Есть несколько вещей, которые вы можете сделать с помощью Google Apps.
Вы можете настроить сервер SAML, подключенный к вашей сети AD, а затем настроить Google для проверки подлинности вашего доступа к Службам Google на сервере SAML. Мы использовали php-приложение simpleSAMLphp, потому что у нас уже есть настройка серверов для запуска PHP и у нас есть разработчики с навыками php. Недостаток использования одного решения SAML состоит в том, что вы можете войти в систему только через учетные записи в Интернете. Это означает, что вы не можете получить доступ к своему почтовому ящику через imap / pop и не можете войти в Google Talk с помощью любого старого XMPP-клиента.
Использование SAML не приводит к автоматическому созданию учетных записей в домене Служб Google. Вам также, вероятно, понадобится инструмент для синхронизации учетных записей, для которого вы можете использовать инструмент синхронизации каталога Служб Google . Это позволит вам создавать учетные записи, но по-прежнему не будет синхронизировать пароли по умолчанию, поскольку хеши паролей Windows необратимы и Google ничего не может с ними сделать.
Можно использовать что-то вроде PasswdHk для перехвата изменений пароля в AD, а затем сохранить пароль в формате (несоленый sha1), который утилита синхронизации каталогов Google может использовать для установки паролей Служб Google. Но это добавляет небольшую угрозу безопасности, так как Google будет принимать только несоленые хеши паролей md5 или sha1 через свой API предоставления , и для синхронизации с Google вы в основном должны хранить эти хэши. Если вы хотите использовать это, очень важно обеспечить безопасность этих хэшей.
Hmmph. Вы меня все взволновали SAML, пока немного о imap / pop. Это убило бы всех людей с помощью Windows Mobile и клиентов BlackBerry, не так ли? Есть ли какие-нибудь умные альтернативы?
Если вы готовы принять риск хранения хэшей паролей, то можете объединить единый вход и синхронизацию каталогов, чтобы получить работающую систему.
В качестве альтернативы кто-то может разработать портал интрасети, где пользователи в вашем домене будут инициализировать свою учетную запись Google и устанавливать пароль для учетной записи Google. Я думал о разработке чего-то подобного, но не мог заставить своих коллег согласиться с тем, что это был путь.
Основная идея состоит в том, чтобы создать веб-приложение, которое
- Живет в вашей интрасети и аутентифицируется в вашем активном каталоге
- Имеет функцию, которая берет имя пользователя и пароль, которые пользователь использовал для входа на сайт интрасети, и получает любую другую информацию, необходимую вам из AD, а затем использует API предоставления Google для добавления / обновления учетной записи пользователя.
Создание инструмента на самом деле не должно быть слишком сложным, я подсчитал, что взломать что-то базовое - это займет всего 12-16 часов времени разработки. Преимущество этого решения заключается в том, что оно предоставляет вам 100% функциональность Google Apps, а недостатком является то, что оно несколько доставляет неудобства конечному пользователю.