По сути, мы пытаемся предоставить сценарий единого входа для некоторых наших продуктов.
Мы бы предпочли разрешить клиентам на их собственных машинах (которые не находятся под нашим контролем и не могут иметь машину в нашем собственном активном каталоге) иметь возможность входить в веб-приложение, используя набор учетных данных имени пользователя / пароля (аутентифицированных в нашем домене. ), и изнутри запустите ссылку на сеанс RDP (либо локально, используя обработчик URI, который мы установим, либо с помощью RD Web Access).
У нас, конечно, затем возникает проблема, заключающаяся в том, что пользователя снова запрашивают учетные данные домена (в нашем домене), и, похоже, у нас нет возможности передать какой-либо токен из нашего веб-приложения (которое уже аутентифицирован по нашей AD), чтобы разрешить SSO.
http://blogs.msdn.com/b/rds/archive/2007/04/19/how-to-enable-single-sign-on-for-my-terminal-server-connections.aspx похоже, указывает на то, что в настоящий момент это просто невозможно. Это правильно?
Я рассмотрел несколько вариантов: - SSO веб-доступа к удаленным рабочим столам (работает только на полпути и работает только в том случае, если клиент также находится в домене) - http://blogs.msdn.com/b/rds/archive/2009/08/11/introduction-web-single-sign-on-for-remoteapp-and-desktop-connections.aspx - Сохранение и пересылка первоначально захваченного имени пользователя / пароля - что просто шокирует с точки зрения безопасности.
Любые идеи?
Я считаю, что ответ будет «не с клиентом Microsoft RD» - он поддерживает либо комбинации имени пользователя и пароля, либо пересылку учетных данных NTLM (что не то, что вы хотите в среде, не относящейся к домену). Возможный вариант - использовать виртуальную смарт-карту, которая будет извлекать недолговечный сертификат с вашего веб-сервера, но это потребует не только установки программного обеспечения на компьютерах вашего клиента, но также обширного (то есть длительного и, вероятно, дорогостоящего) процесса сертификации. для водителей это понадобится.
Вы можете рассмотреть возможность использования сторонних продуктов (например, Citrix XenDesktop), где поддерживается ваш сценарий (сквозная аутентификация после входа в систему на веб-портале).