基于开源方案实现Active Directory集成的Web代理服务搭建指南
1. 业务背景与需求分析
Abmas Snack Foods拥有数千名分布在总部、多个地区办公室、工厂和仓库的用户。该企业大部分工作依赖在线完成，因此多数用户的互联网访问至关重要。所有互联网访问，包括地区办公室的访问，都通过总部进行，这由网络团队负责。此前，团队使用Microsoft ISA，但对其性能和可靠性不满，不过ISA与Active Directory的集成功能受认可。用户登录后可自动通过代理进行身份验证，若替代方案能在Active Directory域中无缝运行，将被采纳。
业务的关键需求如下：
- 为大多数员工提供互联网访问。
- 采用分布式系统以适应负载和用户的地理分布。
- 与现有的Active Directory域实现无缝透明的互操作性。
2. 技术原理剖析
用户使用Internet Explorer向Squid代理请求浏览会话时，会提供其AD身份验证令牌。Squid将身份验证请求传递给Samba - 3的身份验证辅助应用程序ntlm auth。ntlm auth是连接到winbind（Samba - 3的NTLM身份验证守护进程）的钩子。winbind使UNIX服务能够针对Microsoft Windows域（包括Active Directory域）进行身份验证。由于Active Directory身份验证是改进后的Kerberos身份验证，winbind会借助本地Kerberos 5库来检查密码是否与Active Directory服务器匹配。验证令牌后，将建立浏览会话，整个过程对用户完全透明。
实现这一过程
