AD域认证配置集成数字证书(iTrusCA)

麒麟开源堡‎垒机AD及‎L D AP集‎成说明
麒麟堡垒机‎支持使用外‎接的AD、LDAP进‎行认证，并且支持从‎A D、LDAP中‎导入帐号到‎堡垒机中，设置步骤如‎下：
1.在系统配置‎-参数配置-认证配置中‎点击“添加条目”按钮
2.在弹出的菜‎单中添加新‎的条目，如果是AD‎，需要在下拉‎中选择AD‎
LDAP截‎图：
AD截图：
3.如果需要手‎工导入帐号‎，点击后面的‎添加LDA‎P/AD帐号按‎钮，输入管理员‎帐号后进行‎导入，也可以自己‎用E XCE‎L方式或在‎W E B上手‎添加帐号，注:在进行认证‎前，堡垒机上必‎须存在有这‎个帐号才能‎进行AD/LDAP认‎证
4.编辑相应的‎帐号，在认证方式‎部分，勾上AD或‎L DAP认‎证，优先登录试‎，可以选择刚‎才设置的A‎D或LDA‎P认证
5.登录时，左侧选中相‎应的登录试‎，输入AD/LDAP密‎码即可以进‎行登录
注：目前AD/LDAP只‎支持WEB‎方式，不支持透明‎登录试，因此，如果非要用‎户登录，可以做如下‎设置：
1.在启用AD‎/LDAP登‎录时，将认证（使用本地密‎码认证）勾除，让用户在W‎E B登录时‎必须用LD‎AP/AD进行认‎证
2.勾上WEB‎PORTA‎L，如果勾上W‎E BPOR‎T AL，用户在进行‎透明登录时‎，必须要WE‎B在线，即用户必须‎使用WEB‎通过AD/LDAP登‎录后才能用‎透明登录。

一、安装条件∙∙安装者必须具‎有本地管理员‎权限∙操作系统版本‎必须满足条件‎（window‎s server‎2003 除WEB版外‎都满足）∙本地磁盘至少‎有一个NTF‎S文件系统∙有TCP/IP设置（IP地址、子网掩码等）∙有相应的DN‎S服务器支持‎∙有足够的可用‎空间二、安装安装活动目录‎：1、插入系统光盘‎。

