隨著互聯(lián)網(wǎng)時(shí)代的高速發(fā)展，越來越多的企業(yè)提高了對(duì)數(shù)據(jù)安全的重視。

為了更好地保障產(chǎn)品安全，YonghongBI V9.3中新增SSAS數(shù)據(jù)源對(duì)集成Windows身份驗(yàn)證支持。

希望您了解：

集成Windows身份驗(yàn)證是一種安全的驗(yàn)證形式，在用戶通過網(wǎng)絡(luò)發(fā)送用戶名和密碼之前，先對(duì)用戶名和密碼進(jìn)行哈希計(jì)算。當(dāng)用戶啟用集成Windows身份驗(yàn)證時(shí)，通過瀏覽器與Web服務(wù)器進(jìn)行密碼交換來證明其知曉密碼。

通過上文的簡(jiǎn)單介紹，大家是不是對(duì)集成Windows身份驗(yàn)證有一點(diǎn)點(diǎn)心動(dòng)呢？那就跟著小編一起用起來吧，通過以下簡(jiǎn)單的幾個(gè)步驟輕松完成集成Windows集成身份驗(yàn)證相關(guān)的配置吧！

前提條件：

1.你需要準(zhǔn)備一臺(tái)支持域環(huán)境的操作系統(tǒng)的PC；2.你需要下載并安裝最新版本的V9.3Yonghong BI。

當(dāng)您完成以上信息確認(rèn)和產(chǎn)品安裝后，我們才算是踏上了Windows集成身份驗(yàn)證之旅。

Windows集成身份驗(yàn)證的使用還需要你與小編一起完成以下相關(guān)信息的配置。

一、添加配置文件

1、添加spnego.properties 文件

路徑：

產(chǎn)品安裝目錄/Yonghong/

文件內(nèi)容：

spnego.preauth.password=Yong123hong#YonghongBI加入域環(huán)境的密碼（啟動(dòng)后會(huì)加密）

spnego.login.server.module=server

spnego.login.client.module=client

spnego.preauth.username=tomcat01 #YonghongBI加入域環(huán)境的用戶名（啟動(dòng)后會(huì)加密）

spnego.login.conf=E\:/ssas/login.conf #請(qǐng)使用本地路徑

spnego.krb5.conf=E\:/ssas/krb5.conf #請(qǐng)使用本地路徑

說明：

綠色部分為示例，您需要替換為實(shí)際的域賬號(hào)、域賬號(hào)密碼、文件路徑。

2、添加krb5.conf文件

路徑：

用戶自定義（可參考如上：E\:/ssas/krb5.conf）

文件內(nèi)容：

[libdefaults]

default_realm= YONGHONGDC.COM

forwardable=true

renewable=true

[realms]

YONGHONGDC.COM= {

kdc=192.168.1.212#域服務(wù)器的IP

}

[domain_realm]

.yonghongdc.com= YONGHONGDC.COM

yonghongdc.com= YONGHONGDC.COM

說明：

綠色部分為示例，您需要替換為對(duì)應(yīng)的域服務(wù)器名、域服務(wù)器IP。

3、添加 login.conf 文件

路徑：

用戶自定義（可參考如上：E\:/ssas/login.conf）

文件內(nèi)容：

client{

com.sun.security.auth.module.Krb5LoginModulerequired;

};

server{

com.sun.security.auth.module.Krb5LoginModulerequired

storeKey=true

isInitiator=false;

};

