azure - 通过 Azure Active Directory 进行 FreeRADIUS 身份验证

Question

我刚刚配置了 FreeRadius，但我想对 Azure AD 中的用户进行身份验证。我知道可以将 FreeRADIUS 与 Active Directory 链接，但我找不到有关 Azure AD 的任何信息。
有谁知道是否可能？一个可能的解决方案是创建一个与 Azure AD 本地同步的 AD，但我想直接这样做。

Answer 1

我做起来有点困难。约翰·罗伯特·门多萨(John Robert Mendoza)是正确的，但也有一些问题。这是我的步骤:

1. 将 AADDS 和 LDAP 添加到 AAD https://learn.microsoft.com/en-us/azure/active-directory-domain-services/active-directory-ds-admin-guide-configure-secure-ldap 。 (保护端口，因为您现在对暴力攻击开放。)
2. 创建一个 Linux 虚拟机(我使用 Ubuntu)以在与 AADDS 相同的 vnet 中托管 Freeradius
3. 使用 ldap 安装 freeradius 3.x
   sudo apt install freeradius
   sudo apt install freeradius-ldap
4. 配置 freeradius(我将仅概述 ldap 到 AAD 配置)
   我。编辑/etc/freeradius/3.0/mods-available/ldap

这些是我更改的值

    ldap {
        server = 'yourAADDSdomain.onmicrosoft.com'
        #the identity user should be a member of you AADDS admin group
        identity = '<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="7e0b0d1b0c3e07110b0c3f3f3a3a2d1a11131f171050111013171d0c110d11180a501d1113" rel="noreferrer noopener nofollow">[email protected]</a>' 
        password = 'yourpassword'
        basedn = 'OU=AADDC Users,dc=yourAADDSdomain,dc=onmicrosoft,dc=com'
        user {
           filter = “(userPrincipalName=%{%{Stripped-User-Name}:-%{User-Name}})”
        }
    }

ii.编辑/etc/freeradius/3.0/sites-available/default

server default {
    listen {
        type = auth
        ipaddr = *
        port = 0
        limit {
              max_connections = 16
              lifetime = 0
              idle_timeout = 30
        }
    }
    listen {
        ipaddr = *
        port = 0
        type = acct
        limit {
        }
    }
    authorize {
         if (!control:Auth-Type) {
              ldap
              if (ok && User-Password) {
                      update {
                      control:Auth-Type := LDAP
                      }
              }
        }
        expiration
        logintime
    }
    authenticate {
        Auth-Type LDAP {
               ldap
        }
    }
    preacct {
        preprocess
        acct_unique
    }
    accounting {
        detail
        unix
        radutmp
        exec
        attr_filter.accounting_response
    }
    session {
        radutmp
    }
    post-auth {
        exec
        Post-Auth-Type REJECT {
                attr_filter.access_reject
        }
    } 
    pre-proxy {
    }
    post-proxy {
        eap
    }
}

其他一些要点:
使用 radtest 来测试一下
使用 Windows 计算机中的 ldp.exe 连接到您的 ldap 以检查它返回的内容

链接:
https://learn.microsoft.com/en-us/azure/active-directory-domain-services/active-directory-ds-admin-guide-configure-secure-ldap
https://wiki.freeradius.org/guide/Getting-Started
https://medium.com/@georgijsr/freeradius-2-1-12-ubuntu-14-04-server-with-ldap-authentication-and-ldap-fail-over-6611624ff2c9
Freeradius + Openldap ERROR: No authenticate method (Auth-Type) found for the request: Rejecting the user
http://freeradius.1045715.n5.nabble.com/guide-on-configuring-freeradius-3-LDAP-td5748776.html