Cookies helfen uns bei der Bereitstellung des IMT HilfeWikis. Bei der Nutzung vom IMT HilfeWiki werden die in der Datenschutzerklärung beschriebenen Cookies gespeichert.Weitere Informationen

Grundlegende Informationen zum Single-Sign-On: Unterschied zwischen den Versionen

IMT HilfeWiki - das Wiki
Wechseln zu:Navigation, Suche
K
Zeile 9: Zeile 9:
 
{{draft}}
 
{{draft}}
  
Eine ganze Reihe von Diensten des IMT unterstützt ein Single Sign-On. Das bedeutet, man meldet sich nur ein einziges Mal mit seinem Benutzernamen und seinem Passwort an einem Authentifizierungsdienst an und kann danach auf die unterstützten Dienste zugreifen, ohne sich dafür erneut anmelden zu müssen.  
+
Eine ganze Reihe von Diensten des IMT unterstützt ein Single-Sign-On. Das bedeutet, man meldet sich nur ein einziges Mal mit seinem Benutzernamen und seinem Passwort an einem Authentifizierungsdienst an und kann danach auf die unterstützten Dienste zugreifen, ohne sich dafür erneut anmelden zu müssen.  
  
 
== Single-Sign-On durch Kerberos ==
 
== Single-Sign-On durch Kerberos ==
Zeile 15: Zeile 15:
 
Das IMT setzt an vielen Stellen zur Anmeldung über das Netzwerk das Kerberos-Protokoll ein. Kerberos bietet gegenüber anderen Systemen einige Vorteile:
 
Das IMT setzt an vielen Stellen zur Anmeldung über das Netzwerk das Kerberos-Protokoll ein. Kerberos bietet gegenüber anderen Systemen einige Vorteile:
  
* Passwörter gehen nicht über das Netz (weder verschlüsselt noch im Klartext)
+
* Passwörter gehen nicht über das Netz (weder verschlüsselt noch im Klartext).
 
* Es findet eine bidirektionale Authentifizierung statt, d. h. der Server erkennt den Benutzer, aber auch der Benutzer erkennt den Server.
 
* Es findet eine bidirektionale Authentifizierung statt, d. h. der Server erkennt den Benutzer, aber auch der Benutzer erkennt den Server.
 
* Kerberos unterstützt ein Single-Sign-On. Man muss sich also nur einmal anmelden und kann danach weitere Dienste nutzen ohne Passworteingabe.
 
* Kerberos unterstützt ein Single-Sign-On. Man muss sich also nur einmal anmelden und kann danach weitere Dienste nutzen ohne Passworteingabe.
  
Für die Funktion des Single-Sign-On ist es natürlich nötig, einige Anmeldeinformationen auf dem lokalen Rechner zu speichern. Bei Kerberos wird aber nicht das Passwort selbst gespeichert, sondern nur ein so genanntes Ticket. Der Vorteil dieser Vorgehensweise ist, dass ein Ticket nur eine begrenzte Lebensdauer hat. Wenn ein Ticket also in die falschen Hände geraten sollte, kann es nur für eine begrenzte Zeit missbraucht werden, danach ist es wertlos.
+
Für die Funktion des Single-Sign-On ist es natürlich nötig, einige Anmeldeinformationen auf dem lokalen Rechner zu speichern. Bei Kerberos wird aber nicht das Passwort selbst gespeichert, sondern nur ein sogenanntes Ticket. Der Vorteil dieser Vorgehensweise ist, dass ein Ticket nur eine begrenzte Lebensdauer hat. Wenn ein Ticket also in die falschen Hände geraten sollte, kann es nur für eine begrenzte Zeit missbraucht werden, danach ist es wertlos.
  
