Что я наделал:
Я успешно установил и настроил Subversion Edge 3.1.2 с поддержкой LDAP на сервере Windows 2008. Я настроил пользователей LDAP и могу нормально использовать учетные данные LDAP для работы с репозиториями. Никаких проблем. Прекрасно работает!
Что я хочу сделать:
Я искал уже несколько часов в надежде найти некоторую информацию о том, как настроить сервер Subversion Edge, чтобы требовать сертификаты клиентов для аутентификации пользователей в среде LDAP. Я пока не нашел ничего, что подсказывало бы мне, как это сделать. Я знаю, что есть клиенты SVN, которые могут запрашивать сертификаты CAC, но я не могу понять, как настроить мой сервер для этого.
НОТА: Проверка подлинности CAC уже настроена и работает в среде Windows. У меня есть клиент TortoiseSVN с включенной поддержкой CAC.
Желаемый результат:
При выполнении команд svn, требующих аутентификации на моем сервере Subversion Edge, я хочу, чтобы он запрашивал у меня мой сертификат CAC вместо имени пользователя и пароля Active Directory.
Если у кого-то есть информация по этому поводу, я буду очень признателен.
РЕДАКТИРОВАТЬ: Я все еще копаюсь, поэтому, если я что-нибудь узнаю, я обновлю этот вопрос тем, что я нашел. Я добился некоторого прогресса и считаю, что искал неверную информацию. Очевидно, это проблема конфигурации Apache. Я добавил требование SSLVerifyClient, которое я видел в примере конфигурации Apache, в свой httpd.conf, и теперь мой клиент SVN запрашивает у меня файл сертификата, а не имя пользователя и пароль.
ОБНОВЛЕНИЕ 14 СЕН 2012
Хорошо, у меня это немного работает. Это не столько проблема подрывной деятельности, сколько проблема конфигурации Apache. Я пошел по пути использования модуля SSPI, и у меня он в основном работает так, как я хочу. По-прежнему существуют некоторые проблемы с просмотром Internet Explorer сайтов, защищенных SSL, для просмотра репозиториев svn. Он просто запросит мой сертификат CAC, а затем после этого я получаю страницу, на которой говорится, что Internet Explorer не может просматривать веб-сайт. Я нашел в Интернете некоторую информацию, которая может решить эту проблему, но пока еще не работает. Кроме того, теперь у меня возникли проблемы с плагином AnkhSVN Visual Studio, который не кэширует учетные данные сертификата клиента. Когда я делаю различные вещи, связанные с SVN, мне слишком много раз предлагают.
РЕСУРСЫ:
http://www.eperezdesigns.com/blog/articles/enable-dod-cac-authentication-on-apache/
Получение Apache, настроенного для DOD CAC (это в основном работает для меня, все еще есть проблемы Internet Explorer с конфигурацией SSL, по-видимому, однако, отлично работает в Firefox).
http://tortoisesvn.net/docs/release/TortoiseSVN_en/tsvn-serversetup-apache.html
В нем содержится различная информация о конфигурации для настройки Apache, чтобы вы могли заставить его взаимодействовать с доменом Windows.
Если у вас возникли проблемы с использованием CAC для доступа к сайту с помощью IE, но сайт работает с CAC в Firefox, возможно, вы столкнулись с проблемой объединения кросс-сертификатов Microsoft.
Из Руководство DISA в Руководство пользователя средства удаления перекрестных сертификатов FBCA:
Средство удаления кросс-сертификатов Федерального центра сертификации мостов (FBCA) разработано, чтобы помочь организациям Министерства обороны США решить проблему объединения кросс-сертификатов Microsoft. Проблема может проявляться несколькими способами:
- Пользователи могут не иметь доступа к веб-сайтам Министерства обороны США, которые обычно доступны с помощью сертификатов на своих картах общего доступа (CAC).
- Письма с подписью DoD в Outlook могут отображаться недействительными
- Пользователи могут испытывать значительные задержки с Outlook или Internet Explorer во время проверки.
- Может показаться, что сертификаты CAC пользователей связаны с корнем за пределами / отличным от DoD Root 2
- Пользователи могут получить запрос на установку корневого центра сертификации (CA) Common Policy или других корневых сертификатов, перекрестно сертифицированных с Federal Bridge, при открытии подписанного электронного письма от отправителя DoD, чья рабочая станция настроена неправильно.
Запустить Инструмент для удаления перекрестных сертификатов FBCA для устранения ошибки. В руководстве пользователя описаны некоторые дополнительные шаги, которые вам, возможно, придется предпринять.