Come autenticare gli utenti nei gruppi nidificati in Apache LDAP?

Sto lavorando l'autenticazione LDAP con la seguente configurazione

 AuthName            "whatever"
 AuthType            Basic
 AuthBasicProvider   ldap
 AuthLDAPUrl         "ldap://server/OU=SBSUsers,OU=Users,OU=MyBusiness,DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
 Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Funziona, tuttavia devo mettere tutti gli utenti in cui voglio autenticarmi MySpecificGroup. Ma sul server LDAP ho configurato che MySpecificGroupcontiene anche il gruppo MyOtherGroupcon un altro elenco di utenti.

Ma quegli utenti MyOtherGroupnon sono autenticati, devo aggiungerli manualmente tutti MySpecificGroupe sostanzialmente non posso usare il raggruppamento nidificato. Sto usando Windows SBS 2003.

C'è un modo per configurare Apache LDAP per farlo? O c'è un problema con una possibile ricorsione infinita e quindi non consentita?

Devi impostare AuthLDAPSubGroupDepthper farlo funzionare. Il numero intero fornito qui specifica la profondità massima di annidamento del sottogruppo che verrà valutata prima che la ricerca dell'utente venga interrotta.

Aggiungi questo alla tua configurazione:

AuthLDAPSubGroupDepth 1

Ulteriori informazioni: qui e qui .

Inoltre AuthLDAPSubGroupDepth, questo è disponibile solo in Apache 2.4, è possibile, quando si utilizza LDAP Microsoft AD, eseguire l'autorizzazione utilizzando i gruppi nidificati utilizzando la regola di corrispondenza LDAP_MATCHING_RULE_IN_CHAIN. Questo è molto più veloce della ricerca di sottogruppi sul client, perché viene eseguito sul server DC con meno query sulla rete.

Require ldap-filter memberof:1.2.840.113556.1.4.1941:=CN=Access to Apache,OU=My Organization Unit,DC=company,DC=com

La stringa 1.2.840.113556.1.4.1941è un OID chiamato LDAP_MATCHING_RULE_IN_CHAIN. Questo OID è assegnato da Microsoft per essere utilizzato con la sua implementazione LDAP (parte di Active Directory). Non puoi usarlo con altri server LDAP. Il formato ridimensionabile umano è:iso(1).member_body(2).us(840).microsoft(113556).ad(1).as_schema(4).LDAP_MATCHING_RULE_IN_CHAIN(1941)

Dalla documentazione Microsoft:

Questa regola è limitata ai filtri che si applicano al DN. Questo è uno speciale operatore di corrispondenza "esteso" che porta la catena degli antenati negli oggetti fino alla radice fino a quando non trova una corrispondenza.

Guarda anche:

• http://msdn.microsoft.com/en-us/library/windows/desktop/aa746475%28v=vs.85%29.aspx
• http://httpd.apache.org/docs/2.2/mod/mod_authnz_ldap.html#authorphase

Sembra che la tua unica opzione in Apache 2.2 sia quella di elencare tutti i gruppi inclusi nel tuo principale gruppo autorizzato.

Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Questo dovrebbe essere ragionevole se i tuoi gruppi nidificati non sono troppo complicati.

Attraversamento di domini AD (utilizzando due server LDAP)

È possibile configurare OpenLDAP con l' overlay slapd_meta in esecuzione sul server Web per eseguire il proxy dell'autenticazione.

/etc/ldap/slapd.conf dovrebbe essere simile a:

database meta
suffix   "DC=company,DC=local"
uri      "ldap://a.foo.com/OU=MyBusiness,DC=company,DC=local"
uri      "ldap://b.foo.com/OU=otherdomainsuffix,DC=company,DC=local"

Quindi, la tua stanza mod_authnz_ldap sarebbe simile a:

AuthName            "whatever"
AuthType            Basic
AuthBasicProvider   ldap
AuthLDAPUrl         "ldapi:///DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=otherdomainsuffix,DC=company,DC=local

Ciò richiederà qualche massaggio per farlo funzionare, ma penso che questa sia l'idea generale.

Mentre la soluzione fornita da @Mircea_Vutcovici ha funzionato per me, la mia unica critica è che le persone possono diventare schizzinose quando vedono operatori bit a bit in uso.

Ad esempio, consegnerò un'installazione di Apache Bloodhound, che utilizza Apache HTTPd come front-end con l'autenticazione del gruppo AD, a un gruppo di colleghi sviluppatori. Avranno problemi con gli operatori bit a bit. Gli amministratori non saranno così schizzinosi ovviamente ... spero.

Detto questo, ho una soluzione che non utilizza l'operatore bit a bit e che non utilizza più definizioni di gruppo LDAP.

La seguente configurazione funziona per me:

<Location /protected>
    # Using this to bind
    AuthLDAPURL "ldap://<MY_SERVER>:3268/<MY_SEARCH_BASE>?sAMAccountName?sub?(objectClass=user)"
    AuthLDAPBindDN "<MY_BIND_DN>"
    AuthLDAPBindPassword "<MY_PASSWORD>"
    LDAPReferrals Off

    AuthType Basic
    AuthName "USE YOUR AD ACCOUNT"
    AuthBasicProvider ldap
    Require ldap-group <MY_PARENT_GROUP>
    AuthLDAPMaxSubGroupDepth 1
    AuthLDAPSubgroupAttribute member
    AuthLDAPSubGroupClass group
    AuthLDAPGroupAttribute member
    AuthLDAPGroupAttributeIsDN on
</Location>

La parte critica era la seguente configurazione:

AuthLDAPSubGroupClass group

AuthLDAPMaxSubGroupDepth non funziona da solo, né se associato a AuthLDAPSubgroupAttribute. Fu solo quando ho usato AuthLDAPSubGroupClass che auth contro i sottogruppi ha iniziato a funzionare ... almeno per me e la mia situazione.