2、打开【开始】菜单，单击【运行】命令，键入“Dcprom‎o”后单击【确定】按钮。

3、在出现的AD‎安装向导窗口‎中，单击【下一步】按钮。

4、出现操作系统‎兼容窗口，单击【下一步】按钮。

5、出现域控制器‎类型窗口，选中【新域的域控制‎器】，单击【下一步】按钮。

6、出现选择创建‎域的类型窗口‎，选中【在新林中的域‎】，单击【下一步】按钮。

7、出现新建域名‎窗口，键入要创建的‎域的域名，单击【下一步】按钮。

8、出现域Net‎B IOS名窗‎口，键入域的Ne‎t BIOS名‎，单击【下一步】按钮，向导会自动创‎建。

9、出现数据库和‎日志文件窗口‎，保持默认位置‎即可，单击【下一步】按钮。

10、出现共享的系‎统卷窗口，注意，文件夹所在分‎区必须是NT‎F S分区，保持默认位置‎即可，单击【下一步】按钮。

11、如果当前设置‎的DNS无法‎解析的话，会出现一个D‎N S注册诊断‎的窗口，可以选择第二‎项，把本机装成D‎N S服务器，单击【下一步】按钮。

12、在弹出的权限‎窗口中，保持默认选项‎即可，单击【下一步】按钮。

13、出现要输入目‎录还原模式的‎管理员密码，此密码用于【目录服务还原‎模式】下，单击【下一步】按钮。

14、向导会显示摘‎要，单击【下一步】按钮。

15、向导开始安装‎活动目录。

16、出现安装完成‎窗口，单击【完成】按钮，重新启动计算‎机即可。

卸载活动目录‎：1、打开【开始】菜单，单击【运行】命令，键入“Dcprom‎o”后单击【确定】按钮。

2、在出现的AD‎安装向导窗口‎中，单击【下一步】按钮。

AD域认证操作一、验证域类编写一个域用户验证的类LdapAuthentication【类的名称自己可以定义，这里我们就用LdapAuthentication】引用命名空间：using System.DirectoryServices;public class LdapAuthentication{private string _path;private string _filterAttribute;public LdapAuthentication(string path){_path = path;}public bool IsAuthenticated(string domain, string username, string pwd){string domainAndUsername = domain + @"\" + username;DirectoryEntry entry = new DirectoryEntry(_path, domainAndUsername, pwd);try{//Bind to the native AdsObject to force authentication.object obj = entry.NativeObject;DirectorySearcher search = new DirectorySearcher(entry);search.Filter = "(SAMAccountName=" + username + ")";search.PropertiesToLoad.Add("cn");SearchResult result = search.FindOne();if (null == result){return false;}//Update the new path to the user in the directory._path = result.Path;_filterAttribute = (string)result.Properties["cn"][0];}catch (Exception ex){throw new Exception( ex.Message);}}return true;}二、配置web.Config文件在Web.config文件中找到相应的节修改如下【如果没有找到直接复制粘贴到</system.web><system.web>之间】：<authentication mode="Forms"><forms loginUrl="login.aspx"name="adAuthCookie"timeout="10"path="/"></forms></authentication><authorization><deny users="?"/><allow users="*"/></authorization><identity impersonate="true"/>备注：login.aspx是登录界面，根据自己系统的页面而定三、配置域信息在标签<appSettings>中添加如下的两个配置信息<appSettings><add key ="ADPath"value ="LDAP://DC=adventure-works【填写您的机子的域名】,DC=com【域名后缀】"/><add key ="Domain"value ="adventure-works【填写您的机子的域名】"/></appSettings>四、编写Global.asax文件给您的程序添加Global.asax文件，在其protected void Application_AuthenticateRequest(object sender, EventArgs e){}事件中添加如下的代码:string cookieName = FormsAuthentication.FormsCookieName;HttpCookie authCookie = Context.Request.Cookies[cookieName];if (null == authCookie){//There is no authentication cookie.return;}FormsAuthenticationTicket authTicket = null;try{authTicket = FormsAuthentication.Decrypt(authCookie.Value);}catch (Exception ex){//Write the exception to the Event Log.return;}if (null == authTicket){//Cookie failed to decrypt.return;}//When the ticket was created, the UserData property was assigned a//pipe-delimited string of group names.string[] groups = erData.Split(new char[] { '|' });//Create an Identity.GenericIdentity id = new GenericIdentity(, "LdapAuthentication");//This principal flows throughout the request.GenericPrincipal principal = new GenericPrincipal(id, groups);er = principal;备注: LdapAuthentication跟你编写的验证类一样的名称五、设置登录验证在登录的Click事件中添加如下的代码就行：string adPath = ConfigurationManager.AppSettings["ADPath"].ToString();string domain = ConfigurationManager.AppSettings["Domain"].ToString();LdapAuthentication adAuth = new LdapAuthentication(adPath);try{string LoginName = txtUserName.Text;string Password = txtPassword.Text;//AD认证if (true == adAuth.IsAuthenticated(domain, LoginName,Password)){//string groups = adAuth.GetGroups();//Create the ticket, and add the groups.bool isCookiePersistent = chkPersist.Checked;FormsAuthenticationTicket authTicket = new FormsAuthenticationTicket(1, model.LoginName, DateTime.Now, DateTime.Now.AddMinutes(60), isCookiePersistent, "");//Encrypt the ticket.string encryptedTicket = FormsAuthentication.Encrypt(authTicket);//Create a cookie, and then add the encrypted ticket to the cookie as data.HttpCookie authCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket);if (true == isCookiePersistent){authCookie.Expires = authTicket.Expiration;}Response.Cookies.Add(authCookie); //Add the cookie to the outgoing cookies collection.//权限认证//权限认证根据自己系统的设定而定，通过后跳转到相关的页面即可}else{Lberro.Text = "登录失败.";}。

ad域认证原理
Active Directory（AD）是一种Microsoft广泛使用的LDAP(轻量目录访问协议)目录服务，它在Windows Server操作系统上构建，并
用于存储和组织Windows域中的用户，计算机和其他组件。

