Rails 6 Devise应用集成Active Directory自动认证相关问题咨询

核心实现建议 #

你需要的单点免密登录属于典型的Kerberos认证场景，搭配Devise可按以下方案落地，完全适配Rails 6.0.2 + Ruby 2.6.6的技术栈：

• 优先选择devise_kerberos_authenticatable gem扩展Devise的认证逻辑，选v1.1.0及以上版本即可兼容Rails 6，无需大幅改造现有Devise登录流程
• 客户端浏览器需提前配置信任你的应用站点，允许自动发送Kerberos票据：IE/Edge直接将站点加入本地Intranet安全域即可，Chrome/Firefox需配置认证服务器白名单
• 完整认证流程：用户点击「使用AD认证」链接 → 后端返回401 Negotiate响应 → 浏览器自动携带当前系统登录用户的Kerberos票据发起请求 → 后端验证票据有效性 → 匹配到本地Devise用户后直接完成登录
• 如果后续有多系统统一SSO的需求，也可以选择SAML协议对接AD FS，配置灵活度更高但整体复杂度也会上升，纯单应用免密登录场景不用选这个方案

基础问题解答 #

1. Linux部署的Rails服务器是否需要加入AD域？ #

需要。要完成Kerberos票据的本地有效性校验，必须让应用服务器和AD域处于同一信任体系下，因此必须将Rails部署的Linux服务器加入AD域。

2. Linux服务器加入AD域需要完成哪些配置操作？ #

以Debian/Ubuntu系发行版为例，核心操作步骤如下：

• 安装依赖包：apt install realmd sssd krb5-user krb5-config samba-common-bin adcli
• 探测AD域连通性：realm discover [你的AD域名]，确认返回的域信息正常
• 执行加入域操作：realm join [你的AD域名] -U [AD域管理员账号]，按提示输入管理员密码即可
• 修改SSSD配置文件/etc/sssd/sssd.conf，开启pam认证、设置默认域后缀等参数
• 重启SSSD服务生效：systemctl restart sssd，执行id [测试用AD域用户名]验证是否能正常拉取域用户信息

3. 上述配置是否属于服务器层面的配置？ #

是的，所有加入AD域的操作都属于操作系统层面的基础配置，和Rails应用本身无关，配置完成后所有部署在该服务器上的服务都可以直接调用域认证能力。

内容的提问来源于stack exchange，提问作者Avi