Настройки Kerberos

В этом разделе настраивается упрощённая аутентификация (SSO) пользователей по протоколу Kerberos через Active Directory. Она работает в веб- и десктоп-приложениях 3.67 и выше, на серверном ПО 3.65 и выше. Здесь же можно отправить файл keytab с учётными данными пользователей.

Kerberos рекомендации

Настройка Kerberos — база знаний, откроется в новой вкладке

В подразделе Kerberos рекомендации группы Active Directory сопоставляются корпоративным серверам. Если в организации несколько , пользователям не приходится выбирать сервер вручную.

Что будет, если у пользователя есть группы/роли, относящиеся к разным серверам?

Если на каждую группу пользователя был настроен отдельный сервер, пользователю отобразится список этих серверов на выбор.

Например, задано несколько групп, ведущих на разные серверы:

• ad_group_1 > server_1
• ad_group_2 > server_2
• ad_group_3 > server_3

У пользователя есть группы ad_group_1 и ad_group_3. Тогда пользователю отобразится список серверов:

• server_1
• server_3

Какие политики браузера нужны для входа по Kerberos в Web?

Чтобы Kerberos-аутентификация заработала в браузере, добавьте политики:

• AuthServerAllowlist — домены, которым разрешено запрашивать Kerberos-тикет
• AuthNegotiateDelegateAllowlist — домены, которым разрешено делегирование тикета

Если в организации один домен, его достаточно указать один раз в обеих политиках — перечислять отдельно FQDN веб- и корпоративного сервера не обязательно.

Какой тип шифрования нужен для файла keytab?

Нужен AES256-SHA1. Сгенерируйте keytab с поддержкой этого шифрования. Связанная с keytab учётная запись Active Directory тоже должна его поддерживать. Служебное имя (SPN) для сервера регистрируется в Active Directory командой:

setspn -S HTTP/<fqdn-сервера> <учётная_запись_AD>