RDP SSO

https://github.com/rdesktop/rdesktop/issues/71

в гугл я тоже умею, но это не то, у меня нет проблем с коннектом, а они там борются как раз с тем, что их рефузит. Я же не хочу напрягать юзера вбивание пароля в rdp сессии и не хочу прописывать его пароль явно в строке запуска rdesktop

https://social.msdn.microsoft.com/Forums/en-US/da074f0f-0887-4151-88ea-19a671...

Мне не нужен посредник для поиска в гугле, спасибо. Те я все это уже читал. Мне интересно мнение людей, которые решили эту задачу.

Большинству нужен.
Энивэй, последние 3 поста как бы отвечают на твой вопрос, но хозяин барин...

они отвечают , что это сделать нельзя. потому , что rdp нужен пароль в явном виде и по другому оно не умеет. На уровне винда-винда это решено доставанием пароля из локального стореджа и пропихиванием его в сессию, на сколько я понял.

я подумал, что можно сделать локальное шифрованное паролехранилище, которое по керберос тикету будет отдавать плейн пароль и его можно будет запихать в скрипт коннекта. Но все эта конструкция накроется, когда/если юзер сменит свой пароль в ldap.

они отвечают , что это сделать нельзя. потому , что rdp нужен пароль в явном виде и по другому оно не умеет.

Так точно.

я подумал

И придумал какой-то ацкий оверкил для проблемы одной строчки. В первой сцылке сказано, что оно конектится, но потом все равно спрашивает пароль - ну вот пусть юзер его и вводит. SSO по-индусски, не первый и не последний раз...

они отвечают , что это сделать нельзя. потому , что rdp нужен пароль в явном виде и по другому оно не умеет. На уровне винда-винда это решено доставанием пароля из локального стореджа и пропихиванием его в сессию, на сколько я понял.

Я тоже к такому же выводу пришёл, что rdp не умеет в kerberos, от слова совсем...

я подумал, что можно сделать локальное шифрованное паролехранилище,
которое по керберос тикету будет отдавать плейн пароль и его можно будет
запихать в скрипт коннекта. Но все эта конструкция накроется, когда/если юзер
сменит свой пароль в ldap.

Так если пользователь входит в комп с этим паролем, то пусть пароль в хранилище обновляется при каждом локальном логоне. Я выцеплял пароль с помощью pam_script, но давно это было.

И придумал какой-то ацкий оверкил для проблемы одной строчки.

Это не адский оверкилл, это костыль к проприетарной херне. Если этот костыль красиво оформить и сделать возможным использовать при любой конфиге, то получится неплохое решение.

Мне вот не нравится, что у меня везде сквозная авторизация,кроме сраной rdp.