 
Im IMT werden folgende Standardzeiten verwendet:
 
Im IMT werden folgende Standardzeiten verwendet:
Zeile 26: Zeile 26:
 
Innerhalb der Gültigkeitszeit kann ein Ticket ohne Passworteingabe erneuert bzw. verlängert werden, die Gültigkeitszeit wird dabei erneut auf 10 Stunden gesetzt. Durch diese Erneuerung kann ein Ticket maximal 7 Tage lang gültig sein. Danach ist definitiv eine erneute Anmeldung mit Passwort nötig.
 
Innerhalb der Gültigkeitszeit kann ein Ticket ohne Passworteingabe erneuert bzw. verlängert werden, die Gültigkeitszeit wird dabei erneut auf 10 Stunden gesetzt. Durch diese Erneuerung kann ein Ticket maximal 7 Tage lang gültig sein. Danach ist definitiv eine erneute Anmeldung mit Passwort nötig.
  
Die Verlängerung kann natürlich automatisch geschehen. Beim Network Identity Manager für Windows z. B. geschieht die Verlängerung standardmäßig automatisch. Für Linux empfiehlt sich das graphische Tool kredentials, das ebenfalls automatisch Tickets verlängert. Für Debian und Ubuntu gibt es dieses Tool auch bereits als Paket.  
+
Die Verlängerung kann natürlich automatisch geschehen. Beim Network Identity Manager für Windows z. B. geschieht die Verlängerung standardmäßig automatisch. Für Linux empfiehlt sich das grafische Tool kredentials, das ebenfalls automatisch Tickets verlängert. Für Debian und Ubuntu gibt es dieses Tool auch bereits als Paket.  
  
 
Zur Zeit unterstützen folgende Dienste Kerberos und damit Single-Sign-On:
 
Zur Zeit unterstützen folgende Dienste Kerberos und damit Single-Sign-On:
Zeile 37: Zeile 37:
 
* Sieve (Einrichten von Filterregeln auf mail.uni-paderborn.de)
 
* Sieve (Einrichten von Filterregeln auf mail.uni-paderborn.de)
  
Für die Verwendung des Single-Sign-On mit Kerberos sind je nach Betriebsystem unterschiedliche Vorgehensweisen notwendig bevor die Authentifizierung funktioniert.
+
Für die Verwendung des Single-Sign-On mit Kerberos sind je nach Betriebssystem unterschiedliche Vorgehensweisen notwendig, bevor die Authentifizierung funktioniert.
  
 
== Funktionierende Konfigurationen und bekannte Probleme ==
 
== Funktionierende Konfigurationen und bekannte Probleme ==
  
'''Folgende Betriebsysteme unterstützen Kerberos und Single Sign-On'''
+
'''Folgende Betriebssysteme unterstützen Kerberos und Single-Sign-On:'''
  
 
Windows XP, Windows Vista, Windows 7, Windows 8, Mac OS X 10.4 - 10.8
 
Windows XP, Windows Vista, Windows 7, Windows 8, Mac OS X 10.4 - 10.8
  
'''Folgende Anwendungen unterstützen Kerberos und Single Sign-On'''
+
'''Folgende Anwendungen unterstützen Kerberos und Single-Sign-On:'''
  
Firefox, Chrome...
+
Firefox, Chrome ...

Version vom 19. August 2014, 07:18 Uhr

Vorlage:Infobox article

Eine ganze Reihe von Diensten des IMT unterstützt ein Single-Sign-On. Das bedeutet, man meldet sich nur ein einziges Mal mit seinem Benutzernamen und seinem Passwort an einem Authentifizierungsdienst an und kann danach auf die unterstützten Dienste zugreifen, ohne sich dafür erneut anmelden zu müssen.

Single-Sign-On durch Kerberos

Das IMT setzt an vielen Stellen zur Anmeldung über das Netzwerk das Kerberos-Protokoll ein. Kerberos bietet gegenüber anderen Systemen einige Vorteile:

  • Passwörter gehen nicht über das Netz (weder verschlüsselt noch im Klartext).
  • Es findet eine bidirektionale Authentifizierung statt, d. h. der Server erkennt den Benutzer, aber auch der Benutzer erkennt den Server.
  • Kerberos unterstützt ein Single-Sign-On. Man muss sich also nur einmal anmelden und kann danach weitere Dienste nutzen ohne Passworteingabe.

