![可以访问互联网和互联网 Active Directory 的 Web 服务器](https://linux22.com/image/631027/%E5%8F%AF%E4%BB%A5%E8%AE%BF%E9%97%AE%E4%BA%92%E8%81%94%E7%BD%91%E5%92%8C%E4%BA%92%E8%81%94%E7%BD%91%20Active%20Directory%20%E7%9A%84%20Web%20%E6%9C%8D%E5%8A%A1%E5%99%A8%20.png)
这个问题听起来可能有点愚蠢,而且不安全,但我们是前端网页开发人员,对这些事情了解不多。所以,我们来回答一下这个问题。
我们正在创建一个 Web 应用,希望使用来自 Active Directory 的凭据登录。虽然只有读取权限,但我们只需使用 AD 凭据登录,然后获取指示成功与否的回调。
我知道 AD 中的密码是加密的,所以我们无法在数据库中复制用户名和密码,每天同步一次左右。所以,到目前为止,我们得出结论,这样的解决方案应该在客户的网络内部。那么,为了让它能够同时访问 Active Directory 和互联网,它需要位于 DMZ 区域内吗?
或者这一切听起来很愚蠢?因为我们无论如何都只从 AD 中提取用户名和密码,所以我们不需要其他任何东西。因此,最终用户获得的额外好处可能是他/她不必记住一额外的密码?这可能不值得吗?
编辑:所有使用此功能的用户都已存在于 Active Directory 中。因此,它基本上是销售部门在从其客户前往下一个客户时会使用的工具。
如果这个问题听起来非常愚蠢,请随意投反对票:)
答案1
您可以使用大约 30 种方法来实现这一点。这将帮助我们了解您在 Web 服务器上使用的操作系统/语言/框架 - 其中的一些或许多将有一个模块来执行这些方法中的部分或全部。
您可以使用 LDAP。您可以使用 Kerberos。您可以使用 NTLM。当然,如果有 Exchange 或其他可以查询的 AD 集成邮件服务器,您可以使用 SMTP - 我见过这样做。
可以将 Web 服务器配置为指向域控制器、成员服务器或 AD LDS(以前称为 ADAM)服务器。如果使用后者,则可以将其放在 DMZ 中。您一般来说不会想把任何其他选项放在 DMZ 中。
可以使用协议特定的加密层对流量进行加密 - 如果使用 LDAP,则改用 LDAPS。如果您使用 SMTP,我建议您使用 IPSec 或 TLS。
仅供参考 - 如果您是我的供应商,我希望知道您是在安全地执行此操作,并且我不是您的实验对象。考虑聘请了解自己在为项目这一部分做什么的人。不要半途而废,然后让客户的网络被利用。