Rehber · Kerberos SSO

Sıfır tık giriş.
Domain'e bağlı her masaüstünde.

Domain'e bağlı iş istasyonunda kullanıcı, makinenin kilidini açarken zaten doğrulandı. Kerberos girişi bunu sessiz web SSO'ya çevirir: tarayıcı bileti sunar, Monosign doğrular ve giriş formu hiç görünmez. AD kaynağı başına yapılandırılır, istemci ağına göre kapsanır, diğer her durumda sessizce forma düşer.

Ücretsiz deneme başlat →Dokümantasyonu açın

SPNEGO / Negotiate
Birden çok AD ormanı
Keytab veya SPN + parola

Adım adım

SPN'den sessiz girişe.

AD kaynağında dört adım. Başarısızlık hep sessizdir: form yerinde kalır.

01
SPN'i kaydedin ve kimlik bilgisini oluşturun
HTTP/<sso-host> servis asıl adını özel bir AD servis hesabına eşleyin ve ktpass ile keytab üretin, ya da keytab'ı atlayıp SPN + servis hesabı adı + parola modunu kullanın. İkisi birden tanımlıysa keytab kazanır.
İpucu — Realm büyük harfle yazılır; keytab secret store'da şifreli saklanır; API katmanının dışına hiç çıkmaz.
02
Monosign'da AD kaynağında Kerberos'u açın
Active Directory kullanıcı kaynağında Kerberos'u etkinleştirin; realm ile keytab'ı (veya SPN/hesap/parola üçlüsünü) girin. Her kaynak kendi yapılandırmasını taşır; birden çok orman yan yana Kerberos çalıştırabilir: biletler realm üzerinden doğru kaynağa çözülür ve kullanıcı yalnızca o kaynakta aranır.
03
Sessiz denemeyi istemci ağına göre kapsayın
Domain'e bağlı makinelerin gerçekten yaşadığı IP aralıklarını (tek IP ya da CIDR) listeleyin. Bu ağların dışındaki istemcilere Negotiate challenge'ı hiç önerilmez; ev dizüstülerinde ve telefonlarda çıplak tarayıcı kimlik popup'ını engelleyen tam olarak budur.
İpucu — Boş bırakmak tüm istemciler demektir; çözülemeyen adresler güvenli tarafta kalır (fail-closed). Kapsam kaynak başınadır; her orman kendi ağını bildirebilir.
04
Tarayıcıları yapılandırın ve geri düşüşü test edin
SSO host'unu grup politikasıyla tarayıcıların SPNEGO güvenilenler listesine ekleyin (Chrome, Edge ve Firefox'un her birinin politikası var) ve üç durumu test edin: domain makinesi sıfır tıkla girer, ağ dışı makine popup'sız normal formu görür, eşleşen kullanıcısı olmayan domain makinesi sessizce forma düşer.
İpucu — Kerberos bir optimizasyondur, asla kapı değildir: her başarısızlık yolu görünmez biçimde standart giriş formunda bitmelidir.