Alfresco NTLM 身份验证失败答案

【问题标题】：Alfresco NTLM Authentication failsAlfresco NTLM 身份验证失败
【发布时间】：2017-11-20 08:03:52
【问题描述】：

使用NTLM 身份验证查询Alfresco CMIS 时出现问题：第三次握手时身份验证失败。

*   Trying 192.168.1.1...
* Connected to ecm.corp.knastu.ru (192.168.1.1) port 8080 (#0)
* Server auth using NTLM with user 'alf_user'
> GET /alfresco/api/-default-/public/cmis/versions/1.1/browser/ HTTP/1.1

> Host: 192.168.1.1:8080
> Authorization: NTLM TlUAAB........AAAAKANcDw==
> User-Agent: curl/7.46.0
> Accept: */*
> 

< HTTP/1.1 401 Unauthorized
< Server: Apache-Coyote/1.1
< Set-Cookie: JSESSIONID=CEED8E135E6D57BCF8A99A027C08EB; Path=/alfresco/; HttpOnly
< WWW-Authenticate: NTLM TRTHgAAAA+AD4AkAA........vJfTeuwAAAACAAYAZQBjA0AAAAAAAAAAA=
< Transfer-Encoding: chunked
< Date: Mon, 20 Nov 2017 07:25:16 GMT
< 


> GET /alfresco/api/-default-/public/cmis/versions/1.1/browser/ HTTP/1.1
> Host: 192.168.1.1:8080
> Authorization: NTLM TRTHgAAAA+AD4AkAA........vJfTeuwAAAACAAYAZQBjA0AAAAAAAAAAA=
> User-Agent: curl/7.46.0
> Accept: */*
> Cookie: JSESSIONID=CEED8E135E6D57BCF8A99A027C08EB
> 

< HTTP/1.1 401 Unauthorized
< Server: Apache-Coyote/1.1
* NTLM handshake rejected
* Authentication problem. Ignoring this.
< WWW-Authenticate: NTLM
< Content-Type: text/html;charset=UTF-8
< Content-Length: 238
< Date: Mon, 20 Nov 2017 07:25:16 GMT
< 

* Connection #0 to host 192.168.1.1 left intact

【问题讨论】：

标签： windows authentication curl alfresco ntlm

【解决方案1】：

我看到您正在给用户，但没有任何域：

* Server auth using NTLM with user 'alf_user'

所以，在添加域的时候再试一次，比如：

curl -v -u mydomain/alf_user:mypassword ...

【讨论】：

整个基础设施都放在单个域下，所以这里不需要域名。
您的 curl 命令如何知道所有内容都在同一个域中？您正在发送 curl 输出，而我正在回复它。逻辑。
我尝试将域名放入凭据中，结果是一样的。在 Alfresco 的偏好中，只有一个域，因此 Alfresco 无论如何都会搜索该域。

【解决方案2】：

Alfresco Content Services 支持 NTLM v2 协议，更比 NTLM v1 协议安全。但是，NTLM v2 不能与直通身份验证。如果您需要，您将不得不切换到 NTLM v1 想使用直通身份验证，其中登录请求是传递到 Active Directory 或其他服务器以验证登录凭据。

Source

要使用 NTLM v1 进行身份验证，请在您的客户端计算机上设置以下注册表项：

[HKLM\SYSTEM\CurrentControlSet\Control\Lsa] "LmCompatibilityLevel"=dword:00000001

这个问题很可能是由 Windows 7 中增强的安全性引起的， Vista 和 Windows 2008。以前版本的 Windows (XP) 将下降如果 NTLM v2 失败，则返回 NTLM v1。

在 Windows 7 客户端上，导航到控制面板 > 管理工具 > 本地安全策略。

在左侧窗格中，导航至安全设置 > 本地策略 > 安全选项。

在右侧窗格中，找到网络安全：LAN Manager 身份验证级别。

默认情况下，网络安全：LAN Manager 身份验证级别的值设置为仅发送 NTLMv2 响应。拒绝LM 和 NTLM。

将网络安全的值：LAN Manager 身份验证级别设置为发送 LM 和 NTLM - 使用 NTLMv2 会话安全，如果协商。

此设置允许 Windows 7 使用更安全的 NTLM v2，如果可用，并回退到用于 Alfresco 内容服务的 NTLM v1。如果机器在域中，可以更改此设置所有这些都使用域控制器上的组策略编辑器。

Source

【讨论】：