Oracle Apex 4.2.5能否继承Windows登录凭据实现AD认证单点登录？

当然可以实现！既然你已经把LDAP认证配置好了，咱们可以通过Web服务器集成认证来让APEX自动获取用户的域登录凭据，跳过手动登录步骤。下面针对APEX 4.2.5这个版本，给你具体的实现方案：

核心逻辑 #

利用Windows域的NTLM或Kerberos集成认证，先让Web服务器（不管是IIS还是Apache）完成用户的身份验证，然后把已认证的用户名传递给APEX，APEX再通过你现有的LDAP规则完成用户身份校验和权限映射，自动创建会话。

具体步骤 #

1. 配置Web服务器的域集成认证 #

这一步是基础，得让Web服务器先接管用户的域身份验证：

• 如果用IIS：
  • 找到APEX对应的站点，开启「Windows身份验证」，同时禁用「匿名身份验证」。
  • 确认身份验证提供者里包含NTLM或Kerberos（默认一般都开着）。
• 如果用Apache：
  • 安装mod_auth_ntlm_winbind模块，配置它和你的Active Directory通信，让Apache能识别域账号。
  • 在APEX的虚拟主机配置里加规则，要求访问APEX路径的用户必须通过域认证。

完成后，用户访问APEX时，浏览器会自动用当前登录的域账号完成认证，Web服务器会把用户名存在REMOTE_USER这个环境变量里。

2. 让APEX识别并使用REMOTE_USER #

接下来要配置APEX的认证方案，让它自动读取这个变量完成登录：

• 登录到APEX的工作区管理后台，找到「Authentication Schemes」（认证方案），编辑你已经配置好的LDAP方案。
• 在认证方案属性里：
  • 把「Authentication Type」改成Custom（自定义）。
  • 在「Login Processing」部分，勾选「Use Remote User」选项。
  • 注意格式匹配：如果Web服务器返回的用户名是DOMAIN\username这种格式，你可能需要调整LDAP的搜索过滤器，或者写个简单的PL/SQL函数截取纯用户名部分，确保和LDAP里的用户名格式一致。
• 另外在会话管理里，调整Session Cookie的属性，比如设置合适的Cookie域，确保在域环境下能正常生效。

3. 验证用户与权限映射 #

• 确保APEX里的用户账号和AD域用户名一致，或者你已经配置了LDAP同步用户的逻辑。
• 利用你之前配置的AD组映射，确认通过REMOTE_USER登录的用户能正确继承AD组对应的APEX角色和权限。

注意事项 #

• APEX 4.2.5确实比较老，像OAuth这类新SSO方式不支持，所以上面这种Web服务器集成的方案是最稳定可靠的。
• 如果用户用Chrome、Firefox这类非IE/Edge浏览器，得在浏览器里配置允许自动向你的APEX服务器发送NTLM/Kerberos凭据，不然可能还是会弹出登录框。
• 测试的时候可以先访问APEX的静态资源（比如某个图片），查看服务器日志里的REMOTE_USER是否正确显示域用户名，先确认Web服务器的认证没问题，再调APEX的配置。

内容的提问来源于stack exchange，提问作者Dan Garden