:

"C:\Program Files (x86)\Google\Chrome\Application\chrome.exe” --auth-server-whitelist="*.a-d.site " --auth-negotiate-delegate-whitelist="*.a-d.site"

คุณสามารถกำหนดการตั้งค่าเหล่านี้ได้โดยใช้ GPO สำหรับ Chrome (นโยบาย AuthServerWhitelist) หรือใช้พารามิเตอร์รีจิสทรี AuthNegotiateDelegateWhitelist ซึ่งอยู่ในคีย์รีจิสทรี HKLM\SOFTWARE\Policies\Google\Chrome (วิธีปรับใช้คีย์รีจิสทรีโดยใช้ GPO)

เพื่อให้การเปลี่ยนแปลงมีผล ให้รีสตาร์ทเบราว์เซอร์และรีเซ็ตตั๋ว Ketberos โดยใช้

klist purge

คำสั่ง (ดูบทความ)

กำหนดค่า Firefox ให้ตรวจสอบสิทธิ์โดยใช้ Kerberos

ตามค่าเริ่มต้น การสนับสนุน Kerberos ใน Firefox จะถูกปิดใช้งาน หากต้องการเปิดใช้งาน ให้เปิดหน้าต่างการกำหนดค่าเบราว์เซอร์ (ไปที่ about:config ในแถบที่อยู่) จากนั้นในพารามิเตอร์ต่อไปนี้ให้ระบุที่อยู่ของเว็บเซิร์ฟเวอร์ซึ่งคุณจะใช้การตรวจสอบสิทธิ์ Kerberos

1. network.negotiate-auth.trusted-uris

2. network.automatic-ntlm-auth.trusted-uris

คุณสามารถตรวจสอบให้แน่ใจว่าเบราว์เซอร์ของคุณผ่านการรับรองความถูกต้องของ Kerberos บนเซิร์ฟเวอร์โดยใช้ Fiddler หรือ

klist tickets

สั่งการ.