Як автентифікувати користувачів у вкладених групах у Apache LDAP?

У мене працює автентифікація LDAP із наступними налаштуваннями

 AuthName            "whatever"
 AuthType            Basic
 AuthBasicProvider   ldap
 AuthLDAPUrl         "ldap://server/OU=SBSUsers,OU=Users,OU=MyBusiness,DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
 Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Це працює, однак я повинен розмістити всіх користувачів, яких я хочу автентифікувати MySpecificGroup. Але на сервері LDAP я налаштував, що MySpecificGroupтакож містить групу MyOtherGroupз іншим списком користувачів.

Але ці користувачі MyOtherGroupне мають автентифікації, я повинен вручну додати їх до всіх, MySpecificGroupі я не можу використовувати вкладене групування. Я використовую Windows SBS 2003.

Чи є спосіб налаштувати Apache LDAP для цього? Або проблема з можливою нескінченною рекурсією і, таким чином, не дозволена?

Вам потрібно налаштувати AuthLDAPSubGroupDepthцю роботу. Ціле число, яке ви надаєте тут, вказує максимальну глибину вкладення підгрупи, яка буде оцінена до припинення пошуку користувача.

Додайте це до своєї конфігурації:

AuthLDAPSubGroupDepth 1

Більше інформації: тут і тут .

Крім того AuthLDAPSubGroupDepth, що доступно лише в апаш-версії 2.4, при використанні Microsoft AD LDAP можна зробити авторизацію за допомогою вкладених груп за допомогою правила відповідності LDAP_MATCHING_RULE_IN_CHAIN. Це набагато швидше, ніж пошук підгруп на клієнті, оскільки це робиться на сервері постійного струму з меншою кількістю запитів по мережі.

Require ldap-filter memberof:1.2.840.113556.1.4.1941:=CN=Access to Apache,OU=My Organization Unit,DC=company,DC=com

Рядок 1.2.840.113556.1.4.1941- це OID, який називається LDAP_MATCHING_RULE_IN_CHAIN. Цей OID призначений корпорацією Майкрософт для використання при його реалізації LDAP (частина Active Directory). Ви не можете використовувати його з іншими серверами LDAP. Формат для відтворення людини:iso(1).member_body(2).us(840).microsoft(113556).ad(1).as_schema(4).LDAP_MATCHING_RULE_IN_CHAIN(1941)

З документації Microsoft:

Це правило обмежується фільтрами, які застосовуються до DN. Це спеціальний "розширений" оператор відповідності, який ходить по ланцюжку родовідних об'єктів аж до кореня, поки не знайде відповідність.

Дивись також:

• http://msdn.microsoft.com/en-us/library/windows/desktop/aa746475%28v=vs.85%29.aspx
• http://httpd.apache.org/docs/2.2/mod/mod_authnz_ldap.html#authorphase

Схоже, ваш єдиний варіант в Apache 2.2 - це перерахувати всі групи, які входять до вашої основної авторизованої групи.

Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Це повинно бути розумним, якщо ваші вкладені групи не надто складні.

Перетинання доменів AD (з використанням двох серверів LDAP)

Ви можете налаштувати OpenLDAP за допомогою накладки slapd_meta, що працює на вашому веб-сервері, для проксі-аутентифікації.

/etc/ldap/slapd.conf має виглядати приблизно так:

database meta
suffix   "DC=company,DC=local"
uri      "ldap://a.foo.com/OU=MyBusiness,DC=company,DC=local"
uri      "ldap://b.foo.com/OU=otherdomainsuffix,DC=company,DC=local"

Тоді ваша строфа mod_authnz_ldap виглядала б приблизно так:

AuthName            "whatever"
AuthType            Basic
AuthBasicProvider   ldap
AuthLDAPUrl         "ldapi:///DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=otherdomainsuffix,DC=company,DC=local

Для цього знадобиться деякий масаж, щоб змусити його працювати, але я думаю, що це загальна ідея.

Хоча рішення, яке надав @Mircea_Vutcovici, працювало на мене, моя єдина критика полягає в тому, що люди можуть захрипнутись, побачивши, як вони використовують побитові оператори.

Наприклад, я передам установку Apache Bloodhound, яка використовує Apache HTTPd в якості переднього кінця з групою автентифікаторів AD, групі колег-розробників. У них виникнуть проблеми, що стикаються з побітними операторами. Адміністратори, звичайно, не будуть такими кричущими ...

При цьому, у мене є рішення, яке не використовує побітовий оператор і не використовує декілька визначень ldap-групи.

Наступна конфігурація працює для мене:

<Location /protected>
    # Using this to bind
    AuthLDAPURL "ldap://<MY_SERVER>:3268/<MY_SEARCH_BASE>?sAMAccountName?sub?(objectClass=user)"
    AuthLDAPBindDN "<MY_BIND_DN>"
    AuthLDAPBindPassword "<MY_PASSWORD>"
    LDAPReferrals Off

    AuthType Basic
    AuthName "USE YOUR AD ACCOUNT"
    AuthBasicProvider ldap
    Require ldap-group <MY_PARENT_GROUP>
    AuthLDAPMaxSubGroupDepth 1
    AuthLDAPSubgroupAttribute member
    AuthLDAPSubGroupClass group
    AuthLDAPGroupAttribute member
    AuthLDAPGroupAttributeIsDN on
</Location>

Критичною частиною була наступна конфігурація:

AuthLDAPSubGroupClass group

AuthLDAPMaxSubGroupDepth не працює сам по собі, ні в поєднанні з AuthLDAPSubgroupAttribute. Лише коли я використав AuthLDAPSubGroupClass, аутентифікація проти підгруп почала працювати ... принаймні для мене та моєї ситуації.