Subversion Edge LDAP (требуется сертификат CAC, а не имя пользователя и пароль)
Что я сделал:
Я успешно установил и настроил Subversion Edge 3.1.2 с поддержкой LDAP на сервере Windows 2008. Я настроил пользователей LDAP и могу использовать учетные данные LDAP для работы с репозиториями очень хорошо. Никаких проблем вообще. Работает отлично!
Что я хочу сделать:
Я искал несколько часов в надежде найти некоторую информацию о том, как настроить сервер Subversion Edge, чтобы требовать клиентские сертификаты для аутентификации пользователя в среде LDAP. Я еще не нашел ничего, что давало бы мне представление о том, как это сделать. Я знаю, что есть клиенты SVN, которые могут запрашивать сертификаты CAC, но я не могу понять, как настроить мой сервер, чтобы он требовал этого.
ПРИМЕЧАНИЕ. Аутентификация CAC уже настроена и работает в среде Windows. У меня есть клиент TortoiseSVN, у которого включена поддержка CAC.
Желаемый результат:
При выполнении команд SVN, которые требуют аутентификации на моем пограничном сервере Subversion, я хочу, чтобы он запрашивал у меня сертификат CAC вместо имени пользователя и пароля Active Directory.
Если у кого-то есть какая-либо информация по этому вопросу, я буду очень признателен.
РЕДАКТИРОВАТЬ: Я все еще копаю, поэтому, если я что-нибудь узнаю, я обновлю этот вопрос с тем, что я нашел. Я добился определенного прогресса, и я считаю, что искал неправильную информацию. По-видимому, это проблема конфигурации Apache. Я добавил SSLVerifyClient require, который видел в примере конфигурации Apache, в свой httpd.conf, и теперь мой SVN-клиент запрашивает у меня файл сертификата, а не имя пользователя и пароль.
ОБНОВЛЕНИЕ 14 СЕНТЯБРЯ 2012
Хорошо, у меня это работает несколько. Это не проблема подрывной деятельности, а проблема конфигурации Apache. Я пошел по пути использования модуля SSPI, и у меня он работает в основном так, как я хочу. В Internet Explorer все еще есть проблемы с просмотром защищенных SSL сайтов для просмотра репозиториев SVN. Он просто запросит мой сертификат CAC, а затем я получу страницу с сообщением, что Internet Explorer не может просматривать веб-сайт. Я нашел некоторую информацию в Интернете, которая может решить эту проблему, но пока не заставил ее работать. Кроме того, у меня возникли некоторые проблемы с плагином AnkhSVN Visual Studio, не кэширующим учетные данные сертификата клиента. Меня слишком много раз спрашивают, когда я делаю разные вещи, связанные с SVN.
РЕСУРСЫ:
http://www.eperezdesigns.com/blog/articles/enable-dod-cac-authentication-on-apache/
Получение Apache для DOD CAC (это в основном работает для меня, все еще есть проблемы Internet Explorer с конфигурацией SSL, по-видимому, однако, отлично работает в Firefox).
http://tortoisesvn.net/docs/release/TortoiseSVN_en/tsvn-serversetup-apache.html
Он содержит различную информацию о конфигурации для настройки Apache, так что вы можете заставить его общаться с доменом Windows.
1 ответ
Если у вас возникают проблемы с использованием CAC для доступа к сайту с помощью IE, но сайт работает с CAC в Firefox, вы можете столкнуться с проблемой цепочки перекрестных сертификатов Microsoft.
Из руководства DISA в Руководстве пользователя инструмента для удаления перекрестных сертификатов FBCA:
Средство удаления перекрестных сертификатов Федерального мостового центра сертификации (FBCA) разработано, чтобы помочь организациям DoD решить проблему цепочки перекрестных сертификатов Microsoft. Проблема может проявиться несколькими способами:
- Пользователи могут не иметь доступа к веб-сайтам DoD, обычно доступным с использованием сертификатов на их картах общего доступа (CAC)
- DoD подписанные письма в Outlook могут показаться недействительными
- Пользователи могут испытывать значительные задержки с Outlook или Internet Explorer во время проверки
- Пользовательские сертификаты CAC могут казаться связанными с корнем за пределами / отличным от DoD Root 2
- Пользователи могут получить запрос на установку корневого центра сертификации общей политики (CA) или других корневых сертификатов, перекрестно сертифицированных с помощью Federal Bridge, при открытии подписанного электронного письма от отправителя DoD, чья рабочая станция неправильно настроена
Запустите средство удаления перекрестных сертификатов FBCA, чтобы устранить ошибку. Руководство пользователя описывает некоторые дополнительные шаги, которые вам, возможно, придется предпринять.