Syspass ошибка подключения bind

Можете ли вы заглянуть в журнал событий sysPass? Он должен зарегистрировать ошибку LDAP и строку фильтрации.

Спасибо за быстрый ответ!!!

Ошибка при поиске DN пользователя
Пользователь: firstname.lastname
ФИЛЬТР LDAP:
(& (| (samaccountname = firstname.lastname) (cn = firstname.lastname) (uid = firstname.lastname)) (| (objectClass = inetOrgPerson) (objectClass = person) (objectClass = simpleSecurityOb
ject)) (objectCategory = человек))

Пользователь существует в базе поиска?

да. Я могу заставить логин работать, кажется, если я введу DN пользователя, который я тестирую, в качестве базы поиска. Пример:

DN пользователя: CN = имя пользователя, OU = Network_Engineering, OU = Technical_Services, OU = Users, OU =
REP, DC = пример, DC = сеть

База поиска: OU = Network_Engineering, OU = Technical_Services, OU = Users, OU =
REP, DC = пример, DC = сеть

Но если я попробую использовать: DC = example, DC = net

Я получаю такую ​​ошибку:
searchBase ADMIN 10.1.1.33 Ошибка при поиске объектов в базовом DN
ОШИБКА LDAP: ошибка операций (1)
ФИЛЬТР LDAP: (& (| (memberOf = _) (groupMembership = _)) (| (objectClass = inetOrgPerson) (objectClass = person) (objectClass = simpleSecurityObject)))

Кажется, рекурсивный поиск не работает должным образом?

В идеале я хотел бы использовать DC = example, DC = net в качестве базы поиска, поскольку наша среда AD слишком сложна, а пользователи организованы по множеству контейнеров diff и ou.

Да, это должно работать, даже членство во вложенных группах. На самом деле поиск выполняется ADS, поэтому sysPass не выполняет никаких действий при поиске.

Можете ли вы выполнить какой-нибудь тест с помощью утилиты ldp или любой другой утилиты LDAP, используя строку фильтрации?

Здравствуйте, можете ли вы опробовать последнюю фиксацию? Есть несколько исправлений, связанных с LDAP.

Я попробую последний коммит и доложу. Спасибо.

По-прежнему наблюдается та же проблема после обновления до последней фиксации

Опять таки. Если я наведу базовый поиск туда, где находится DN моего тестового аккаунта, я смогу заставить его работать. В противном случае я не могу авторизоваться. Дайте мне знать, если я могу предоставить дополнительную информацию. Похоже, что это будет работать с простыми настройками, когда все пользователи живут в одном OU. В моем окружении это не так.

OU = Network_Engineering, OU = Technical_Services, OU = Пользователи, OU =
REP, DC = пример, DC = сеть

А как насчет теста ldp? Сможете ли вы выполнить это? Было бы полезно попробовать с внешним инструментом.

В настоящее время эта установка выполняется в среде ADS Windows 2012 без каких-либо проблем, а база поиска настроена на несколько уровней вплоть до пользовательских подразделений.

Я также тестировал его на сервисах openLdap и edirectory.

Я использую ldapsearch на Ubuntu. Не уверен на 100%, как применить указанную выше строку к моему поиску. Я пробую сейчас.

Хорошо. Я перепробовал все фильтры

& (| (samaccountname = firstname.lastname) (cn = firstname.lastname) (uid = firstname.lastname)) (| (objectClass = inetOrgPerson) (objectClass = person) (objectClass = simpleSecurityOb
ject)) (objectCategory = человек))

По-прежнему не работает.

Хорошо…

ldapsearch -x -W -D «bind_dn» -h servername -b «search_base» «строка фильтра внутри ()»

Можете ли вы добавить атрибут cn в конец команды?

