Apache LDAP'de iç içe geçmiş gruplartaki kullanıcılar nasıl doğrulanır?

Aşağıdaki kurulumla LDAP kimlik doğrulaması kullanıyorum

 AuthName            "whatever"
 AuthType            Basic
 AuthBasicProvider   ldap
 AuthLDAPUrl         "ldap://server/OU=SBSUsers,OU=Users,OU=MyBusiness,DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
 Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Bu işe yarar, ancak kimlik doğrulamak istediğim tüm kullanıcıları girdim MySpecificGroup. Ancak LDAP sunucusunda , başka bir kullanıcı listesine sahip MySpecificGroupgrubu da içerecek şekilde yapılandırdım MyOtherGroup.

Ancak bu kullanıcıların MyOtherGroupkimliği doğrulanmadı, hepsini manuel olarak ekledim MySpecificGroupve temelde iç içe gruplandırmayı kullanamıyorum. Windows SBS 2003 kullanıyorum.

Bunu yapmak için Apache LDAP'yi yapılandırmanın bir yolu var mı? Yoksa olası sonsuz özyinelemeyle ilgili bir sorun mu var ve bu nedenle buna izin verilmiyor mu?

AuthLDAPSubGroupDepthBu işe yaraması için ayarlamanız gerekir . Burada sağladığınız tam sayı, kullanıcı arama kesilmeden önce değerlendirilecek olan maksimum alt grup yuvalama derinliğini belirtir.

Bunu configinize ekleyin:

AuthLDAPSubGroupDepth 1

Daha fazla bilgi: burada ve burada .

Ayrıca AuthLDAPSubGroupDepth, bu yalnızca Apache 2.4'te mevcuttur, Microsoft AD LDAP kullanırken, iç içe geçmiş grupları kullanarak LDAP_MATCHING_RULE_IN_CHAIN ​​eşleştirme kuralını kullanarak yetkilendirme yapmak mümkündür. Bu, istemcide alt grupları aramaktan çok daha hızlıdır, çünkü DC sunucusunda ağ üzerinden daha az sorgu ile yapılır.

Require ldap-filter memberof:1.2.840.113556.1.4.1941:=CN=Access to Apache,OU=My Organization Unit,DC=company,DC=com

Dize adı verilen 1.2.840.113556.1.4.1941bir OID'dirLDAP_MATCHING_RULE_IN_CHAIN . Bu OID, LDAP uygulaması (Active Directory'nin bir parçası) ile birlikte kullanılmak üzere Microsoft tarafından atanmıştır. Diğer LDAP sunucuları ile kullanamazsınız. İnsan tarafından değiştirilebilir format:iso(1).member_body(2).us(840).microsoft(113556).ad(1).as_schema(4).LDAP_MATCHING_RULE_IN_CHAIN(1941)

Microsoft belgelerinden:

Bu kural DN için geçerli olan filtrelerle sınırlıdır. Bu, nesnelerdeki soy zincirini bir eşleşme bulana kadar kökten dolaştıran özel bir "genişletilmiş" eşleme işlecidir.

Ayrıca bakınız:

• http://msdn.microsoft.com/en-us/library/windows/desktop/aa746475%28v=vs.85%29.aspx
• http://httpd.apache.org/docs/2.2/mod/mod_authnz_ldap.html#authorphase

Apache 2.2'deki tek seçeneğiniz, ana yetkili grubunuzun içerdiği her grubu listelemektir.

Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Bu, iç içe geçmiş gruplarınız çok karmaşık değilse makul olmalıdır.

AD Etki Alanlarını Geçme (iki LDAP sunucusu kullanarak)

Kimlik doğrulama işleminizi proxy yapmak için web sunucunuzda çalışan slapd_meta kaplamasıyla OpenLDAP ayarlayabilirsiniz .

/etc/ldap/slapd.conf şöyle bir şeye benzemelidir:

database meta
suffix   "DC=company,DC=local"
uri      "ldap://a.foo.com/OU=MyBusiness,DC=company,DC=local"
uri      "ldap://b.foo.com/OU=otherdomainsuffix,DC=company,DC=local"

O zaman, mod_authnz_ldap stanza'nız şöyle gözükecektir:

AuthName            "whatever"
AuthType            Basic
AuthBasicProvider   ldap
AuthLDAPUrl         "ldapi:///DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=otherdomainsuffix,DC=company,DC=local

Bu işe yaraması için biraz masaj gerektirecek, ama bence bu genel bir fikir.

@Mircea_Vutcovici tarafından sağlanan çözüm benim için çalışırken, benim tek eleştirim, insanların kullanımda bitsel operatörleri gördüklerinde geveze olmalarıdır.

Örneğin, AD grup auth ile ön uç olarak Apache HTTPd kullanan bir Apache Bloodhound kurulumunu bir grup geliştiriciye teslim edeceğim. Bitsel operatörlerle uğraşmak için sorunları olacak. Yöneticiler elbette gevrek olmayacak ... Umarım.

Söylendiği gibi, bitsel operatörü kullanmayan ve çoklu ldap grubu tanımları kullanmayan bir çözümüm var.

Aşağıdaki yapılandırma benim için çalışıyor:

<Location /protected>
    # Using this to bind
    AuthLDAPURL "ldap://<MY_SERVER>:3268/<MY_SEARCH_BASE>?sAMAccountName?sub?(objectClass=user)"
    AuthLDAPBindDN "<MY_BIND_DN>"
    AuthLDAPBindPassword "<MY_PASSWORD>"
    LDAPReferrals Off

    AuthType Basic
    AuthName "USE YOUR AD ACCOUNT"
    AuthBasicProvider ldap
    Require ldap-group <MY_PARENT_GROUP>
    AuthLDAPMaxSubGroupDepth 1
    AuthLDAPSubgroupAttribute member
    AuthLDAPSubGroupClass group
    AuthLDAPGroupAttribute member
    AuthLDAPGroupAttributeIsDN on
</Location>

Kritik kısım şu yapılandırmaydı:

AuthLDAPSubGroupClass group

AuthLDAPMaxSubGroupDepth tek başına ya da AuthLDAPSubgroupAttribute ile eşleştiğinde çalışmaz. Sadece AuthLDAPSubGroupClass kullandığımda, alt gruplara karşı kimlik doğrulama çalışmaya başladı ... en azından benim ve durumum için.