SSO - Single Sign-On | Kerberos, NTLM

[lxo]

Hallo,

in meiner Software gibt es eine Benutzerverwaltung, dort werden in der Datenbank, Username und Passwort abgespeichert und beim anmelden gibt der User seinen Usernamen und Passwort ein, das wird mit der Datenbank abgeglichen und der User ist angemeldet.

Gerne würde ich jetzt die Möglichkeit bieten einfach direkt mit dem Windows-Benutzer in meiner Software anzumelden. Stichwort "Single Sign-On".

Bei meiner Recherche bin ich auf Sachen wie AD, LDAP, Kerberos, NTLM und Negotiate gestoßen, aber so wirklich steig ich da nicht durch und für Delphi habe ich da einfach nichts angenehmes gefunden.
So wie ich das jetzt rausgehört habe sollte man Kerberos nutzen? NTLM ist nicht sicher?

Gibt es da wirklich nichts von Delphi direkt?

Benutzt das jemand von euch, wenn ja wie habt ihr das gelöst oder könnt ich Tipps kriegen wo ich ansetzen sollte?

[lxo]

Hab auch ganz viel mit LogonUser gelesen, aber das ist nicht das was ich brauche.
Damit muss der User ja trotzdem nochmal sein Passwort eingeben.

Mein Ziel ist es, den Windows-User mit meinem Software-User zu verknüpfen.
Und wenn ein User meine Software startet soll dieser automatisch angemeldet werden anhand des Windows-Users ohne nochmal sein Passwort eingeben zu müssen.
Das hat dieser ja für die Windowsanmeldung bereits eingegeben.

Klar man könnte einfach in meiner Software den Benutzernamen gleich dem Windows-Usernamen setzen und wenn die gleich sind einfach anmelden.
Das sehe ich aber nicht als sicher an. Es würde ja schon reichen wenn jemand im Netz ein lokales Konto mit dem Benutzernamen eines anderen anlegt und sich dann damit verbindet.

[HolgerX]

Hmm..

Seitens Windows wird jedem User eine SID generiert, wenn der User neu angelegt wird.
Diese SID sollte witesgehend Unic sein und für einen Domain-User oder Client-User mit gleichem Namen unterschiedlich..

https://learn.microsoft.com/de-de/wi...ty-identifiers

Zitat:

Für jedes lokale Konto und jede Gruppe ist die SID für den Computer eindeutig, auf dem sie erstellt wurde. Keine zwei Konten oder Gruppen auf dem Computer teilen jemals dieselbe SID. Ebenso ist die SID für jedes Domänenkonto und jede Gruppe innerhalb eines Unternehmens eindeutig. Dies bedeutet, dass die SID für ein Konto oder eine Gruppe, die in einer Domäne erstellt wurde, niemals der SID für ein Konto oder eine Gruppe entspricht, die in einer anderen Domäne im Unternehmen erstellt wurde.

Somit könnte die SID in deiner Applikation zum entsprechenden User hinterlegt werden und beim Start automatisch angemeldet werden..