Это выглядело бы так: ldapsearch …. «cn»

Таким образом, он вернет только этот атрибут … извините, я должен упомянуть об этом выше

root<strong i="5">@vault</strong>:/opt/apps/syspass# ldapsearch -x -D "CN=_ldap_lookup,OU=ServiceAccounts,OU=Central_IT,DC=example,DC=net" -w "somepass" -h someserver.example.net -b "DC=example,DC=net" "(&(|(samaccountname=firstname.lastname)(cn=firstname.lastname)(uid=firstname.lastname))(|(objectClass=inetOrgPerson)(objectClass=person)(objectClass=simpleSecurityObject))(objectCategory=person))" "cn"
# extended LDIF
#
# LDAPv3
# base <DC=example,DC=net> with scope subtree
# filter: (&(|(samaccountname=firstname.lastname)(cn=firstname.lastname)(uid=firstname.lastname))(|(objectClass=inetOrgPerson)(objectClass=person)(objectClass=simpleSecurityObject))(objectCategory=person))
# requesting: cn 
#

# Firstname Lastname, Network_Engineering, Technical_Services, Users, DER, example
 .net
dn: CN=Firstname Lastname,OU=Network_Engineering,OU=Technical_Services,OU=Users,OU=
 derp,DC=example,DC=net
cn: Firstname Lastname

# search reference
ref: ldap://ForestDnsZones.example.net/DC=ForestDnsZones,DC=example,DC=net

# search reference
ref: ldap://DomainDnsZones.example.net/DC=DomainDnsZones,DC=example,DC=net

# search reference
ref: ldap://example.net/CN=Configuration,DC=example,DC=net

# search result
search: 2
result: 0 Success

# numResponses: 5
# numEntries: 1
# numReferences: 3

Хорошо, поиски работают …

Вы установили пользователя привязки как «cn = user, dc = example, dc = net» ?. Я не вижу этого в некоторых комментариях выше?

Что касается комментария, вы опубликовали ошибку, которая показывает фильтр LDAP, например «memberof = blank», верно?

Текущая привязка
CN = _ldap_lookup, OU = ServiceAccounts, OU = Central_IT, DC = example, DC = net

Ошибка теста
Ошибка при поиске объектов в базовом DN
ОШИБКА LDAP: ошибка операций (1)
ФИЛЬТР LDAP: (& (| (memberOf = _) (groupMembership = _)) (| (objectClass = inetOrgPerson) (objectClass = person) (objectClass = simpleSecurityObject)))

Ошибка входа
Ошибка при поиске DN пользователя
Пользователь: test.user
ОШИБКА LDAP: ошибка операций (1)
ФИЛЬТР LDAP:
(& (| (samaccountname = test.user) (cn = test.user) (uid = test.user)) (| (objectClass = inetOrgPerson) (objectClass = person) (objectClass = simpleSecurityObject)) (objectCa
тегоры = человек))

Блок конфигурации AD

‘ldap_ads’ => правда,
‘ldap_base’ => ‘DC = пример, DC = net’,
‘ldap_bindpass’ => ‘somepass’,
‘ldap_binduser’ => ‘CN = ldapuser, OU = ServiceAccounts, OU = Central_IT, DC = example, DC = net’,
‘ldap_defaultgroup’ => 2,
‘ldap_defaultprofile’ => 2,
‘ldap_enabled’ => правда,
‘ldap_group’ => ложь,
‘ldap_server’ => ‘ldaps: // someip’,
‘ldap_userattr’ => »,

Я это уже выполнил. Я упоминал, что это работает, когда я использую DN тестовых пользователей в качестве основы, поэтому я не думаю, что проблема заключается в сертификате.

Конечно, но эта «ошибка операций» означает, что сервер ADS не отвечает правильно.

Ваш ADS работает под управлением Windows 2003?

Отрывок из PHP:

Для выполнения поиска в Windows 2003 Server Active Directory необходимо установить для параметра LDAP_OPT_REFERRALS значение 0:

ldap_set_option ($ ldap, LDAP_OPT_REFERRALS, 0);

Без этого вы получите «Операционную ошибку», если попытаетесь выполнить поиск по всей схеме AD (используя корень домена как $ base_dn).

В отличие от Windows 2000 Server, где эта опция была необязательной и только увеличивала производительность.

Это конкретный DC 2012 года. Также у меня есть много веб-приложений, которые используют аутентификацию AD с использованием этого DC.

Хорошо, но каков функциональный уровень домена?

Кстати, я программирую фрагмент кода, чтобы получить необработанные данные из ADS с помощью PHP.

Можете ли вы установить группу LDAP на «*» ?. Это заставит тест работать.

Хорошо, но каков функциональный уровень домена?

