服务器 Gind.cn

服务器问题集锦,包括 Linux(Ubuntu, Centos,Debian等)和Windows Server服务器

Exchange 2010的单一login选项

我们正在开发一个项目,将员工邮件从Unix /开源(邮件IMAP,exim,squirrelmail等)迁移到Exchange 2010,并尝试找出Outlook Web Access的单点login选项。 到目前为止,我发现的所有选项都非常丑陋,“不可支持”,可能根本不适用于Forefront。 我们已经有了基于令牌的单点login的JA-SIG CAS和SAML的Shibboleth 。 用户被引导到一个简单的内部门户(一个Perl CGI,真的),他们用来login到大多数的东西。 我们有一个已经与另一个AD域同步的HA OpenLDAP集群,并且将与Exchange将使用的AD域同步。 CAS对LDAP进行身份validation。 门户针对CAS进行身份validation。 Shibboleth使用CAS进行身份validation,但从LDAP获取更多数据。 我们正朝着使Web服务对CAS或Shibboleth进行身份validation的方向发展。 (学生已经使用SAML / Shibbolethauthentication的Google Apps for Education) 使用Squirrelmail我们有一个可怕的攻击链接到从CASauthentication的门户网站,得到你原来的明文密码(是的,我知道,邪恶),并给你一个HTTP表单,预先填写所有必要的squirrelmaillogin细节与javaScript onLoad的东西立即提交表格。 试图找出究竟什么是可能的与Exchange / OWA似乎是困难的。 “CAS”既是我们单点login服务器的缩写,也是Exchange组件。 从我所能告诉的是,有一个用于Exchange的插件可以实现SAML,但仅用于联合诸如忙/闲日历信息之类的事情,而不是对用户进行身份validation。 此外,它需要额外的钱,所以没有办法试验,看看它是否可以被诱骗做我们想要的。 我们对Exchange群集的计划包括DMZ前端CAS服务器中的Forefront威胁pipe理网关(新ISA)。 所以,真正的问题是:是否有人设法使用CAS(基于令牌的单点login)或SAML进行validation,或者我可以合理地使用其中的一个validation(比如接受apachevalidation的任何validation)? 用Forefront? 如果不这样做,任何人都有一些提示说服OWA表单身份validation(FBA)让我们以某种方式“预login”用户? (以他们的身份login并将cookie传递给用户,或者向用户提供一个预先填写的表单,像squirrelmail一样自动提交)。 由于多种原因,这是最不喜欢的select,但它(几乎)不能满足我们的要求。 从我从执行Forefront的人那里得知,我们可能必须将OWA设置为基本身份validation,并在Forefront中进行身份validation,因此可能甚至不可能。 我find了CasOwa ,但它只提到了Exchange 2007,看起来有点吓人,而且我可以告诉的几乎是同样的OWA FBA黑客,我考虑稍微集成CAS服务器。 也看起来好像很多人都没有成功。 而且它可能不适用于Forefront。 还有“ 恶化的Outlook Web Access 2 ”,但是也让我感到害怕,并且涉及到build立一个复杂的代理configuration,这似乎更容易中断。 而且,它看起来不像Forefront。 我错过了什么东西与Exchange SAML(OWA联合whatchamacallit)哪里可以configuration做用户身份validation,而不仅仅是空闲/忙碌访问授权?