Django 中的 Ntlm/Kerberos 身份验证

Question

我正在寻找有关将 Windows 身份验证支持添加到 django 应用程序中的指南，特别是 OSQA

我知道 http://code.google.com/p/python-ntlm/ 还看到了这篇文章： http://erny-rev .blogspot.com/2007/11/ntlm-authentication-in-django.html 但我不是Django开发者，我只想在Windows环境中部署OSQA（内网，所以我需要添加Windows身份验证）。所以我正在寻找简单的分步描述。

（我已经设法使用 SQL Server 在 Windows 上部署 OSQA 站点，并且它正在工作）

更新：
我不仅希望获得针对 AD 的身份验证，还希望在 IE 中获得类似 SSO 的行为。当用户在 IE 中访问我的基于 django 的站点时，它会自动使用其域帐户进行身份验证。

Answer 1

您可以使用 Apache、mod_auth_kerb 和 REMOTE_USER 身份验证以及托管为 mod_wsgi 的 Django 来完成此操作。

这是我们使用的一些配置的示例：

WSGIDaemonProcess myapp user=myapp group=myapp processes=5 threads=1
WSGIProcessGroup myapp
WSGIScriptAlias /myapp /home/wolapp/code/wolapp.wsgi
<VirtualHost ...>
    <Location /myapp>
            AuthType                Kerberos
            AuthName                "Domain Login"
            KrbMethodNegotiate      On
            KrbMethodK5Passwd       On
            KrbAuthRealms           YOUR.DOMAIN
            Krb5Keytab              /etc/krb5.keytab
            KrbServiceName          HTTP/server.your.domain
            require                 valid-user
    </Location>
</VirtualHost>

然后您需要进行设置：

http://docs.djangoproject.com/en/dev/howto/auth-remote-user/

需要注意的几个警告：

1. Opera 在我们的测试中完全失败；它无法处理“Negotiate”标头
2. 如果计算机位于域中，则 IE 可以正常工作，但如果不在域中，则会两次提示您输入密码 - 第一次计算机使用“ITSNAME\username”时会失败；第二次裸“用户名”

希望这有帮助。

Answer 2

这可能不是那么优雅，但它有效（导入/放入视图中）：

import base64


def get_msg_str(msg,start):
    msg_len, _, msg_off = struct.unpack("<HHH", msg[start:start + 6])
    return msg[msg_off:msg_off + msg_len].replace("\0", '')


def ntlm_auth(request):
    """Goes through ntlm stages...
    Return user_name, response.
    While response is not none, keep sending it.
    Then use the user.
    """
    username = None
    response = None

    auth = request.META.get('HTTP_AUTHORIZATION')
    if not auth:
        response = HttpResponse(status=401)
        response['WWW-Authenticate'] = "NTLM"
    elif auth[:4] == "NTLM":
        msg = base64.b64decode(auth[4:])
        #  print repr(msg)
        ntlm_fmt = "<8sb" #string, length 8, 4 - op
        NLTM_SIG = "NTLMSSP\0"
        signature, op = struct.unpack(ntlm_fmt, msg[:9])
        if signature != NLTM_SIG:
            print "error header not recognized"
        else:
            print "recognized"
            # print signature, op
            # print repr(msg)
            if op == 1:
                out_msg_fmt = ntlm_fmt + "2I4B2Q2H"
                out_msg = struct.pack(out_msg_fmt,
                    NLTM_SIG, #Signature
                    2, #Op
                    0, #target name len
                    0, #target len off
                    1, 2, 0x81, 1, #flags
                    0, #challenge
                    0, #context
                    0, #target info len
                    0x30, #target info offset
                )

                response = HttpResponse(status=401)
                response['WWW-Authenticate'] = "NTLM " + base64.b64encode(out_msg).strip()
            elif op == 3:
                username = get_msg_str(msg, 36)

    return username, response

用法：

def my_view(request):
    username, response = ntlm_auth(request)
    if response:
        return response

我确信这可以作为装饰器变得更加优雅，并且可能还有其他方法 - 但我已经使用了它并且它有效。

Answer 3

通常，如果您只想针对 Active Directory 进行身份验证，最有可能成功的方法是针对 Active Directory LDAP 服务使用 LDAP 身份验证。唯一的技巧是，与大多数 LDAP 服务器不同，Active Directory 需要有经过身份验证的用户（和密码）。大多数人最终都会建立一个“ldap-query”用户，并对该用户进行硬编码以进行查询配置。

有关示例，请参阅 http://djangosnippets.org/snippets/501/ 和 http://www.google.com/search?q=Django+LDAP+身份验证