nur zentral verwalten (z.B. mit einem LDAP Server), sondern auch eine applikations- bzw. serverübergreifend authentifizieren.
Das hat nicht nur den Vorteil das sich ein User nur einmal für alle Applikationen einloggen muss, sondern vermeidet auch
das Passwörter über alle beteiligen Server fließen.
Single Sign On (SSO) - manche große Konzerne setzen dafür ziemlich propietäre Software wie z.B. Siteminder - ein Produkt, das wie ich gehört habe wohl seit Jahren total verbugged ist, vom Hersteller auch mit teuren Supportverträgen nur schlecht supported wird, mit Linux-Systemen (besonders 64 Bit) nur schlecht harmoniert und sehr übel zu administrieren ist.
Heute bin ich zufällig bei Freshmeat über "mod_auth_pubtkt" gestolpert - möglicherweise eine leichtgewichtige Alternative zu den "Enterprise Lösungen"
mod_auth_pubtkt is an Apache module that authenticates a user based on a cookie with a ticket that has been issued by a central login server and digitally signed using either RSA or DSA. This means that only the trusted login server has the private key required to generate tickets, while web servers only need the corresponding public key to verify them.
Whenever mod_auth_pubtkt encounters a request without a valid ticket/cookie, it redirects the user to a pre-configured login URL, passing the originally requested URL as a GET parameter. The login server can then prompt the user for credentials, verify them using any authentication backend it chooses, and upon success, generate a login ticket (signed with its private key), return it in a cookie to the client, and finally redirect the user back to the originally requested URL.
Tickets may contain a list of "tokens", and each resource (directory etc.) can be made to require a specific token, thus giving a simple but effective form of authorization (the login server can assign different tokens to different users, e.g. based on group membership).
If the cookie is scoped to the entire domain, all web servers with mod_auth_pubtkt in the domain and configured with the same public key will accept the ticket and not require any further authentication from the client until the ticket expires.
Note that a rogue server could steal a valid ticket provided by a client (or it could be sniffed by an adversary if using plain HTTP); however, the client IP address can be included in the ticket, making it harder for other people to use.
Kennt das jemand, kann man damit was anfangen ?
Welche Erfahrungen habt ihr damit ?
Wenn ich mal wieder etwas Zeit habe, werde ich mir das mal anschauen...
