我们可以仅通过 openLDAP 构建 SSO 解决方案吗？

【问题标题】：Can we build a SSO solution by openLDAP only?我们可以仅通过 openLDAP 构建 SSO 解决方案吗？
【发布时间】：2011-06-28 03:10:49
【问题描述】：

我们能否仅通过 openLDAP 构建 sso 解决方案？或 SSO 至少需要 openLDAP + Kerberos（或类似的东西？）如果 openLDAP 可以，我们如何通过 LDAP API 获取当前用户的凭据以由其他应用程序进行身份验证？有C++ api吗？

【问题讨论】：

哪些操作系统和应用程序需要 SSO？
Linux 中的 SOA 中间件。 SSH 或 Appache 可以这样做吗？
您在这里问了几个不同的问题...请参阅：serverfault.com/questions/145948/…（您的大部分问题）和stackoverflow.com/questions/2670640/ldap-c-api-choice 和stackoverflow.com/questions/1961012/user-management-api 最后一个。
@Shog9 ，非常感谢。它对我也很有用。

【解决方案1】：

如果您所说的 SSO 是指在一天开始时使用一个密码，并且在您离开之前没有密码，那么单独使用 LDAP 无法轻松做到这一点。它可以帮助您合并密码，因此您只需记住一个（这很好），但您仍然需要重复输入，除非您在此基础上进行大量工程设计。

Kerberos 实际上可以进行 SSO。我认为需要注意的是，应用程序需要在某种程度上特别支持它。

就 LDAP 存储 kerberos 的凭据而言，我不确定这是否成功。我怀疑它必须以明文形式存储凭据才能与 kerberos 兼容（而且拥有可通过网络访问并包含明文密码的服务让我感到紧张）。我不清楚这比存储密码的 kerberos 数据库好多少。

希望这会有所帮助。另外，我对 kerberos 的体验是从旁观的；我已经阅读了_a_lot_关于它的内容，但从未真正使用过它。

【讨论】：