在AD域中进行身份验证的主要原理是使用基于密码的身份验证。

这种验证是指用户需要使用他们在特定域中的凭据(用户名和密码)作
为验证机制。

当用户登录到Windows域，他们的电脑系统向域控制器（也称为DC）发出带有用户名和密码的验证请求。

域控制器根据用户
提供的凭据检查Windows域中用户账户的凭据，并确保它们匹配。

如
果凭证匹配，则用户被授权访问域。

否则，他们将被拒绝。

AD域控制器也可以使用其他身份验证机制，例如在外部身份提供
者之间进行单一登录（SSO）。

然而，这里只讨论基于密码的验证机制。

当用户更改他们的凭证时，这些更改将被写入域控制器作为配置
更新。

如果域控制器已配置为使用密码策略，则它将强制规定密码复
杂性要求，例如密码必须包含大小写字母，数字和符号等。

此外，密
码执行策略还可以定义密码最短长度，密码过期和密码重置要求。

一个AD域可以包含多个域控制器，这些域控制器一起处理基于密
码的验证请求。

这些域控制器定期进行复制，以确保它们之间的所有
数据同步，以便在发生故障的情况下缓解风险。

总的来说，AD域控制器提供了一种安全，强大的身份验证机制，以确保安全和保密数据的访问。

了解AD域认证原理可以帮助管理员更好地了解和管理组织中的身份验证和访问控制机制。

ad域证书详解-概述说明以及解释1.引言1.1 概述概述部分的内容如下：在当今网络安全环境日趋复杂的背景下，AD域证书作为一种关键的安全技术，发挥着至关重要的作用。

随着企业规模的不断扩大和网络拓扑结构的不断复杂化，传统的身份验证方式已经无法满足对安全性和可管理性的需求。

AD域证书作为一种基于公钥基础设施(PKI)的安全解决方案，通过数字签名和加密技术，确保了用户身份、数据传输和通信的安全性。

本文将深入探讨AD域证书的定义、作用、生成和管理等方面，帮助读者全面了解这一重要的安全技术。

1.2 文章结构文章结构部分的内容如下：文章结构部分旨在介绍本文的结构安排，包括各个章节的主要内容和逻辑关系，为读者提供一个整体概览。

本文按照引言、正文和结论三个部分组织。

在引言部分，将介绍AD域证书的概述、文章结构和目的。

在正文部分，将详细介绍什么是AD域证书、AD域证书的作用以及AD域证书的生成和管理。

最后在结论部分，将总结AD域证书的重要性，探讨未来AD域证书的发展趋势，并进行结束语的总结。

整体结构清晰明了，有助于读者快速了解本文内容。

1.3 目的本文的目的是深入探讨AD域证书的概念、作用以及生成和管理方法，以帮助读者全面了解AD域证书的重要性和实际应用。

通过对AD域证书的详细解释和分析，读者可以更好地理解如何有效地配置和管理公司的域环境，增强网络安全性和管理效率。

此外，本文旨在对AD域证书的发展趋势进行展望，帮助读者了解未来AD域证书技术的变化和发展方向，为读者的职业发展和技术选型提供参考依据。

通过本文的阐述，读者可以更深入地了解AD域证书的重要性，并为未来的技术规划和决策提供帮助和指导。

2.正文2.1 什么是AD域证书AD域证书是用于在Microsoft Active Directory（AD）环境下进行身份验证和加密通信的数字证书。

在AD域中，证书被用来验证用户、计算机或服务的身份，并确保在网络上的通信是安全的和私密的。

iMC 与AD 配合做域统一认证的典型配置一、组网需求：支持802.1X 的交换机；iMC 服务器；Microsoft Active Directory ；iNode 客户端。

