Назад | Перейти на главную страницу

Как аутентифицировать веб-пользователей по AD?

Мы будем размещать веб-приложение на сервере в DMZ. Этот сервер не является членом домена. У пользователей есть существующие учетные записи AD. Как я могу аутентифицировать своих пользователей этого веб-приложения в AD?

Спасибо!

У вас есть два варианта.

  1. Настройте приложение для чтения непосредственно из базы данных LDAP. Для этого потребуется дыра в брандмауэре между веб-сервером и контроллером домена.
  2. Установите RODC (контроллер домена только для чтения) в DMZ и добавьте машину в домен. Это потребует, чтобы RODC имел отверстие в брандмауэре для других контроллеров домена.

Ответ мистера Денни верен. Однако есть третье, порой более надежное решение:

Настройте ADFS для обработки единого входа и аутентификации для вашего приложения с помощью AD в качестве хранилища резервных копий пользователей. Это масштабируется для поддержки любых будущих приложений и поддерживает безопасную среду для удаленных пользователей с прокси-сервером федерации, а также внутренним сервером федерации, который по-прежнему будет использовать стандартную интегрированную проверку подлинности.

ADFS - более расширяемое решение, но для его настройки и интеграции требуется больше работы на уровне администратора и разработчика. К счастью, настроить приложение с помощью Windows Identity Foundation SDK довольно просто.