2008 r2

Можете ли вы установить группу LDAP на «*» ?. Это заставит тест работать.

Я сделаю это сейчас.

Результаты тестирования ниже.

2016-08-30 11:45:49 searchGroupDN   ADMIN   someip  Error while searching group RDN
Group: (cn=*)
LDAP FILTER: (cn=*)

Я ценю помощь с этим. Я бы хотел, чтобы это работало

Вы также можете взглянуть на http://stackoverflow.com/a/6222836 (LDAP_OPT_REFERRALS закомментирован в скрипте), поэтому кажется, что это может быть полезно для любой версии ADS …

Когда я просматриваю сценарий, я получаю только это

Array
(
)

Можете ли вы прокомментировать строку «LDAP_OPT_REFERRALS»?

Казалось бы, это уже закомментировано?

$groupName = '';
$ldapConn = @ldap_connect($ldapServer);
@ldap_set_option($ldapConn, LDAP_OPT_NETWORK_TIMEOUT, 10); // Set timeout
@ldap_set_option($ldapConn, LDAP_OPT_PROTOCOL_VERSION, 3); // Set LDAP version
//@ldap_set_option($ldapConn, LDAP_OPT_REFERRALS, 0); // Uncomment if "operations error"
@ldap_bind($ldapConn, $bindUser, $bindPass);
preg_match('/^(cn=[\w\s-]+)(,.*)?$/i', $groupName, $groupFilter);
$searchGroup = ldap_get_entries($ldapConn, ldap_search($ldapConn, $searchBase, $groupFilter[1], array("dn", "cn")));
$userFilter = '(memberof:1.2.840.113556.1.4.1941:=' . $searchGroup[0]["dn"] . ')';
$searchUser = ldap_get_entries($ldapConn, ldap_search($ldapConn, $searchBase, $userFilter, array("sAMAccountName")));
echo '<pre>';
print_r($groupFilter);
print_r($searchGroup);
print_r($searchUser);
echo '</pre>';

Извините, я имел в виду раскомментировать …

Эмм … пожалуйста, введите «groupName», потому что скрипт не позаботится о том, чтобы он не был установлен, поэтому он не будет работать.

Вот отрывок из вывода скрипта, конечно, запутанного. Кажется, это работает.

96] => Array
        (
            [samaccountname] => Array
                (
                    [count] => 1
                    [0] => firstname.lastname
                )

            [0] => samaccountname
            [count] => 1
            [dn] => CN=Firstname Lastname,OU=Application_Development,OU=Technical_Services,OU=Users,OU=EEE,DC=example,DC=net

Отлично !!, можешь попробовать последний коммит?

Абсолютно. Я отчитаюсь. Спасибо.

Вот что у меня есть. Отличие состоит в том, что я больше не получаю ошибку «Неправильный пользователь / пароль». Я также пробовал использовать без ldaps.

Конфиг
‘ldap_ads’ => правда,
‘ldap_base’ => ‘DC = пример, DC = net’,
‘ldap_bindpass’ => ‘somepass’,
‘ldap_binduser’ => ‘CN = ldapuser, OU = ServiceAccounts, OU = Central_IT, DC = example, DC = net’,
‘ldap_defaultgroup’ => 2,
‘ldap_defaultprofile’ => 2,
‘ldap_enabled’ => правда,
‘ldap_group’ => ‘example’, ((( _Также попробовал полное DN группы, как в ldap.php_ )))
‘ldap_server’ => ‘ldaps: // someip’,
‘ldap_userattr’ => »,

Ошибка при входе в систему
Ошибка при поиске RDN группы
Группа: (cn = Groupname)
ФИЛЬТР LDAP: (cn = имя группы)

Ошибка теста
696 30-08-2016 16:54:33 searchGroupDN ADMIN someip Ошибка при поиске RDN группы
Группа: (cn = Group)
ОШИБКА LDAP: ошибка операций (1)
ФИЛЬТР LDAP: (cn = Group)

Также. В выводе ldap.php и мои тесты user samaccountname. У меня есть попытки нескольких пользователей, чтобы быть уверенным.