二、修改host文件

配置服務(wù)器IP與域名的對(duì)應(yīng)關(guān)系

路徑：

C:\Windows\System32\drivers\etc

添加以下信息：

192.168.1.158 SSAS-IIS#SSAS服務(wù)器

192.168.20.194 tomcat01#yonghong服務(wù)器的域名和IP映射

說明：

綠色部分為示例，您需要替換為對(duì)應(yīng)的IP地址。

三、修改web.xml文件

路徑：

/tomcat/webapps/bi/WEB-INF/web.xml

添加以下信息至第一個(gè)servlet后，所有的filter前。

<filter>

<filter-name>SpnegoHttpFilter</filter-name>

<filter-class>g5.sv.spnego.SpnegoHttpFilter</filter-class>

<init-param>

<param-name>bi.home</param-name>

<param-value>E:\Resources\develop\Yonghong\bihome</param-value>

</init-param>

</filter>

<filter-mapping> <filter-name>SpnegoHttpFilter</filter-name>

<url-pattern>*</url-pattern>

</filter-mapping>

說明：

綠色部分為示例，您需要替換為對(duì)應(yīng)的路徑。

修改后的效果如下所示：

四、在支持域的電腦上

配置Windows入域

說明：

家庭版的電腦不支持入域，您需要專業(yè)版的電腦進(jìn)行配置。

1、點(diǎn)擊桌面右下角網(wǎng)絡(luò)圖標(biāo)，打開網(wǎng)絡(luò)和共享中心。

2、點(diǎn)擊更改適配器設(shè)置后，右擊本地連接 > 屬性 ，選擇Internet協(xié)議4。

3、配置首選DNS服務(wù)器IP，如192.168.1.212。

說明：

首選DNS服務(wù)器IP需要根據(jù)您實(shí)際的域服務(wù)器配置。

4、進(jìn)入計(jì)算機(jī) > 屬性 > 高級(jí)系統(tǒng)設(shè)置。

5、在系統(tǒng)屬性頁(yè)面，點(diǎn)擊計(jì)算機(jī)名 > 更改。

6、在計(jì)算機(jī)名/域名頁(yè)面，輸入您要添加的域名。

示例：Yonghongdc.com。

7、點(diǎn)擊確定，提示加入成功。

8、重啟電腦，讓配置生效。輸入域賬號(hào)、域賬號(hào)密碼。

五、瀏覽器配置

我們一共提供了2種方式配置瀏覽器，包括手動(dòng)配置和自動(dòng)配置，供您選擇使用。為了節(jié)約您的寶貴時(shí)間，我們推薦您使用自動(dòng)配置方式完成瀏覽器相關(guān)設(shè)置。

1、自動(dòng)配置

Chrome

01、新建bat文件

文件內(nèi)容如下：

remchrome

regadd HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome /vAuthNegotiateDelegateAllowlist /d tomcat01/f

regadd HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome /vAuthServerAllowlist /d tomcat01/f

02、以管理員身份運(yùn)行.bat文件

edge

01、新建bat文件

文件內(nèi)容如下：

remedge

regadd HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge /vAuthNegotiateDelegateAllowlist /d tomcat01/f

regadd HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge /vAuthServerAllowlist /d tomcat01/f

01、以管理員身份運(yùn)行.bat文件

說明：

bat文件需要管理員身份運(yùn)行。

添加文件后需要重啟瀏覽器配置才能生效。

藍(lán)色部分為示例，您需要修改為實(shí)際的域名。

2、手動(dòng)配置

Chrome配置

打開

HKEY_LOCAL_MACHINE/SOFTWARE/Policies。

新建項(xiàng)Google。

在Google下新建項(xiàng)Chrome，打開Chrome。

在打開的Chrome頁(yè)面新建字符串值
AuthNegotiateDelegateAllowlist，修改數(shù)據(jù)為tomcat01，即允許使用 KDC 政策委派憑據(jù)。

在打開的Chrome頁(yè)面新建字符串值A(chǔ)uthServerAllowlist，修改數(shù)據(jù)為tomcat01，即身份驗(yàn)證服務(wù)器許可名單。

Edge配置

打開

HKEY_LOCAL_MACHINE/SOFTWARE/Policies/Microsoft

新建項(xiàng)Edge，打開Edge。

在打開的Edge頁(yè)面新建字符串值
AuthNegotiateDelegateAllowlist，修改數(shù)據(jù)為tomcat01，即允許使用 KDC 政策委派憑據(jù)。

在打開的Edge頁(yè)面新建字符串值 AuthServerAllowlist，修改數(shù)據(jù)為tomcat01，即身份驗(yàn)證服務(wù)器許可名單。

Firefox配置

在瀏覽器地址欄輸入 about:config，點(diǎn)擊窗口的“接受風(fēng)險(xiǎn)并繼續(xù)”。

進(jìn)入配置頁(yè)面，在搜索欄中輸入“network.negotiate-auth.*uris”。

分別將：

network.negotiate-auth.delegation-uris

network.negotiate-auth.trusted-uris的值修改為tomcat01。

IE配置

域環(huán)境下無須配置。如果計(jì)算機(jī)名包含句點(diǎn)，IE識(shí)別為Internet地址，不會(huì)自動(dòng)傳遞任何憑據(jù)。需要將地址配置到內(nèi)網(wǎng)區(qū)域中。IE瀏覽器默認(rèn)設(shè)置是在內(nèi)網(wǎng)區(qū)域自動(dòng)登錄。

至此Yonghong BI 入域配置全部完成。

驗(yàn)證Yonghong BI入域配置

在瀏覽器中輸入域名訪問產(chǎn)品，登錄頁(yè)面輸入用戶名、密碼登錄

示例：
http://tomacat01:9300/bi/Viewer

在添加數(shù)據(jù)源頁(yè)面，以Windows集成身份方式添加SSAS數(shù)據(jù)源。

通過小編“保姆式”教程講解，希望大家可以清楚地使用最新YonghongBIV9.3產(chǎn)品提供的Windows集成身份驗(yàn)證方式添加SSAA數(shù)據(jù)源。

我們每個(gè)人的一小步，就是互聯(lián)網(wǎng)數(shù)據(jù)安全的一大步，讓我們一起更好地為產(chǎn)品數(shù)據(jù)安全保駕護(hù)航吧！