Dieses Modul ist speziell für Windows bestimmt und ist auch als Kerberos-Authentifizierung bekannt. Der Benutzer legt OpenSSO über das SPNEGO-Protokoll (Simple and Protected GSS-API Negotiation Mechanism) ein Kerberos-Token vor. Das Windows Desktop SSO-Authentifizierungs-Plugin stellt dem Client (Benutzer) auf dem Desktop Single Sign-On-Funktionalität bereit. Das bedeutet, dass ein Benutzer, der sich bereits bei einem Schlüsselverteilungscenter authentifiziert hat, in OpenSSO ohne erneute Eingabe der Anmeldeinformationen authentifiziert werden kann. Bei den Windows Desktop SSO-Attributen handelt es sich um globale Attribute. Es existieren folgende Attribute:
Gibt den Kerberos-Principal an, der zur Authentifizierung verwendet wird. Verwenden Sie die folgende Syntax:
HTTP/hostname.domainname@dc_domain_name
hostname und domainame stehen für den Hostnamen und den Domänennamen der OpenSSO-Instanz. dc_domain_name is the Kerberos domain in which the Windows Kerberos server (domain controller) resides. Sie unterscheidet sich möglicherweise vom Domänennamen von OpenSSO.
Gibt die zur Authentifizierung verwendete Kerberos-Keytab-Datei an. Folgendes Format wird empfohlen, auch wenn es nicht vorgeschrieben ist:
hostname.HTTP.keytab
hostname ist der Hostname der OpenSSO-Instanz.
Gibt den Domänennamen des Kerberos-Verteilungscenters (Domänencontroller) an. Je nach Konfiguration ist der Domänenname des Domänencontrollers nicht identisch mit dem Domänennamen von OpenSSO.
Gibt den Hostnamen des Kerberos-Verteilungscenters (Domänencontroller) an. Hier ist der vollständig qualifizierte Domänenname (FQDN) des Domänencontrollers erforderlich.
Wenn aktiviert, kann OpenSSO während der Authentifizierung den Kerberos-Principal mit dem Domänennamen des Domänencontrollers automatisch zurückgeben.
Die Authentifizierungsebene wird für jede Authentifizierungsmethode einzeln festgelegt. Mit diesem Wert wird angegeben, wie stark einem Authentifizierungsmechanismus vertraut wird. Sobald ein Benutzer authentifiziert wurde, wird der Wert im SSO-Token der aktuellen Sitzung gespeichert. Wird der SSO-Token einer Anwendung, auf die der Benutzer zugreifen möchte, vorgelegt, bestimmt die Anwendung anhand des gespeicherten Werts, ob die Ebene ausreicht, um den Benutzer Zugriff zu gewähren. Wenn die im SSO-Token gespeicherte Authentifizierungsebene nicht den erforderlichen Mindestwert aufweist, wird der Benutzer aufgefordert, sich erneut über einen Dienst mit einer höheren Authentifizierungsebene zu authentifizieren. Der Standardwert ist 0.
Hinweis – Hinweis: Wenn keine Authentifizierungsebene angegeben wird, wird im SSO-Token der im Kern-Authentifizierungsattribut Standard-Authentifizierungsebene angegebene Wert verwendet.