二、组网图：设备说明：NAS ：S3652 iMC V3.2 E0401P05 Microsoft Active Directory 5.2 iNode V2.4-R0213三、配置步骤：前提条件是iMC ，AD ，NAS ，User 均路由可达。

NAS 可以采用802.1X 认证或者Portal 认证，这里已 802.1X 认证为例。

1．配置NAS# 配置Radius 服务器[H3C]radius scheme h3cLANWANNASUSER/iNode AD iMC192.168.1.99/24 192.168.0.1/24192.168.1.11192.168.1.12192.168.0.X/24[H3C -radius-h3c]server-type extended[H3C -radius-h3c]primary authentication 192.168.1.12 1812[H3C -radius-h3c]primary accounting 192.168.1.12 1813[H3C -radius-h3c]key authentication h3c[H3C -radius-h3c]key accounting h3c[H3C -radius-h3c]user-name-format without-domain# 配置认证域[H3C]domain h3c //此处域名必须与AD中的域名一致。

[H3C -domain-h3c]radius-scheme h3c[H3C]domain default enable h3c# 配置VLAN[H3C]Vlan 2[H3C-vlan2]Port interface GigabitEthernet1/1/1 to GigabitEthernet1/1/4[H3C]Interface vlan 2 \管理Vlan[H3C -Interface-vlan-2]ip add 192.168.1.99 255.255.255.0[H3C]Interface vlan 1 \用户Vlan[H3C -Interface-vlan-1]ip add 192.168.0.1 255.255.255.0# 启动802.1X认证[H3C] dot1x[H3C] dot1x authentication-method pap //域统一认证时必须启用PAP认证[S3952] dot1x interface Ethernet 1/0/1 to Ethernet 1/0/48注：这里只是列出了802.1X的所有必须的配置，还有一些高级选项可以自行配置，如version check，accounting on等。

一、安装条件∙∙安装者必须具有本地管理员权限∙操作系统版本必须满足条件（windows server 2003 除WEB版外都满足）∙本地磁盘至少有一个NTFS文件系统∙有TCP/IP设置（IP地址、子网掩码等）∙有相应的DNS服务器支持∙有足够的可用空间二、安装安装活动目录：1、插入系统光盘。

2、打开【开始】菜单，单击【运行】命令，键入“Dcpromo”后单击【确定】按钮。

3、在出现的AD安装向导窗口中，单击【下一步】按钮。

4、出现操作系统兼容窗口，单击【下一步】按钮。

5、出现域控制器类型窗口，选中【新域的域控制器】，单击【下一步】按钮。

6、出现选择创建域的类型窗口，选中【在新林中的域】，单击【下一步】按钮。

7、出现新建域名窗口，键入要创建的域的域名，单击【下一步】按钮。

8、出现域NetBIOS名窗口，键入域的NetBIOS名，单击【下一步】按钮，向导会自动创建。

9、出现数据库和日志文件窗口，保持默认位置即可，单击【下一步】按钮。

10、出现共享的系统卷窗口，注意，文件夹所在分区必须是NTFS分区，保持默认位置即可，单击【下一步】按钮。

11、如果当前设置的DNS无法解析的话，会出现一个DNS注册诊断的窗口，可以选择第二项，把本机装成DNS服务器，单击【下一步】按钮。

12、在弹出的权限窗口中，保持默认选项即可，单击【下一步】按钮。

13、出现要输入目录还原模式的管理员密码，此密码用于【目录服务还原模式】下，单击【下一步】按钮。

14、向导会显示摘要，单击【下一步】按钮。

15、向导开始安装活动目录。

16、出现安装完成窗口，单击【完成】按钮，重新启动计算机即可。

卸载活动目录：1、打开【开始】菜单，单击【运行】命令，键入“Dcpromo”后单击【确定】按钮。

2、在出现的AD安装向导窗口中，单击【下一步】按钮。

3、向导会询问此服务器是否是域中最后一个域控制器。

如果域中没有其他的域控制器，选中它，单击【下一步】按钮。