Kerberos 및 Negotiate 인증

지원 대상

*sgcWebSockets Enterprise Edition이 필요합니다. 다른 에디션에서 Negotiate를 활성화한 서버를 시작하면 "Negotiate authentication requires sgcWebSockets Enterprise" 예외가 발생합니다.

개요

Negotiate는 Windows 통합 인증의 기반이 되는 HTTP 인증 스킴입니다. 클라이언트는 Kerberos(SPNEGO)로 자신의 ID를 증명하며, Windows에서는 NTLM으로 폴백하므로 이미 도메인에 로그인한 사용자는 비밀번호를 입력하지 않고 연결할 수 있습니다. 인트라넷 영역의 브라우저, curl --negotiate, 기본 자격 증명을 사용하는 .NET 클라이언트 모두 이 챌린지에 응답할 수 있습니다.

플랫폼

Windows: SSPI(Negotiate 패키지, NTLM 폴백이 있는 Kerberos)를 사용합니다.
Linux: 런타임에 로드되는 libgssapi_krb5.so.2의 GSSAPI(MIT Kerberos)를 사용합니다. 패키지를 설치하십시오(예: Debian 또는 Ubuntu의 libgssapi-krb5-2). 서버에는 HTTP 서비스 주체가 포함된 keytab이 필요합니다.
http.sys 서버(TsgcWebSocketServer_HTTPAPI): 서비스 계정 또는 머신 SPN과 함께 Windows 커널 모드 인증을 사용합니다.
다른 플랫폼은 지원되지 않습니다.

속성과 이벤트

Authentication.Negotiate.Enabled(Boolean, 기본값 False): Negotiate를 활성화합니다. Authentication.Enabled가 필요합니다.
Authentication.Negotiate.ServicePrincipal(String): HTTP/host.example.com@EXAMPLE.COM과 같은 선택적 SPN입니다. 비어 있으면 keytab의 모든 키 또는 머신 계정이 허용됩니다. Indy 서버 전용이며 http.sys에서는 무시됩니다.
Authentication.Negotiate.Keytab(String): Linux 전용이며 서비스 keytab의 경로입니다. 비어 있으면 KRB5_KTNAME 또는 시스템 기본값이 사용됩니다. Windows와 http.sys에서는 무시됩니다.
OnNegotiateAuthentication(Connection: TsgcWSConnection; const aPrincipal: String; var Authenticated: Boolean): Kerberos 또는 NTLM 교환이 완료될 때 발생합니다. Authenticated는 True로 전달되므로, 핸들러가 없으면 Windows 또는 Kerberos가 인증한 모든 주체가 수락됩니다. 거부하려면 False로 설정하십시오(클라이언트는 401을 받습니다). 주체는 Windows에서는 DOMAIN\user, Linux에서는 user@REALM입니다. Indy 서버에서는 이후 AuthType = authNegotiate와 함께 TsgcWSConnectionServer(Connection).Authentication.User로 읽을 수 있습니다.

예제

다음 서버는 두 개의 주체만 수락합니다. 이벤트는 주체 이름으로 접근을 제한합니다.


uses
  sgcWebSocket, sgcWebSocket_Classes;

type
  TForm1 = class(TForm)
    procedure FormCreate(Sender: TObject);
  private
    oServer: TsgcWebSocketHTTPServer;
    procedure OnNegotiateAuthenticationEvent(Connection: TsgcWSConnection;
      const aPrincipal: String; var Authenticated: Boolean);
  end;

procedure TForm1.FormCreate(Sender: TObject);
begin
  oServer := TsgcWebSocketHTTPServer.Create(Self);
  oServer.Port := 8080;
  oServer.Authentication.Enabled := True;
  oServer.Authentication.Negotiate.Enabled := True;
  oServer.Authentication.Negotiate.ServicePrincipal :=
    'HTTP/host.example.com@EXAMPLE.COM';
  oServer.OnNegotiateAuthentication := OnNegotiateAuthenticationEvent;
  oServer.Active := True;
end;

procedure TForm1.OnNegotiateAuthenticationEvent(Connection: TsgcWSConnection;
  const aPrincipal: String; var Authenticated: Boolean);
begin
  Authenticated := SameText(aPrincipal, 'EXAMPLE\alice') or
    SameText(aPrincipal, 'EXAMPLE\bob');
end;

Linux에서는 Authentication.Negotiate.Keytab을 keytab 경로(예: /etc/sgc/http.keytab)로 설정하고, 이벤트에서 alice@EXAMPLE.COM과 같은 Kerberos 주체를 사용하십시오.

교환 방식

자격 증명이 없는 요청은 WWW-Authenticate: Negotiate와 함께 401을 받으며, Basic도 활성화되어 있으면 Basic realm 챌린지가 추가됩니다.
클라이언트는 Authorization: Negotiate <token>으로 응답합니다.
Kerberos는 한 번의 왕복으로 완료되며 성공 응답에는 상호 인증 토큰이 포함됩니다. NTLM은 동일한 keep-alive 연결에서 두 번의 왕복이 필요합니다.
HTTP/1.1: 성공 후 연결은 인증된 상태로 유지됩니다. KeepAlive가 켜져 있으면 같은 연결의 이후 요청에는 헤더가 필요하지 않습니다.
HTTP/2: 각 요청은 완전한 단일 왕복(Kerberos) 토큰을 포함해야 합니다. NTLM은 HTTP/2에서 지원되지 않으며 401로 응답하므로, NTLM 클라이언트에는 HTTP/1.1을 사용하십시오.
HTTP/3: Negotiate는 지원되지 않습니다(401).
AllowNonAuth: Basic과 마찬가지로 Authentication.AllowNonAuth가 True이면 자격 증명이 없는 요청은 익명으로 수락되며, Negotiate 토큰을 포함한 요청은 여전히 인증됩니다.

curl로 테스트

curl --negotiate -u : http://host.example.com:8080/

설정 참고 사항

Windows 도메인: 서비스 계정에는 SPN HTTP/host가 필요합니다. 브라우저는 인트라넷 영역 또는 허용 목록에 있는 사이트로만 Negotiate를 보냅니다.
Linux: KDC(또는 Active Directory)에서 서비스 주체를 만들고 keytab을 내보낸 다음 Keytab이 이를 가리키도록 설정하십시오.