SSO - Anpassungen für Benutzer mit zu vielen AD-Gruppen

Wenn Benutzer in der Active Directory (AD) sehr vielen Gruppen zugeordnet sind und sich dann in einem WebOffice-Projekt anmelden möchten, kann dabei folgendes Problem auftreten:

... the request entity is too large ...

Für dieses Problem empfiehlt VertiGIS folgende System-Einstellungen:

Registry

Erhöhen Sie die MaxTokenSize auf 32 kb unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters

- MaxTokenSize = 32000

http://support.microsoft.com/kb/938118/de

MaxTokenSize

Fügen Sie folgende Einträge (DWORD) unter HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters hinzu:

- MaxFieldLength = 65534

- MaxRequestBytes = 65534

http://support.microsoft.com/kb/820129/de

MaxFieldLength und MaxRequestBytes

Tomcat

- Fügen Sie in den workers.properties.minimal (C:\Tomcat\conf) den Parameter max_packet_size=65536 hinzu und passen Sie die Datei wie im folgenden ersichtlich an:

# workers.properties.minimal -

#

# This file provides minimal jk configuration properties needed to

# connect to Tomcat.

#

# The workers that jk should create and work with.

#

worker.list=worker1

#

# Defining a worker named worker1 and of type ajp13.

# Note that the name and the type do not have to match.

#

worker.worker1.type=ajp13

worker.worker1.host=localhost

worker.worker1.port=8009

worker.worker1.max_packet_size=65536

http://tomcat.apache.org/connectors-doc/reference/workers.html

- Editieren der packetSize in server.xml

- Konfigurieren Sie beim AJP Connector (port=8009) die packetSize="65536"

- Konfigurieren Sie beim HTTP Connector (port=8080) die maxHttpHeaderSize="65536"

https://tomcat.apache.org/tomcat-9.0-doc/config/index.html

packetSize und maxHttpHeaderSize

Hinweis: Nach dem Speichern der Änderungen müssen IIS (Microsoft Internet Information Services) und Apache Tomcat neu gestartet werden.

Hinweis: Falls die Änderungen nicht die gewünschte Wirkung zeigen, muss mit gezieltem Logging die Sache weiter analysiert werden. Verwenden Sie dazu das Apache Connector Logging unter C:\Tomcat\bin\win\isapi_redirect.properties (log_level=trace). Suchen Sie danach in der Log-Datei (C:\Tomcat\logs\isapi_redirect.log) nach Einträgen von mod_jk one.