BMD Web: Einrichten Windows-Authentifizierung

In der BMDNTCS müssen die BMDNTCS-Benutzer mit ihrem jeweiligen Betriebssystembenutzer verknüpft werden. Darüber hinaus muss der Single Login aktiviert werden:

Der Webserver muss sich in der Domäne befinden.

Ist der Webserver durch eine DMZ-Firewall getrennt, müssen folgende Ports zu den Domänencontrollern freigeschaltet werden:

• 88 TCP/UDP – Kerberos
• 389 TCP/UDP – LDAP 
• 636 TCP – LDAP SSL
• 135 TCP – RPC Endpoint Mapper
• 53 TCP/UDP – DNS
• 123 TCP/UDP – NTP 
• 445 TCP/UDP – CIFS/SMB
• 3268 TCP – LDAP Global Catalog
• 3269 TCP – LDAP Global Catalog SSL
• 49152 -65535/TCP - RPC dynamic High Ports (LSA, SAM, Netlogon, FRS)

Siehe:
https://support.microsoft.com/en-us/help/179442/how-to-configure-a-firewall-for-domains-and-trusts
https://blogs.technet.microsoft.com/luistog/2012/05/08/restricting-ad-replication-traffic-between-dcs-to-only-a-few-ports/
https://support.microsoft.com/en-us/help/224196/restricting-active-directory-rpc-traffic-to-a-specific-port

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters 
DCTcpipPort (REG_DWORD) 
Value data: 49256 (This value needs to be specified in decimal format)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
TCP/IP Port (REG_DWORD)
Value data: 49257 (This value needs to be specified in decimal format)

Nachfolgend wird davon ausgegangen, dass die BMD Web Anwendung bereits vollständig eingerichtet und funktionstüchtig ist.

Siehe:
https://www.bmd.com/technische-dokumentation/einrichtung-von-bmd-web-anwendungen-20.html

Via Server-Manager:
Verwalten – Rollen und Features hinzufügen – Webserver (IIS) – Rollendienste – Sicherheit – Windows-Authentifizierung

Im IIS-Manager auf der Applikation unter „Authentifizierung“:
 

• Anonyme Authentifizierung deaktivieren
• Windows- Authentifizierung aktivieren

Nach Abmeldung aus einer BMD Web Sitzung wird sofort wieder auf die Login-Seite verlinkt, welche durch den Windows-Authentifizierungs-Mechanismus direkt wieder einen Login durchführt.

Lösung
Um diesen Umstand zu umgehen, gibt es in den BMD Web Einstellungen einen neuen Parameter, in den eine URL für den Logout eingetragen werden kann.
 

• Internet Explorer + Edge funktionieren nun bereits „out of the Box“.
• Für Firefox muss via about:config nach „network.automatic“ gesucht werden. 
  Entweder bei „network.automatic-ntlm-auth.trusted-uris“ die entsprechende URL hinzufügen oder den „network.automatic-ntlm-auth.allow-non-fqdn“ auf true und „network.automatic-ntlm-auth.trusted-uris“ leer lassen.
• Chrome (und seine Ableger wie Opera & Vivaldi) greifen auf die IE Einstellungen zu.
  Sollte es dennoch in Chrome nicht funktionieren, kann es sein, dass der „Negotiate“ Anbieter entfernt werden muss.

• Im „private Mode“ funktioniert die Windows-Authentifizierung unter Edge & Firefox nicht. •    Unter Internet Explorer und Chrome hingegen schon. 
• Befindet sich der Client – von dem aus die Website gestartet wird – nicht in der Domäne, erscheint ein Abfragefenster von Benutzer + Kennwort. Nach entsprechender Eingabe der Domänen-Credentials erhält man erfolgreich Zugang.

Wird die URL zu BMD Web vom System nicht korrekt zugeordnet, sind folgende Einstellungen zu prüfen:
 

• Die URL zu BMD Web muss im Internet Explorer zu den „Vertrauenswürdigen Sites“ hinzugefügt sein.
• Die Einstellung bezüglich Benutzerauthentifizierung auf „Automatische Anmeldung mit aktuellem Benutzernamen und Kennwort“ ist vorzunehmen.