Authentifizierung für den Password Reset-Webserver aktivieren
Die Authentifizierung beim Password Reset-Webserver erfolgt über die integrierte Windows-Authentifizierung. Damit dies funktioniert, muss der Dienst als Intranet-Server identifiziert werden. Wenn die integrierte Windows-Authentifizierung nicht verwendet wird, wird der Benutzer zur Eingabe seines Benutzernamens und Kennworts aufgefordert, wobei die "einfache Authentifizierung" verwendet wird und die Benutzerinformationen über HTTP gesendet werden.
Aktivieren der integrierten Authentifizierung in Internet Explorer
- Öffnen Sie die Verwaltungskonsole der Gruppenrichtlinien.
- Klicken Sie mit der rechten Maustaste auf den GPO-Knoten, und wählen Sie Bearbeiten.
- Erweitern Sie im Gruppenrichtlinien-Verwaltungseditor Computerkonfiguration, Richtlinien, Adminstrationsvorlagen, Windows-Komponenten, Internet Explorer, Internet Explorer Steuertafel und wählen Sie Sicherheitsseite aus.
- Doppelklicken Sie im Detailbereich auf Site-zu-Zone-Zuordnungsliste.
- Klicken Sie auf Aktivieren.
- Klicken Sie auf Anzeigen.
- Fügen Sie Ihre URL in das Textfeld Wertname ein.
- Verwenden Sie im Textfeld Wert den Wert "1" für Einträge für die vertrauenswürdige Zone.
- Klicken Sie im Dialogfeld Inhalt anzeigen auf OK.
- Klicken Sie zum Abschluss auf OK.
Aktivieren der integrierten Authentifizierung in Firefox
Sie können Firefox so konfigurieren, dass er die integrierte Windows-Authentifizierung verwendet.
- Öffnen Sie Firefox.
- Geben Sie in der Adressleiste about:config ein
- Es erscheint eine Sicherheitswarnung. Zum Fortzufahren klicken Sie auf Ich werde vorsichtig sein, ich verspreche es.
- Nun müssen Sie folgende Einstellungen ändern:
Einstellung Wert network.automatic-ntlm-auth.trusted-uris MySprServer.domain.com network.automatic-ntlm-auth.allow-proxies True network.negotiate-auth.allow-proxies True
Aktivieren der integrierten Authentifizierung in Chrome
Damit Chrome die integrierte Windows-Authentifizierung verwenden kann, müssen Sie Chrome.exe konfigurieren. Für die meisten Unternehmen empfehlen wir, die Befehlszeilenalternative verwenden oder die Registrierung auf einem oder einigen wenigen Computern ändern. In anderen Organisationen, wie z. B. Schulen, in denen ein Lehrer in der Lage sein sollte, die Kennwörter der Schüler zurückzusetzen, ist es möglicherweise besser, ein GPO für die OE des Lehrers zu verwenden.
Verwenden der Befehlszeile
Sie können eine chrome.exe-Verknüpfung auf dem Desktop des Benutzers hinzufügen. Starten Sie Chrome mit folgender Eingabe in der Befehlszeile:
--auth-server-whitelist="MYSPRSERVER.DOMAIN.COM" --auth-negotiate-delegate-whitelist="MYSPRSERVER.DOMAIN.COM" --auth-schemes="digest,ntlm,negotiate"
Ändern der Registrierung
Konfigurieren Sie die folgenden Registry-Einstellungen mit den entsprechenden Werten:
| Registry | Wert |
|---|---|
| AuthSchemes | Datentyp:
Zeichenfolge (REG_SZ) Speicherort in der Windows-Registrierung: Software\Policies\Google\Chrome\AuthSchemes Name der Mac/Linux-Präferenz: AuthSchemes Unterstützt von:
Unterstützte Funktionen: Dynamische Richtlinienaktualisierung: Nein, Pro Profil: Nein Beschreibung: Gibt an, welche HTTP-Authentifizierungsverfahren von Google Chrome unterstützt werden. Mögliche Werte sind "basic", "digest", "ntlm" und "negotiate". Trennen Sie mehrere Werte durch Kommas. Wird diese Richtlinie nicht festgelegt, werden alle vier Schemata verwendet. Wert: "basic,digest,ntlm,negotiate" |
| Registry | Wert |
| AuthServerWhitelist | Datentyp:
Zeichenfolge (REG_SZ) Speicherort in der Windows-Registrierung: Software\Policies\Google\Chrome\AuthServerWhitelist Name der Mac/Linux-Präferenz: AuthServerWhitelist Unterstützt von:
Unterstützte Funktionen: Dynamische Richtlinienaktualisierung: Nein, Pro Profil: Nein Beschreibung: Gibt an, welche Server für die integrierte Authentifizierung auf die Whitelist gesetzt werden sollen. Die integrierte Authentifizierung wird nur aktiviert, wenn Google Chrome eine Authentifizierungsanfrage von einem Proxy oder einem Server erhält, der in der Liste der zugelassenen Server aufgeführt ist. Trennen Sie mehrere Servernamen durch Kommas. Wildcards (*) sind erlaubt. Wenn Sie diese Richtlinie nicht einstellen, versucht Chrome zu erkennen, ob sich ein Server im Intranet befindet, und reagiert erst dann auf IWA-Anfragen. Wenn ein Server als im Internet erkannt wird, werden IWA-Anfragen von diesem Server von Chrome ignoriert. Wert: "MYSPRSERVER.DOMAIN.COM” |
| Registry | Wert |
| AuthNegotiateDelegateWhitelist | Datentyp:
Zeichenfolge (REG_SZ) Speicherort in der Windows-Registrierung: Software\Policies\Google\Chrome\AuthNegotiateDelegateWhitelist Name der Mac/Linux-Präferenz: AuthNegotiateDelegateWhitelist Unterstützt von:
Unterstützte Funktionen: Dynamische Richtlinienaktualisierung: Nein, Pro Profil: Nein Beschreibung: Server, an die Google Chrome delegieren kann. Trennen Sie mehrere Servernamen durch Kommas. Wildcards (*) sind erlaubt. Wenn Sie diese Richtlinie nicht festlegen, delegiert Chrome keine Benutzeranmeldeinformationen, selbst wenn ein Server als im Intranet erkannt wird. Beispielwert: "MYSPRSERVER.DOMAIN.COM” |
GPO konfigurieren
- Laden Sie die Zip-Datei mit den ADM/ADMX-Vorlagen und der Dokumentation herunter von: chromium.org/administrators/policy-templates.
- Fügen Sie die ADMX-Vorlage zu Ihrem zentralen Speicher hinzu. Weitere Informationen dazu finden Sie im Specops Password Reset-Verwaltungsleitfaden.
- Konfigurieren Sie ein GPO mit Specops Password Reset-Server-DNS-Hostname anhand der Kerberos-Delegationsserver-Whitelist und der Authentifizierungsserver-Whitelist.