Bagaimana cara mengautentikasi pengguna dalam grup bertingkat di Apache LDAP?

Saya sudah bekerja otentikasi LDAP dengan pengaturan berikut

 AuthName            "whatever"
 AuthType            Basic
 AuthBasicProvider   ldap
 AuthLDAPUrl         "ldap://server/OU=SBSUsers,OU=Users,OU=MyBusiness,DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
 Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Ini berfungsi, namun saya harus memasukkan semua pengguna yang ingin saya otentikasi MySpecificGroup. Tetapi pada server LDAP saya sudah mengkonfigurasi yang MySpecificGroupjuga berisi grup MyOtherGroupdengan daftar pengguna lain.

Tetapi para pengguna MyOtherGroupitu tidak diautentikasi, saya harus menambahkan semuanya secara manual MySpecificGroupdan pada dasarnya tidak dapat menggunakan pengelompokan bersarang. Saya menggunakan Windows SBS 2003.

Apakah ada cara untuk mengkonfigurasi Apache LDAP untuk melakukan ini? Atau adakah masalah dengan kemungkinan rekursi tak terbatas dan karenanya tidak diizinkan?

Anda perlu mengatur AuthLDAPSubGroupDepthuntuk membuat ini berfungsi. Bilangan bulat yang Anda berikan di sini menentukan kedalaman bersarang sub-grup maksimum yang akan dievaluasi sebelum pencarian pengguna dihentikan.

Tambahkan ini ke konfigurasi Anda:

AuthLDAPSubGroupDepth 1

Info Lebih Lanjut: di sini dan di sini .

Selain itu AuthLDAPSubGroupDepth, yang hanya tersedia di apache 2.4, dimungkinkan, saat menggunakan Microsoft AD LDAP, untuk melakukan otorisasi menggunakan grup bersarang dengan menggunakan aturan pencocokan LDAP_MATCHING_RULE_IN_CHAIN. Ini jauh lebih cepat daripada mencari subkelompok pada klien, karena dilakukan pada server DC dengan lebih sedikit permintaan melalui jaringan.

Require ldap-filter memberof:1.2.840.113556.1.4.1941:=CN=Access to Apache,OU=My Organization Unit,DC=company,DC=com

String 1.2.840.113556.1.4.1941adalah OID yang disebut LDAP_MATCHING_RULE_IN_CHAIN. OID ini ditugaskan oleh Microsoft untuk digunakan dengan implementasi LDAP-nya (bagian dari Active Directory). Anda tidak dapat menggunakannya dengan server LDAP lainnya. Format manusia yang dapat ditebus adalah:iso(1).member_body(2).us(840).microsoft(113556).ad(1).as_schema(4).LDAP_MATCHING_RULE_IN_CHAIN(1941)

Dari dokumentasi Microsoft:

Aturan ini terbatas pada filter yang berlaku untuk DN. Ini adalah operator korek api "extended" khusus yang berjalan di rantai leluhur pada objek sampai ke akar sampai menemukan kecocokan.

Lihat juga:

• http://msdn.microsoft.com/en-us/library/windows/desktop/aa746475%28v=vs.85%29.aspx
• http://httpd.apache.org/docs/2.2/mod/mod_authnz_ldap.html#authorphase

Sepertinya satu-satunya pilihan Anda di Apache 2.2 adalah mendaftar setiap grup yang disertakan oleh grup resmi utama Anda.

Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Ini harus masuk akal jika grup bersarang Anda tidak terlalu rumit.

Melintasi Domain AD (menggunakan dua server LDAP)

Anda dapat mengatur OpenLDAP dengan overlay slapd_meta yang berjalan di server web Anda untuk proksi otentikasi Anda.

/etc/ldap/slapd.conf akan terlihat seperti:

database meta
suffix   "DC=company,DC=local"
uri      "ldap://a.foo.com/OU=MyBusiness,DC=company,DC=local"
uri      "ldap://b.foo.com/OU=otherdomainsuffix,DC=company,DC=local"

Kemudian, bait mod_authnz_ldap Anda akan terlihat seperti:

AuthName            "whatever"
AuthType            Basic
AuthBasicProvider   ldap
AuthLDAPUrl         "ldapi:///DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=otherdomainsuffix,DC=company,DC=local

Ini akan membutuhkan beberapa pemijatan untuk membuatnya bekerja, tetapi saya pikir ini adalah ide umum.

Sementara solusi yang diberikan oleh @Mircea_Vutcovici bekerja untuk saya, satu-satunya kritik saya adalah bahwa orang mungkin akan mudah tersinggung ketika mereka melihat operator bitwise sedang digunakan.

Sebagai contoh, saya akan menyerahkan instalasi Apache Bloodhound, yang menggunakan Apache HTTPd sebagai ujung depan dengan auth grup AD, kepada sekelompok rekan pengembang. Mereka akan menghadapi masalah dengan operator bitwise. Admin tidak akan semudah itu ... Saya harap.

Yang sedang berkata, saya punya solusi yang tidak menggunakan operator bitwise dan yang tidak menggunakan beberapa definisi ldap-group.

Konfigurasi berikut ini berfungsi untuk saya:

<Location /protected>
    # Using this to bind
    AuthLDAPURL "ldap://<MY_SERVER>:3268/<MY_SEARCH_BASE>?sAMAccountName?sub?(objectClass=user)"
    AuthLDAPBindDN "<MY_BIND_DN>"
    AuthLDAPBindPassword "<MY_PASSWORD>"
    LDAPReferrals Off

    AuthType Basic
    AuthName "USE YOUR AD ACCOUNT"
    AuthBasicProvider ldap
    Require ldap-group <MY_PARENT_GROUP>
    AuthLDAPMaxSubGroupDepth 1
    AuthLDAPSubgroupAttribute member
    AuthLDAPSubGroupClass group
    AuthLDAPGroupAttribute member
    AuthLDAPGroupAttributeIsDN on
</Location>

Bagian penting adalah konfigurasi berikut:

AuthLDAPSubGroupClass group

AuthLDAPMaxSubGroupDepth tidak bekerja dengan sendirinya, atau ketika digabungkan dengan AuthLDAPSubgroupAttribute. Hanya ketika saya menggunakan AuthLDAPSubGroupClass yang auth terhadap sub kelompok mulai bekerja ... setidaknya untuk saya dan situasi saya.