Prüfen von Anmeldeversuchen

Für ein Anmelden mit der Windows-Authentifizierung an CAS genesisWorld sind 3 Möglichkeiten vorhanden:

• LDAP-Zugang,
• Hashwert oder
• ntuser - dieses Anmelden erfolgt zwar ebenfalls über Windows, benötigt aber weder eine LDAP-Zugang noch einen Hashwert.

Bei allen 3 Möglichkeiten gilt, dass ein Windows-Konto nach mehreren falschen Angaben gesperrt werden kann. Diese Sperre kann auch deshalb erfolgen, weil die verschiedenen Möglichkeiten der Authentifizierung für CAS genesisWorld geprüft werden. Eine Anmeldung wird durch CAS genesisWorld in dieser Reihenfolge geprüft:

• Ist ein LDAP-Zugang konfiguriert, wird die Anmeldung über den ersten LDAP-Server geprüft. Ist dieser LDAP-Server nicht verfügbar, wird über einen evtl. konfigurierten zweiten LDAP-Server geprüft.

Wird einer der beiden LDAP-Server erreicht und die Anmeldedaten sind falsch, wird die Anmeldung abgebrochen. Eine Meldung wird angezeigt, dass Benutzer oder Kennwort falsch sind.

• Kann kein LDAP-Server erreicht werden, so wird das Kennwort mit dem Hashwert geprüft, der in CAS genesisWorld gespeichert ist.
• Kann kein LDAP-Server erreicht werden, so wird geprüft, ob Active Directory direkt erreichbar ist. Ist dies der Fall und das Kennwort ist falsch, wird die Anmeldung mit der Meldung abgebrochen.
• Ist Active Directory nicht verfügbar, wird die Anmeldung lokal mit der API-Funktion LogOnUser von Windows geprüft.

Damit eine Anmeldung damit erfolgreich sein kann, ist das Privileg LOGON32_LOGON_NETWORK für einen Benutzer notwendig.

Wird ein Notebook offline und ohne konfigurierten LDAP-Zugang verwendet, kann beim Windows Server auf dem Notebook der Fehler Interface not supported auftreten. Das kann über den Windows Server abgefangen werden: Nach dem Versuch einer Anmeldung über LogOnUser kann dann ebenfalls ein Prüfen des Hashwerts erfolgen.