Сквозная аутентификация

[rebel25]

Сервер босс-а включен в домен, создан логин с доменной аутентификацией. Скажите, можно ли настроить программу так, чтобы пользователь кликнув иконку босса, должен был ввести свой виндоуз пароль ещё раз?
Это нужно для того, чтобы защитить данные босс-а в том случае, если пользователь, открывает свою виндоуз сессию и сажает за компьютер другого пользователя, который не должен видеть босс.
SQL аутентификация не подходит, я хочу использовать именно доменную, но с дополнительным запросом пароля.

[Joenka]

Ну начнем с того, что "пользователь, открывает свою виндоуз сессию и сажает за компьютер другого пользователя"
это уже нарушение безопасности!

Ограничить просто так "в лоб" не получится - ODBC то уже настроена на данное подключение, т.е. логин с паролем то уже введены!

А чем не устраивает SQL аутентификация? Тем что нужно следить за доступами не через AD а еще и SQL пользователями?

К тому же БОСС, да и Винда то почем знают свой это сел или чужой? Он при таком раскладе всегда будет требовать пароль, логин! И рано или поздно вам пользователь все выскажет!


Можно через SQL поиграться по следующей схеме:

1. Создаете SQL пользователя с тем же логином как в AD - это важно!
2. Job-ом через SQL в LDAP черпаете инфу о том у кого что с доступом на уровне домена: заблокирован или пароль протух и.т.д.
3. Создаете таблицу с инфой о том когда пользователю менять пароль.
4. Создаете объект замещения, который после входа в БОСС будет контролировать актуальность пароля и того что там с логином.

Таким образом, пользователь всегда вводит свой доменный логин/пароль, а как только пароль поменялся или протух логин, то БОСС вам предложит либо поменять пароль либо отправит к Админу за разблокировкой!

Это рабочий вариант, но правда, вот как заставить Пользователя при смене пароля не ошибиться и ввести доменный пароль?! Тут с хешами паролей нужно наверное поиграться. Но врать не буду - не пробовал!

Так что вот такой варинат могу предложить.

[Spartak]

Мона еще на терминальном сервере опубликовать клиента Босс-Кадровик (через RemoteApp) и давать доступ по rdp.
Т.е. пользователь будет кликать на rdp-ярлык, а rdp-соединение будет спрашивать пароль, правда вероятно потребуются лицензии терминального доступа...
И еще не надо будет мучиться с удалением/установкой клиентов Б-К на рабочих местах пользователей.

[rebel25]

sql аутентификация не устраивает т к мне нужно заниматься паролями и т к пароли никогда не меняются.
Спасибо за идею касательно стыковки sql логинов и AD - может быть попробую если меня поддержат доменные админы.