Für die Funktion des Single-Sign-On ist es natürlich nötig, einige Anmeldeinformationen auf dem lokalen Rechner zu speichern. Bei Kerberos wird aber nicht das Passwort selbst gespeichert, sondern nur ein sogenanntes Ticket. Der Vorteil dieser Vorgehensweise ist, dass ein Ticket nur eine begrenzte Lebensdauer hat. Wenn ein Ticket also in die falschen Hände geraten sollte, kann es nur für eine begrenzte Zeit missbraucht werden, danach ist es wertlos.

Im IMT werden folgende Standardzeiten verwendet:

Ein Ticket ist 10 Stunden gültig. Ohne weiteres Zutun ist es danach wertlos. Innerhalb der Gültigkeitszeit kann ein Ticket ohne Passworteingabe erneuert bzw. verlängert werden, die Gültigkeitszeit wird dabei erneut auf 10 Stunden gesetzt. Durch diese Erneuerung kann ein Ticket maximal 7 Tage lang gültig sein. Danach ist definitiv eine erneute Anmeldung mit Passwort nötig.

Die Verlängerung kann natürlich automatisch geschehen. Beim Network Identity Manager für Windows z. B. geschieht die Verlängerung standardmäßig automatisch. Für Linux empfiehlt sich das grafische Tool kredentials, das ebenfalls automatisch Tickets verlängert. Für Debian und Ubuntu gibt es dieses Tool auch bereits als Paket.

Zur Zeit unterstützen folgende Dienste Kerberos und damit Single-Sign-On:

  • SSH/SCP (Zugriff auf afs-gate.uni-paderborn.de)
  • SMTP (Mailversand über mail.uni-paderborn.de)
  • IMAP (Mailempfang über mail.uni-paderborn.de)
  • POP (Mailempfang über mail.uni-paderborn.de)
  • HTTP (Webseiten mit Kerberos-Authentifizierung)
  • Sieve (Einrichten von Filterregeln auf mail.uni-paderborn.de)

Für die Verwendung des Single-Sign-On mit Kerberos sind je nach Betriebssystem unterschiedliche Vorgehensweisen notwendig, bevor die Authentifizierung funktioniert.

Funktionierende Konfigurationen und bekannte Probleme

Folgende Betriebssysteme unterstützen Kerberos und Single-Sign-On:

Windows XP, Windows Vista, Windows 7, Windows 8, Mac OS X 10.4 - 10.8

Folgende Anwendungen unterstützen Kerberos und Single-Sign-On:

Firefox, Chrome ...


Bei Fragen oder Problemen wenden Sie sich bitte telefonisch oder per E-Mail an uns:

Tel. IT: +49 (5251) 60-5544 Tel. Medien: +49 (5251) 60-2821 E-Mail: imt@uni-paderborn.de

Der Servicepoint ist aktuell im Notebook-Café zu finden

Das IMT:Notebook-Café (Raum I0.401) bietet derzeit eingeschränkten Support und hat Montags bis Donnerstags von 08:30 - 16:00 Uhr und Freitags 08:30 - 14:00 Uhr geöffnet. Bitte beachten Sie die derzeit geltenden Hygienebestimmungen.
Ab Mittwoch dem 22. Dezember geht das NBC in die Winterpause und ist ab 3. Januar wieder für euch da. In der ersten Januarwoche von 10-14 Uhr.

Das IMT:Servicecenter Medien auf H1 hat aktuell Montags bis Donnerstags von 8:00 - 16:00 Uhr und Freitags von 8:00 - 14:00 Uhr geöffnet.