Autenticación de Windows en el cliente de escritorio Kron PAM

La autenticación de Windows también se puede utilizar para iniciar sesión en Kron PAM Desktop Client.

La configuración requerida se describe en esta sección.

Los siguientes términos se utilizan en los pasos de configuración:

Configuración del controlador de dominio

Las siguientes configuraciones deben establecerse en el controlador de dominio:

Cree un usuario.

(Por ejemplo, nombre de usuario: ssotest, contraseña: 123)

Cree un SPN (Service Principal Name) para este usuario utilizando el siguiente comando:

setspn -A HTTP/KronPAMServerHostname nombre de usuario (Por ejemplo, setspn -A HTTP/testsso.krontech-new.internal ssotest)

Cree un archivo ssotest.keytab utilizando el siguiente comando:

ktpass /out c:\keytabFileName /mapuser nombre de usuario@NombreDeDominio /princ HTTP/KronPAMServerHostname@DomainName /pass contraseña /kvno 0 -ptype KRB5_NT_PRINCIPAL (Ej.: ktpass /out c:\ssotest.keytab /mapuser ssotest@krontech-new.internal /princ HTTP/testsso.krontech-new.internal@krontech-new.internal /pass 123 /kvno 0 -ptype KRB5_NT_PRINCIPAL)

Configuración del servidor Kron PAM

Las siguientes configuraciones deben establecerse en el servidor Kron PAM:

Conéctese a KronPAM CLI como el usuario pamuser.

Mueva el archivo “ssotest.keytab” a “$CATALINA_BASE/conf/”.

El directorio base predeterminado de Catalina es /pam/gui/

Cree el archivo krb5.ini en el servidor Tomcat bajo $CATALINA_BASE/conf/ con el siguiente contenido de ejemplo:

[libdefaults]
default_realm = krontech-new.internal
default_keytab_name = FILE:/pam/gui/conf/ssotest.keytab
default_tkt_enctypes = rc4-hmac,aes256-cts-hmac-sha1-96,aes128-cts-hmac-sha1-96
default_tgs_enctypes = rc4-hmac,aes256-cts-hmac-sha1-96,aes128-cts-hmac-sha1-96
forwardable=true
allow_weak_crypto=true

[realms]
krontech-new.internal = { kdc = krontech-dc.krontech-new.internal:88 }

[domain_realm]
krontech-new.internal = krontech-new.internal
.krontech-new.internal = krontech-new.internal

Agregue las siguientes líneas a la sección JAVA_OPTS del archivo pam-gui.service bajo el directorio /usr/lib/systemd/system/:

-Djava.security.krb5.conf=/pam/gui/conf/krb5.ini

-Djavax.security.auth.useSubjectCredsOnly=false

Ejemplo:

Environment="JAVA_OPTS=-Djava.security.krb5.conf=/pam/gui/conf/krb5.ini -Djavax.security.auth.useSubjectCredsOnly=false -agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=8000 -Xmx2048m -Xms256m -Duser.language=en -Duser.region=US -Duser.timezone=Etc/GMT-3 -Dlog4j2.formatMsgNoLookups=true -…..

ejecute systemctl daemon-reload y luego reinicie el servicio pam-gui.

Para la autenticación de Windows dentro de Desktop Client, Internet Explorer debe configurarse como se explica en la siguiente sección.

Configuración de Internet Explorer del cliente

Las siguientes configuraciones deben establecerse en Internet Explorer del cliente.

Vaya a Configuración > Opciones de Internet > Seguridad

Seleccione Zona de intranet local, haga clic en el botón Sitios marque las tres opciones y haga clic en el botón Avanzado para agregar KronPAMServerHostname con HTTPS a esta zona. Ej.: https://testsso.krontech-new.internal

Seleccione Zona de intranet local.

Haga clic en el botón Nivel personalizado y seleccione Inicio de sesión automático solo para intranet.

Configuración de la GUI de Kron PAM

Agregue los siguientes parámetros en el System Config Manager:

Vaya a Administración > Configuración del sistema. Man.

Agregue estos parámetros:

windows.auth.keytab.path = /pam/gui/conf/ssotest.keytab windows.auth.spn = HTTP/KronPAMServerHostname Valor de ejemplo: HTTP/testsso.krontech-new.internal aioc.auth.rdc = true

Reinicie el servicio pam-gui.