Nous sommes une petite boutique exécutant Google Apps (Enterprise) pour nos besoins de messagerie. Aimer. En interne, nous utilisons Windows AD (2003). Rien à redire non plus.
Je voudrais obtenir une méthode d'authentification unique entre AD et Google Apps, de sorte qu'AD soit le seul endroit où mes parents doivent gérer (et MODIFIER périodiquement!) Les mots de passe.
J'ai regardé les "tfm" de google par le passé, mais je suppose que je ne comprends pas très bien. Quelqu'un fait-il cela? Si oui, seriez-vous prêt à partager comment? Peut-il être fait sans énormément de complexité et de dépenses?
Réponses:
Il y a quelques choses que vous pouvez faire avec Google Apps.
Vous pouvez configurer un serveur SAML connecté à votre réseau AD, puis configurer Google pour authentifier votre accès Google Apps par rapport au serveur SAML. Nous avons utilisé une application php appelée simpleSAMLphp car nous avons déjà des serveurs configurés pour exécuter PHP et nous avons des développeurs ayant des compétences en php. L'inconvénient de l'utilisation d'une solution SAML seule est que vous ne pouvez vous connecter qu'à des comptes via le Web. Cela signifie que vous ne pouvez pas accéder à votre boîte aux lettres via imap / pop et que vous ne pouvez pas vous connecter à Google Talk avec un ancien client XMPP.
L'utilisation de SAML ne crée pas automatiquement de comptes dans le domaine Google Apps. Vous aurez également probablement besoin d'un outil qui synchronisera les comptes pour que vous puissiez utiliser l' outil de synchronisation de l' annuaire Google Apps . Cela vous permettra de créer des comptes, mais il ne synchronisera toujours pas les mots de passe par défaut car les hachages de mot de passe Windows ne sont pas réversibles et Google ne peut rien faire avec eux.
Il est possible d'utiliser quelque chose comme PasswdHk pour intercepter les modifications de mot de passe dans votre AD, puis stocker le mot de passe dans un format (shaal non salé) que l'utilitaire de synchronisation d'annuaire Google peut utiliser pour définir les mots de passe Google Apps. Mais cela ajoute un peu de risque de sécurité car Google n'acceptera que les hachages de mot de passe md5 ou sha1 non salés via son API de provisioning , et pour se synchroniser avec Google, vous devez essentiellement stocker ces hachages. Si vous devez l'utiliser, il est très important de garder ces hachages en sécurité.
Si vous êtes prêt à accepter le risque de stocker les hachages de mot de passe, vous pouvez alors combiner l'authentification unique et la synchronisation d'annuaire pour obtenir un système fonctionnel.
Comme alternative, quelqu'un pourrait développer un portail Intranet où les utilisateurs de votre domaine iraient pour initialiser leur compte Google et définir le mot de passe pour le compte Google. J'avais envisagé de développer quelque chose comme ça, mais je n'ai pas pu convaincre mes collègues que c'était la voie à suivre.
L'idée de base est la suivante: créer une application Web qui
Construire l'outil ne devrait vraiment pas être trop difficile, j'avais estimé que pirater quelque chose de basique ne prendrait que 12 à 16 heures de temps de développement. L'avantage de cette solution est qu'elle vous offre 100% de fonctionnalités Google Apps, l'inconvénient est qu'elle gêne quelque peu l'utilisateur final.
la source
Moi aussi, j'aimerais voir une meilleure réponse à celle-ci.
J'ai joué avec Google Apps Directory Sync pour synchroniser les utilisateurs Google avec les utilisateurs Active Directory. Cela semblait gonflé, jusqu'au point où j'ai lu que l'implémentation LDAP d'AD conserve le mot de passe dans un champ binaire crypté, auquel l'outil de synchronisation de Google ne peut pas accéder.
L' autre solution SSO de Google semble renverser la vapeur, de sorte que Google est la source faisant autorité des informations d'identification. Cela ne nous intéresse pas; que se passerait-il sur notre réseau local si notre accès Internet était en panne?
En ce moment, ma meilleure solution est une feuille de calcul Google Apps avec les noms d'utilisateur et les mots de passe, que nous exportons ensuite au format CSV et l' import en masse vers Google Apps . Cela ne gère pas les modifications de mot de passe. Jusqu'à présent, le mieux que nous ayons est d'éduquer nos utilisateurs à changer à la fois le mot de passe Google et Windows pour le même nouveau mot de passe lorsque la politique de mot de passe Windows force un changement.
la source
Voici un filtre de mot de passe qui stocke le hachage dans l'annonce. http://code.google.com/p/sha1hexfltr/ Il enregistre en toute sécurité les hachages dans l'annonce. Aucun SSO nécessaire, aucun nouveau serveur nécessaire!
la source
Hmm, personne ne fait le truc SSO? J'avoue que je suis un peu surpris!
Juste pour faire avancer les choses: j'ai suggéré PingConnect via d'autres canaux. Quelqu'un l'a utilisé?
la source
Vous pouvez utiliser LemonLDAP :: NG pour ce faire. Voir http://lemonldap-ng.org/documentation/latest/applications/googleapps
la source
Certains produits comme Oracle Internet Directory + Oracle SSO (et IBM TIM / TAM) permettent le raccordement à des systèmes tiers. Cela signifie que le produit est configuré pour se synchroniser avec AD et stocke les informations d'identification pour tous les autres produits que vous imaginez. Vous obtenez un nouveau lien de connexion qui amène les informations d'identification au système que vous souhaitez (dans ce cas - Google Apps), et c'est tout.
Gardez à l'esprit qu'il est assez compliqué de mettre en place une telle configuration et qu'elle peut également vous coûter de l'argent, donc elle ne convient pas à toutes les organisations.
la source
Il semble qu'il y ait Google Apps Password Sync (GAPS) pour synchroniser les mots de passe à utiliser en combinaison avec la synchronisation Active Directory. Mais je ne l'ai pas encore utilisé.
la source