实现CAS与AD在Windows下集成

经过几天寝食难安的努力，终于在昨天晚上通过了cas与ad的集成验证。总结经验，绕了很多圈子，这篇博客将会直接提供配置过程，最终实现验证通过。

        首先，创建了必须的域控制器、cas服务器、客户机及应用系统，所有机器都加入域中备用。这里要说明的是，我所使用的域控制器为windows2003，cas server版本为：cas-server-3.4.10-release，cas client版本为：cas-client-3.2.1-release。

        接着要实现cas的sso，这两篇文档可以指导实现cas的单点登录:

        http://www.ibm.com/developerworks/cn/opensource/os-cn-cas/

        http://www.wsria.com/archives/1349 

        经过我的验证，文章中的方法可行。其中深入配置的部分主要是如何配置数据库，若单纯实现与域的集成，不需要数据库支持，可以不予配置。

        实现cas sso后，cas部分就准备好了。还要准备的是域环境。由于本次配置的域环境是现成的，所以这里不提供配置方案。

        域准备好后，条件都具备了，接下来的配置可参考：http://jcbay.iteye.com/blog/708020

        需要注意的是，

 

引用

c、退出authenticationManager，在外层加入一个标签bean:"jcifsConfig "：

<bean name="jcifsConfig" class="org.jasig.cas.support.spnego.authentication.handler.support.JCIFSConfig">

  <property name="jcifsServicePrincipal" value="HTTP/your.server.name.here@YOUR.REALM.HERE" />

  <property name="jcifsServicePassword" value="the.service.password.here" />

  <property name="kerberosDebug" value="false" />

  <property name="kerberosRealm" value="YOUR.REALM.HERE" />

  <property name="kerberosKdc" value="THE.KDC.IP.HERE" />

  <property name="loginConf" value="/path/to/WEB-INF/login.conf" />

</bean>

 

        这里边的jcifsServicePrincipal参数，value我没有配置为：HTTP/your.server.name.here@YOUR.REALM.HERE，我改为了：HTTP/RainTime@YOUR.REALM.HERE，前边的HTTP/RainTime即为：

 

引用

2:在Windows AD中创建用户

A、启动域用户管理：开始→管理工具→Active Director用户和计算机。

B、创建用户：Users→右键→新建→用户。

C、添入要创建的用户信息，比如是“RainTime”：“姓：RainTime；姓名：RainTime；用户登录名：HTTP/RainTime；用户登录名（Windows 2000以前版本）：RainTime”。

D、输入密码，并选择“密码永不过期”，比如是：111111

E、点击确定，完成用户创建。

中的“用户登陆名”。

 

        接下来出现了找不到验证头的问题。将client IE浏览器中的“工具”——“Internet选项”——“高级”——“启用集成windows身份验证（需要重启动）”选中。解决了这个问题。

 

        接着出现了校验和失败的情况。离谱的情况出现了。经过绕了很多弯子，修改了很多ad控制器中的属性，最后在ad控制器的用户点击鼠标右键“属性”——“账户”——“账户选项”——“不需要Kerberos预身份验证”勾选上，就完成了集成。

 

        之后我又将这个勾选框勾掉，集成仍然可以。即使将之前的修改全部还原，也仍然可以通过验证，证明是这个位置的修改起了作用，虽然知道应该是windows底层做了一些事情，但是对于辛苦工作几天的回报，由衷的说一句：真神经，哈哈。

 

        最后说明一点，小宇做的集成是在windows平台上的，官方文档上面描述的是在linux平台上的，两者还是有区别的。windows中可以取到所要用的kerberos验证信息，不需要在ad控制器生成keytab文件。所以直接做cas server的配置就可以了。若参考标准手册：https://wiki.jasig.org/display/CASUM/SPNEGO，则生成keytab文件以及Test the SPN account的部分可以省略不看，直接到Set up Cas即可.