Kerberos SSO- Login popup in Ticket Ansicht (IE)

[lodemo]

Hallo,

wir haben momentan ein Problem mit unserer OTRS Installation in Verbindung mit SingleSignOn und LDAP Auth.

Das Login und die authentifizierung an sich funktioniert einwandfrei, nach dem Login kann man normal auf dem System arbeiten.
Es folgt jedoch jedesmal wenn man ein Ticket/Artikel öffnet das Windows Login Fenster und darauf folgend nocheinmal die Kerberos Authentifizierung.
(Taucht nur in der Ticketansicht auf)
Nach zweimaliger eingabe des Logins funktioniert die Ticketansicht normal bis zum schließen des Browsers.

Es ist uns bisher nicht aufgefallen da es offentsichtlich nur bei Windows XP in Verbindung mit Internet Exporer 8 auftritt. (Windows 7 funktioniert ohne Meldung)
Fehler in den Apache Logs sind nicht unbedingt hilfreich,

Code: Select all

gss_accept_sec_context() failed: No credentials were supplied, or the credentials were unavailable or inaccessible (, Unknown error),

(vermutlich wenn keine Logindaten in Maske eingegeben wurden)
und mehrmals

Code: Select all

 -e: Use of uninitialized value $1 in substitution iterator at /opt/otrs//Kernel/System/Auth/HTTPBasicAuth.pm line 96.

Zeile 96 enthält den RegEx String der SSO Loginame (@DOMAIN.LOCAL)

Ich vermute hier ein Problem am Internet Explorer 8, da die Logindaten sobald manuell eingetragen funktionieren (außerdem funktioniert es unter Windows 7/IE9 und unter Firefox)
Server Adresse wurde schon als Intranet Seite hinzugefügt, Windows Anmeldung aktiviert.

Oder ist es möglich dass die Apache Location in otrs.conf nicht für die Artikel gilt?
eingetragen ist dort <Location /otrs> (Alias /opt/otrs/bin/cgi-bin/)
Dann würde ich jedoch nicht verstehen wieso es nach manueller eingabe funktioniert.

OTRS Version 3.1.10, Apache 2.2.22 Ubuntu 12.04.1

Edit:
Nach absprache hat es offentsichtlich schon einmal in Verbindung mit XP funktioniert, jedoch auf einer anderen OTRS Version, könnte ein Update hier etwas geändert haben?

Edit2:
Nach mehreren Tests auf einem Testsystem tritt dieser Fehler bei Version 3.1.9 und 3.1.10 auf, ab 3.1.8 nicht mehr.
Wurde jeweils die selbe Konfiguration benutzt, gibt es hier möglicherweise etwas neues zu beachten?

[smehlig]

Hallo,

ich habe das gleich Problem und kann dir zumindest sagen woran es liegt. Diese zusätzliche Authentifizierung wird durch die Änderung der Zeile 637 (OTRS 3.1.11) in AgentTicketZoom.dtl hervorgerufen. Macht man die Änderung von 3.1.8 zu 3.1.11 an dieser Stelle rückgängig, so ist keine weitere Authentifizierung nötig. Äquivalent kann dieses Problem auch in der CustomerTicketZoom.dtl behoben werden. Man beachte aber, das diese Änderung seitens OTRS aus Sicherheitsgründen vorgenommen wurden.

VG

Stefan

[elbarto]

Hallo,

gibt es diesbezüglich schon Neuigkeiten?

Wir verwenden OTRS v. 3.2.6 mit ITSM und FAQ und haben dasselbe Problem.
In der Ticketansicht erscheint eine zusätzliche Abfrage des Benutzernamen und Passworts obwohl die Authentifizierung per Kerberos abgewickelt werden sollte.
Zwar nicht immer aber meißtens.


Vielen Dank!

Lg

[dimont83]

Wir hatten das gleiche Problem mit der CustomerTicketZoom.dtl
Als Workaround habe ich die Zeile 138 wie folgt modifiziert:

Original:
<iframe sandbox="allow-same-origin" security="restricted" src="about:blank" frameborder="0" title="$Env{"Baselink"}Action=CustomerTicketAttachment;Subaction=HTMLView;ArticleID=$QData{"ArticleID"};FileID=$QData{"AttachmentIDOfHTMLBody"};$QData{"SessionInformation"};$QEnv{"SessionName"}=$QEnv{"SessionID"}"></iframe>

Modifiziert:
<iframe sandbox="allow-same-origin" title="about:blank" frameborder="0" src="$Env{"Baselink"}Action=CustomerTicketAttachment;Subaction=HTMLView;ArticleID=$QData{"ArticleID"};FileID=$QData{"AttachmentIDOfHTMLBody"};$QData{"SessionInformation"};$QEnv{"SessionName"}=$QEnv{"SessionID"}"></iframe>

In Zeile Zeile 134 muss evtl. auch das security="restricted" entfernt werden.