Configuración de la autenticación Kerberos en diferentes navegadores

En este artículo, veremos cómo configurar la autenticación Kerberos para diferentes navegadores en un dominio de Windows para permitir una autenticación transparente y segura en servidores web sin la necesidad de volver a ingresar la contraseña de un usuario en una red corporativa. La mayoría de los navegadores modernos (IE, Chrome, Firefox) son compatibles con Kerberos, sin embargo, debe realizar algunos pasos adicionales para que funcione.

Para permitir que un navegador se autentique en un servidor web, se deben cumplir las siguientes condiciones:

1. La compatibilidad con Kerberos debe estar habilitada en el lado del servidor web (un ejemplo de Configuración de la autenticación de Kerberos para el sitio web de IIS);

2. Un usuario debe tener acceso al servidor web;

3. Un usuario debe estar autenticado en su computadora unida a Active Directory mediante Kerberos (debe tener un TGT válido: vale de concesión de vales de Kerberos).

Por ejemplo, desea permitir que los clientes de Kerberos se autentiquen usando un navegador en cualquier servidor web del dominio a-d.site (se debe usar el nombre DNS o FQDN en lugar de la dirección IP del servidor web).

Habilitación de la autenticación Kerberos en Internet Explorer

Consideremos cómo habilitar la autenticación Kerberos en Internet Explorer 11.

Vaya a Opciones de Internet -> Seguridad -> Intranet local y haga clic en Sitios -> Avanzado. Agregue las siguientes entradas a la zona:

• https://*.a-d.site

• http://*.a-d.site

Luego vaya a la pestaña Avanzado y en la sección Seguridad, asegúrese de que la opción Habilitar autenticación integrada de Windows esté marcada.

Cómo habilitar la autenticación Kerberos en Google Chrome

Para hacer que SSO funcione en Google Chrome, configure Internet Explorer usando el método descrito anteriormente (Chrome usa la configuración de IE). Además, cabe señalar que todas las nuevas versiones de Chrome detectan automáticamente la compatibilidad con Kerberos en el sitio web. Si está utilizando una de las versiones anteriores de Chrome (Chromium), ejecútela con los siguientes parámetros para que la autenticación Kerberos en sus servidores web funcione correctamente:

--auth-server-whitelist="*.a-d.site"
--auth-negotiate-delegate-whitelist="*.a-d.site"

Por ejemplo:

"C:\Program Files (x86)\Google\Chrome\Application\chrome.exe” --auth-server-whitelist="*.a-d.site " --auth-negotiate-delegate-whitelist="*.a-d.site"

Puede configurar estos ajustes usando GPO para Chrome (política AuthServerWhitelist) o usando el parámetro de registro AuthNegotiateDelegateWhitelist ubicado en la clave de registro HKLM\SOFTWARE\Policies\Google\Chrome (Cómo implementar claves de registro usando GPO).

Para que los cambios entren en vigencia, reinicie su navegador y reinicie los boletos de Ketberos usando

klist purge

comando (ver el artículo).

Configurar Firefox para autenticarse usando Kerberos

De forma predeterminada, la compatibilidad con Kerberos en Firefox está deshabilitada. Para habilitarlo, abra la ventana de configuración del navegador (vaya a about:config en la barra de direcciones). Luego, en los siguientes parámetros, especifique las direcciones de los servidores web, para los cuales utilizará la autenticación Kerberos.

1. network.negotiate-auth.trusted-uris

2. network.automatic-ntlm-auth.trusted-uris

Puede asegurarse de que su navegador haya pasado la autenticación Kerberos en el servidor usando Fiddler o

klist tickets

dominio.