Windows-Benutzer auslesen und via LDAP am Intranet anmelden

[engel4u]

Hallo miteinander,

ich hab schon viele Foreneinträge gelesen, aber finde nicht die richtige Lösung.

Also, wir haben nen Windows 2003 Server mit Apache 1.3.33 und PHP 4.4.0. ein Umstieg auf IIS ist NICHT möglich.

Was möchte ich erreichen:

1)
Der Mitarbeiter ist am Windows angemeldet, öffnet den Browser, wir lesen irgendwie den Benutzer aus (soll angeblich in remote_user stehen), wir schauen nach ob den Benutzer in einer vorhanden MySQL-DB gibt und loggen den Mitarbeiter dann mit seinen Rechten (z.B. Redakteur, Admin, ...) ein.

2)
Es gibt dann noch einen Login-Button, um z.B. an einem fremden Rechner sich mit seiner Kennung anzumelden. Hier kommt dann ein Formular, ich gebe meine Windows-Daten ein, die dann an das LDAP geschickt werden. Paßt alles, wird der neue Benutzer am Intranet angemeldet.

So, nun das Problem:
Schritt 2 funktioniert ohne Probleme!

Schritt 1 leider nicht. Der Browser zeigt immer ein Loginfenster (HTTP-Authenfikation). Wie schaffe ich es, dass ich den Benutzer auslesen kann? Hat jemand konkret das schon umgesetzt? Oder kann das jemand für mich programmieren? Gerne auch gegen Bezahlung, es ist für´s Geschäft und unser Programmierer ist am Limit! :-)

PS: Was komisch ist: wir nutzen das oben beschriebene derzeit schon so, nur mit NTLM (mittels htaccess-Datei). Hier funktioniert es genauso wie oben beschrieben: Browser öffnen und ich werde automatisch angemeldet.

[xabbuh]

Du kannst den Benutzernamen, unter dem der Benutzer am Betriebssystem angemeldet ist, nicht per PHP identifizieren.

[DominikJ]

Zitat von xabbuh

Du kannst den Benutzernamen, unter dem der Benutzer am Betriebssystem angemeldet ist, nicht per PHP identifizieren.

Das sehe ich als gerücht!
google nach 'NTLM PHP' und du wirst fündig!


Edit:

@Ersteller: Beim google stößt man auch öfters auf dich mit deinem Problem aus 2005 ;)

[meikel (†)]

Zitat von DominikJ

Das sehe ich als gerücht!

Naja, das Gerücht ist so lange Tatsache, bis der Client im HTTP Protokoll die Variable remote_user setzt. Und genau da gibt es das nächste Problem, weil man diese Variable mittels Script (auf der Clientseite) ja setzen kann:
header('remote_user: IchBinDerChef');
Also muß das NTLM Handshake nachgebaut werden, um den Client auch sicher über die Userdatenbank zu verifizieren.

Einen Teil der Arbeit kann man sich erleichtern, in dem man PHP mit dem IIS verheiratet.

[DominikJ]

naja, man muss ja nicht remote_user nutzen.
Und wenn ich es richtig verstanden habe, hat engel4u das gleiche vor, was ich gestern geschrieben habe!

engel4u, bitte einmal bestätigen:

- Du bist in einer Domäne und willst im Intranet den NT-Nutzer erkennen?
- Du nutzt keinen IIS Server
- LDAP Verzeichnis

wenn das zutrifft lies doch einfach alles per NTLM aus;

- checken ob Header Authorization gesetzt ist
- Header 401 setzen
- Header www-authenticate NTLM setzen
- auf antwort warten
- checken ob Header Authorization gesetzt ist (Wert: NTLM base64_encoded_string)
- client base64 string zurücksenden
- auf rückantwort warten
- den base64 string decoden und 'übersetzen'

[xabbuh]

Zitat von DominikJ

Das sehe ich als gerücht!
google nach 'NTLM PHP' und du wirst fündig!

Danke, das war mir so noch nicht bekannt.