Làm cách nào để xác thực người dùng trong các nhóm lồng nhau trong LDAP Apache?

Tôi đã làm việc xác thực LDAP với thiết lập sau

 AuthName            "whatever"
 AuthType            Basic
 AuthBasicProvider   ldap
 AuthLDAPUrl         "ldap://server/OU=SBSUsers,OU=Users,OU=MyBusiness,DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
 Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Điều này hoạt động, tuy nhiên tôi đã đưa tất cả người dùng mà tôi muốn xác thực vào MySpecificGroup. Nhưng trên máy chủ LDAP tôi đã cấu hình MySpecificGroupcũng chứa nhóm MyOtherGroupvới một danh sách người dùng khác.

Nhưng những người dùng MyOtherGroupđó không được xác thực, tôi đã tự thêm tất cả họ vào MySpecificGroupvà về cơ bản không thể sử dụng nhóm lồng nhau. Tôi đang sử dụng Windows SBS 2003.

Có cách nào để cấu hình LDAP Apache để làm việc này không? Hoặc có một vấn đề với đệ quy vô hạn có thể và do đó không được phép?

Bạn cần phải thiết lập AuthLDAPSubGroupDepthđể làm cho công việc này. Số nguyên bạn cung cấp ở đây chỉ định độ sâu lồng nhóm tối đa sẽ được đánh giá trước khi ngừng tìm kiếm người dùng.

Thêm phần này vào cấu hình của bạn:

AuthLDAPSubGroupDepth 1

Thông tin thêm: ở đây và ở đây .

Ngoài ra AuthLDAPSubGroupDepth, điều đó chỉ khả dụng trong apache 2.4, có thể, khi sử dụng Microsoft AD LDAP, để thực hiện ủy quyền bằng cách sử dụng các nhóm lồng nhau bằng cách sử dụng quy tắc khớp LDAP_MATCHING_RULE_IN_CHAIN. Điều này nhanh hơn nhiều so với tìm kiếm các nhóm con trên máy khách, bởi vì nó được thực hiện trên máy chủ DC với ít truy vấn hơn qua mạng.

Require ldap-filter memberof:1.2.840.113556.1.4.1941:=CN=Access to Apache,OU=My Organization Unit,DC=company,DC=com

Chuỗi 1.2.840.113556.1.4.1941là một OID được gọi LDAP_MATCHING_RULE_IN_CHAIN. OID này được Microsoft chỉ định sẽ được sử dụng để triển khai LDAP (một phần của Active Directory). Bạn không thể sử dụng nó với các máy chủ LDAP khác. Định dạng có thể thay đổi của con người là:iso(1).member_body(2).us(840).microsoft(113556).ad(1).as_schema(4).LDAP_MATCHING_RULE_IN_CHAIN(1941)

Từ tài liệu của Microsoft:

Quy tắc này được giới hạn cho các bộ lọc áp dụng cho DN. Đây là một toán tử so khớp "mở rộng" đặc biệt, đi theo chuỗi tổ tiên trong các vật thể đến tận gốc cho đến khi tìm thấy khớp.

Xem thêm:

• http://msdn.microsoft.com/en-us/l Library / windows / desktop / aa746475% 28v = vs85% 29.aspx
• http://httpd.apache.org/docs/2.2/mod/mod_authnz_ldap.html# Authorphase

Có vẻ như tùy chọn duy nhất của bạn trong Apache 2.2 là liệt kê mọi nhóm được bao gồm bởi nhóm được ủy quyền chính của bạn.

Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Điều này sẽ hợp lý nếu các nhóm lồng nhau của bạn không quá phức tạp.

Băng qua miền AD (sử dụng hai máy chủ LDAP)

Bạn có thể thiết lập OpenLDAP với lớp phủ slapd_meta đang chạy trên máy chủ web của bạn để ủy quyền xác thực của bạn.

/etc/ldap/slapd.conf sẽ trông giống như:

database meta
suffix   "DC=company,DC=local"
uri      "ldap://a.foo.com/OU=MyBusiness,DC=company,DC=local"
uri      "ldap://b.foo.com/OU=otherdomainsuffix,DC=company,DC=local"

Sau đó, mod_authnz_ldap stanza của bạn sẽ trông giống như:

AuthName            "whatever"
AuthType            Basic
AuthBasicProvider   ldap
AuthLDAPUrl         "ldapi:///DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=otherdomainsuffix,DC=company,DC=local

Điều này sẽ yêu cầu một số xoa bóp để làm cho nó hoạt động, nhưng tôi nghĩ đây là ý tưởng chung.

Mặc dù giải pháp được cung cấp bởi @Mircea_Vutcovici có hiệu quả với tôi, nhưng lời chỉ trích duy nhất của tôi là mọi người có thể bị lúng túng khi thấy các nhà khai thác bitwise đang sử dụng.

Chẳng hạn, tôi sẽ bàn giao bản cài đặt Apache Bloodhound, sử dụng Apache HTTPd làm mặt trước với auth nhóm AD, cho một nhóm các nhà phát triển đồng nghiệp. Họ sẽ gặp vấn đề với các nhà khai thác bitwise. Tất nhiên, quản trị viên sẽ không bị lúng túng ... Tôi hy vọng.

Điều đó đang được nói, tôi có một giải pháp không sử dụng toán tử bitwise và không sử dụng nhiều định nghĩa nhóm ldap.

Cấu hình sau đây hoạt động với tôi:

<Location /protected>
    # Using this to bind
    AuthLDAPURL "ldap://<MY_SERVER>:3268/<MY_SEARCH_BASE>?sAMAccountName?sub?(objectClass=user)"
    AuthLDAPBindDN "<MY_BIND_DN>"
    AuthLDAPBindPassword "<MY_PASSWORD>"
    LDAPReferrals Off

    AuthType Basic
    AuthName "USE YOUR AD ACCOUNT"
    AuthBasicProvider ldap
    Require ldap-group <MY_PARENT_GROUP>
    AuthLDAPMaxSubGroupDepth 1
    AuthLDAPSubgroupAttribute member
    AuthLDAPSubGroupClass group
    AuthLDAPGroupAttribute member
    AuthLDAPGroupAttributeIsDN on
</Location>

Phần quan trọng là cấu hình sau:

AuthLDAPSubGroupClass group

AuthLDAPMaxSubgroupDepth không hoạt động, cũng như khi được kết hợp với AuthLDAPSubgroupAttribution. Chỉ đến khi tôi sử dụng AuthLDAPSubgroupClass thì auth chống lại các nhóm phụ bắt đầu hoạt động ... ít nhất là đối với tôi và tình huống của tôi.