[Apache/LDAP/NTLM]:Ablauf der Authentifizierung

[michael.sprick]

Hallo zusammen,

mich beschäftigt gerade eine grundsätzliche Frage zur Arbeitsweise der
HTTP-Authentifizierung beim Apache.

Wir würden auf unseren Intranetseiten gerne eine automatische Anmeldung
der Clients auf Basis der Domänenkennung realisieren.

Ein User meldet sich also am Arbeitsplatz an der Domäne an.
Besucht er dann mit dem Internetexplorer das Intranet, authentifiziert er sich auf der jeweiligen Seite mit seinen Domänen Credentials, die der IE ja überträgt.

Als Modul würden wir mod_ntlm einsetzen.

Meine Frage ist nun:
Verursacht eigentlich jeder Klick auf der Intranetseite, jedes Bild, jeder Request eine Anfrage beim Domänencontroller? Oder findet die Authentifizierung nur ein einziges Mal statt und der Webserver "merkt" die erlaubten Clients?

Ich freue mich auf eure Meinungen.

Vielen Dank schonmal,

Michael

[marce]

mit den konkret von Dir genannten Modulen habe ich keine Erfahrung (mehr) - aber normalerweise ist die Auth. solange vorhanden, wie die Browsersession gültig ist - also im Normalfall solage der Browser geöffnet ist.

[michael.sprick]

Hey Marce,

vielen Dank für Deine Antwort.
Der Meinung war ich eigentlich auch.

Dagegen spricht aber irgendwie das Ergebnis eines kleinen Experiments:

1) man schützt ein Verzeichnis per htpasswd und "AuthType Basic"
2) $USER meldet sich an
3) während $USER auf der Seite surft, wird sein Kennwort von einem Admin geändert
4) Jetzt bekommt $USER beim nächsten Klick wieder ein Loginfenster.

Irgendwie merkt der Apache also, dass die Credentials nicht mehr passen.
Und das kann er doch eigentlich nur herausfinden, indem er sie bei jedem Request prüft, oder?

Michael

[marce]

das kommt darauf an, wie die Auth. stattfindet.

Bei einer .htaccess-basierten wir jedesmal bei einem Zugriff auch die .htaccess ausgewertet (deswegen sollte man auf .htaccess auch bei hochfrequentierten Seiten verzichten, da diese einen recht hohen Overhead produzieren), wenn das alles in der httpd-conf drin ist sollte das Verhalten anders sein

[michael.sprick]

Hi Marce,

Danke für Deine Antwort.
Obwohl es logisch klingt, konnte ich dieses Verhalten leider nicht beobachten.
Ich habe eine "Basic" Authentifizierung einmal über eine .htaccess Datei und einmal direkt in der httpd.conf eingebaut. Bei beiden Varianten führte eine Kennwortänderung zu einer erneuten Login-Aufforderung.

Ich werde mir jetzt einfach mal eine VMWare herrichten, in der ich einen PDC aufsetze. Anschließend richte ich mal eine NTLM Auth ein und beobachte, was über die Netzwerkinterfaces geht.

Das Ergebnis poste ich dann hier - vielleicht interessiert es ja ;)

Danke soweit,

Michael