Single Sign-on

Danach kann die Kerberos-Authentifizierung genutzt werden.

Eine Keytab-Datei ist eine kryptografische, binäre Textdatei, welche die Benutzerkonten inkl. der mit einem Hash verschlüsselten Passwörter enthält. Sie ermöglicht die automatische Anmeldung KIX.

Die Keytab-Datei können Sie bspw. mit dem Kerberos Dienstprogramm ktpass erstellen. Informationen hierzu finden Sie bspw. unter: https://docs.microsoft.com/de-de/windows-server/administration/windows- commands/ktpass.

Ersetzen Sie im nachfolgenden Beispiel FQDN, DOMAIN, USER und PASSWORD durch Ihre entsprechenden Parameter. Beachten Sie dabei Groß- und Kleinschreibung.

Beispiel: Angaben für eine Keytab Datei:

C:\temp> ktpass -princ HTTP/fqdn@DOMAIN -mapuser USER@DOMAIN -crypto RC4-HMAC-NT -ptype KRB5_NT_PRINCIPAL -pass PASSWORD -out c:\temp\kix.keytab

Besteht die Notwendigkeit mehrere Service Principal Namen (SPN) anzugeben (z.B. wenn "your-kix- agent.example.com" und "your-kix-ssp.example.com" verwendet werden um Agentenportal und SSP unter versch. Hostnamen anzusprechen), werden die Keytabs kombiniert:

Beispiel: Angaben für kombinierte Angaben in der Keytab Datei:

C:\temp> ktpass -princ HTTP/fqdn@DOMAIN -mapuser USER@DOMAIN -crypto RC4-HMAC-NT -ptype KRB5_NT_PRINCIPAL -pass PASSWORD -out c:\temp\kix1.keytab
C:\temp> ktpass -princ HTTP/fqdn2@DOMAIN -mapuser USER@DOMAIN -crypto RC4-HMAC-NT -ptype KRB5_NT_PRINCIPAL -pass PASSWORD -in c:\temp\kix1.keytab -out c: \temp\kixAll.keytab

Unter Linux können Sie dazu folgende Kommandozeile verwenden um die Keytab Base64 zu codieren (Ergebnis in Datei kix.keytab.b64). Der Inhalt kann direkt in Parameter "Keytab" verwendet werden.

SomeLinuxSystem:~# base64 -w 0 ./kix.keytab > ./kix.keytab.b64

Unter Windows können Sie folgende Kommandozeilen verwenden um die Keytab Base64 zu codieren (Ergebnis in Datei kix.keytab.b64). Für die Verwendung in in Parameter "Keytab" müssen die Zeilenbrüche entfernt werden.

C:\temp> certutil -encode -f kix.keytab kix.keytab.encoded
C:\temp> type kix.keytab.encoded | find /v "CERTIFICATE" > kix.keytab.b64

Damit Single Sign On via Firefox funktioniert, muss in diesem die Einstellung "network.negotiate-auth.trusted- uris" den FQDN der KIX-Umgebung oder auch der gesamten Zieldomain beinhalten (z.B. "yourkix.example.com" oder "*.example.com".

Im Edge-Browser muss die Sicherheitsrichtlinie entsprechend konfiguriert werden.

Sollte SSO mittels Kerberos nicht funktionieren, prüfen Sie zunächst, ob auf dem sich authentifizierenden Windows-Client ein Kerberosticket für den KIX-FQDN vorhanden ist. Verwenden Sie dazu das Kommandozeilentool klist.

Um Problemen vorzubeugen, beachten Sie weiterhin folgende wesentliche Anforderungen beim Einsatz von Kerberos:

Die Einrichtung der Applikation seitens Identification Provider obliegt Ihnen und Ihrem Unternehmen. Informationen dazu finden Sie unter anderem hier:

Richten Sie zunächst ein OAuth2 Profil ein und hinterlegen Sie die vom Identity Provider bereitgestellten

Weiterführende Informationen s. auch: OAuth2 Profiles

Abb.: Einrichtung eines OIDC Profils

Vor der Einrichtung des Authentifizierungs-Backends muss im Menü System > OAuth2 Profile mindestens ein OAuth2-Profil angelegt und eingerichtet worden sein.

Sie können mehrere Backends konfigurieren. Geben Sie für jedes Backend das jeweilige OAuth2-Profil an. Achten Sie darauf, dass zu jedem eingerichteten Backend ein entsprechendes OAuth2-Profil vorliegt und die Angaben korrekt sind. Anderenfalls schlägt der Login fehl.

Nach dem Speichern der Konfiguration und Klick auf Lade Frontendkonfiguration neu steht den Nutzern am Login-Fenster des Agenten- und Self Service Portals ein zusätzlicher Button für die Anmeldung via OIDC zur Verfügung.

Beispiel für das Authentifizierungs-Backend:

[
   {
      "Config": {
         "JWKS": {
            "URI": "http://git.example.de/oauth/discovery/keys"
         },
         "LoginAttribute": "nickname",
         "Profile": "GitLab OIDC",
         "Verify": {
            "Audience": "<ClientID>",
            "Issuer": "http://git.example.de"
         }
      },
      "Enabled": 1,
      "Module": "Auth::OIDC",
      "Name": "OIDC Log-in"
   },
   {
      "Config": {
         "JWKS": {
            "URI": "https://login.microsoftonline.com/alphanumerischer-schluessel/discovery/v2.0/keys"
         },
         "LoginAttribute": "email",
         "Profile": "Azure",
         "Verify": {
            "Audience": "<ClientID>",
            "Issuer": "https://login.microsoftonline.com/alpanumerischer- schluessel/v2.0"
         }
      },
      "Enabled": 1,
      "Module": "Auth::OIDC",
      "Name": "Azure Log-in"
   }
]