1. nazwa domeny
2. adres kontrolera domeny (np. za pomocą polecenia echo %logonserver%)
3. nazwa i hasło konta służącego do komunikacji z kontrolerem domeny 
4. adres serwera, który posłuży do przetestowania rozwiązania
5. konto testowe będące w domenie

Upewnij się, że na kontrolerze domeny zostały odpowiednio skonfigurowane SPN (Service Principal Name) dla konta służącego do komunikacji z kontrolerem domeny

Dodaj konto testowe będące w domenie do systemu PlusWorkflow 

1. login: <domena>/<użytkownik>
2. hasło pozostaw puste

W parametrach systemu włącz autologowanie oraz ustaw konto do łączenia się z kontrolerem domeny(konto_ldap)

Zmodyfikuj plik WEB-INF/krb5.conf

[libdefaults]
	default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts rc4-hmac des3-cbc-sha1 des-cbc-md5 des-cbc-crc
	default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts rc4-hmac des3-cbc-sha1 des-cbc-md5 des-cbc-crc
	permitted_enctypes   = aes256-cts-hmac-sha1-96 aes128-cts rc4-hmac des3-cbc-sha1 des-cbc-md5 des-cbc-crc 
	default_realm = suncode.com
[realms]
	suncode.com  = {
		kdc = KDC.suncode.com
		default_domain = suncode.com 
}
[domain_realm]
	.suncode.com = suncode.com
	suncode.com = suncode.com	

gdzie:

kdc = FQDN dla Key Distribution Center (najprawdopodobniej kontroler domeny)
default_tkt_enctypes orad default_tgs_enctypes = dostępne algorytmy szyfrowania ticketów

1. Mozilla Firefox
   1. wpisz w pasku adresu about:config
   2. wyszukaj konfigurację network.negotiate-auth.trusted-uris
   3. jako wartość parametru ustaw ścieżkę do serwera(bez portu) na którym jest uruchomiony system PlusWorkflow np. http://plusworkflow_test
2. Internet Explorer
   1. dodaj URL systemu do witryn zaufanych w Opcje Internetowe -> zakładka Zabezpieczenia -> Zaufane Witryny
      
   2. zaznacz opcję Włącz zintegrowane uwierzytelnianie systemu Windows w Opcje Internetowe -> zakładka Zaawansowane -> Zabezpieczenia
   3. poniżej Zaufane witryny kliknąć na Poziom niestandardowy i w sekcji Uwierzytelnianie użytkownika zaznaczyć Zaloguj automatycznie z bieżącą nazwą użytkownika i bieżącym hasłem

1. zaloguj się do komputera w domenie przy użyciu konta, które wcześniej dodałeś do systemu PlusWorkflow
2. usuń z systemu wszystkie tickety za pomocą komendy klist purge
3. zaloguj się automatycznie do systemu wpisując w pasku przeglądarki adres systemu (loguj się po nazwie serwera, nie adresie). 

Zweryfikować czy na serwerze AD prawidłowo zostało wykonane polecenie setspn, wykonując (zazwyczaj musi zrobić to klient gdyż my nie mamy dostępu do tego serwera) skrypt w powershellu:

$serviceType="HTTP"

$spns = @{}

$filter = "(servicePrincipalName=$serviceType/*)"
$domain = New-Object System.DirectoryServices.DirectoryEntry
$searcher = New-Object System.DirectoryServices.DirectorySearcher
$searcher.SearchRoot = $domain
$searcher.PageSize = 1000
$searcher.Filter = $filter
$results = $searcher.FindAll()


foreach ($result in $results){
 $account = $result.GetDirectoryEntry()
 foreach ($spn in $account.servicePrincipalName.Value){
  if($spn.contains("$serviceType/")){
   $spns[$("$spn`t$($account.samAccountName)")]=1;
  }
 }
}
$spns.keys | sort-object

Wynik działania tego skryptu klient powinien podesłać nam. Należy wówczas sprawdzić czy na liście wpisów spn jest serwer PlusWorkflow ze wskazaną nazwą użytkownika.

Get the required information:

1. domain name
2. the address of the domain controller (e.g. using the echo %logonserver% command)

3. the name and password of the account used to communicate with the domain controller

4. the address of the server that will be used to test the solution
5. the test account that is in the domain

Make sure that the SPN (Service Principal Name) for the account used to communicate with the domain controller has been properly configured on the domain controller

Add a test account that is in your domain to the PlusWorkflow system

1. login: <domain>/<user>
2. leave the password blank

In the system parameters, enable auto login and set the account to connect to the domain controller

Modify the WEB-INF/krb5.conf file

[libdefaults]
	default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts rc4-hmac des3-cbc-sha1 des-cbc-md5 des-cbc-crc
	default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts rc4-hmac des3-cbc-sha1 des-cbc-md5 des-cbc-crc
	permitted_enctypes   = aes256-cts-hmac-sha1-96 aes128-cts rc4-hmac des3-cbc-sha1 des-cbc-md5 des-cbc-crc 
	default_realm = suncode.com
[realms]
	suncode.com  = {
		kdc = KDC.suncode.com
		default_domain = suncode.com 
}
[domain_realm]
	.suncode.com = suncode.com
	suncode.com = suncode.com	

where:

kdc = FQDN for Key Distribution Center (most likely domain controller)
default_tkt_enctypes orad default_tgs_enctypes = available ticket encryption algorithms

1. Mozilla Firefox
   1. type about:config in the address bar
   2. search for network.negotiate-auth.trusted-uris configuration
   3.  set as parameter value the path to the server on which PlusWorkflow is running, e.g. http://plusworkflow_test
2. Internet Explorer
   1. add the system URL to trusted sites in Internet Options -> Security tab -> Trusted Sites
   2. check the Enable Windows Integrated Authentication option in Internet Options -> Advanced tab -> Security
   3. below Trusted Sites, click Custom Level and in the User Authentication section, check Log in automatically with the current username and current password

1. log in to the computer in the domain using the account you previously added to the PlusWorkflow system
2. delete all tickets from the system using the klist purge command
3. log in to the system automatically by typing the system address in the browser bar (log in by server name, not address)

Verify that the setspn command has been executed correctly on the AD server by executing (usually this must be done by the client since we do not have access to that server) a script in powershell:

$serviceType="HTTP"

$spns = @{}

$filter = "(servicePrincipalName=$serviceType/*)"
$domain = New-Object System.DirectoryServices.DirectoryEntry
$searcher = New-Object System.DirectoryServices.DirectorySearcher
$searcher.SearchRoot = $domain
$searcher.PageSize = 1000
$searcher.Filter = $filter
$results = $searcher.FindAll()


foreach ($result in $results){
 $account = $result.GetDirectoryEntry()
 foreach ($spn in $account.servicePrincipalName.Value){
  if($spn.contains("$serviceType/")){
   $spns[$("$spn`t$($account.samAccountName)")]=1;
  }
 }
}
$spns.keys | sort-object

The result of this script should be sent to us by the client. You should then check if there is a PlusWorkflow server with the indicated username in the list of spn records.