Что касается ldap.php, есть 3 строки, которые должны выводить некоторую информацию:

Выводит групповой фильтр (строка): print_r ($ groupFilter);
Выводит найденные группы (массив): print_r ($ searchGroup);
Выводит найденных пользователей (массив): print_r ($ searchUser);

Вы видите эти результаты?

Весь вывод, который я вижу, находится в формате ниже, конечно, за исключением первых двух строк.

96] => Array
        (
            [samaccountname] => Array
                (
                    [count] => 1
                    [0] => firstname.lastname
                )

            [0] => samaccountname
            [count] => 1
            [dn] => CN=Firstname Lastname,OU=Application_Development,OU=Technical_Services,OU=Users,OU=EEE,DC=example,DC=net

Можете ли вы попробовать последний «ldap.php» ?. Я только что обновил его с некоторыми изменениями и полезными комментариями. Важным моментом является «Групповые записи», в котором должна быть указана группа, по которой вы выполняете фильтрацию.

ldap.php

<?php
// Customization - Start
$ldapServer = 'someip';
$bindUser = 'CN=ldapuser,OU=ServiceAccounts,OU=Central_IT,DC=example,DC=net';
$bindPass = 'somepass';
$searchBase = 'DC=example,DC=net';
$groupName = 'CN=example,OU=Security,OU=Groups,OU=Central_IT,DC=example,DC=net'; // Please use DN syntax
// Customization - End
$ldapConn = @ldap_connect($ldapServer);
@ldap_set_option($ldapConn, LDAP_OPT_NETWORK_TIMEOUT, 10); // Set timeout
@ldap_set_option($ldapConn, LDAP_OPT_PROTOCOL_VERSION, 3); // Set LDAP version
@ldap_set_option($ldapConn, LDAP_OPT_REFERRALS, 0); // Uncomment if ADS
@ldap_bind($ldapConn, $bindUser, $bindPass);
preg_match('/^(cn=[\w\s-]+)(,.*)?$/i', $groupName, $groupFilter);
$searchGroup = ldap_get_entries($ldapConn, ldap_search($ldapConn, $searchBase, $groupName, array("dn", "cn")));
$searchGroup = ldap_get_entries($ldapConn, ldap_search($ldapConn, $searchBase, $groupFilter[1], array("dn", "cn")));
$userFilter = '(memberof:1.2.840.113556.1.4.1941:=' . $searchGroup[0]["dn"] . ')';
$searchUser = ldap_get_entries($ldapConn, ldap_search($ldapConn, $searchBase, $userFilter, array("sAMAccountName")));
echo '<pre>';
print_r('Group Filter (regex): ' . $groupFilter);
echo PHP_EOL;
print_r('Group Entries: ' . $searchGroup);
echo PHP_EOL;
print_r('User Filter: ' . $userFilter);
echo PHP_EOL;
print_r('User Entries: ' . $searchUser);
echo '</pre>';

Выход

Group Filter (regex): Array
Group Entries: Array
User Filter: (memberof:1.2.840.113556.1.4.1941:=CN=example,OU=Security,OU=Groups,OU=Central_IT,DC=example,DC=net)
User Entries: Array

Айв также попытался раскомментировать строку 16.

Извините, у меня была ошибка, поэтому массивы не отображались. Уже обновлено …

Один вопрос, включает ли ваша группа числа? Фактически допустимые символы: буквы, «_», «-» и пробелы.

Вывод похож на предыдущий скрипт. Что-нибудь конкретное, что я должен искать? Кроме того, это работает, только если я раскомментирую строку 21.

Вот результат без раскомментирования строки 21.

## Group Filter (regex): 
Array
(
    [0] => CN=example,OU=Security,OU=Groups,OU=Central_IT,DC=example,DC=net
    [1] => CN=example
    [2] => ,OU=Security,OU=Groups,OU=Central_IT,DC=example,DC=net
)
## Group Entries: 
Array
(
    [count] => 0
)
## User Filter: 
(memberof:1.2.840.113556.1.4.1941:=)## User Entries: 
Array
(
    [count] => 0
)

Пожалуйста, задавайте название группы без синтаксиса DN, то есть «пример»

Эммм, это должно быть «cn = example»

Хорошо, это работает. Теперь я вижу имена самаккаунтов.

Я также вижу групповые записи.

## Group Filter (regex): 
Array
(
    [0] => CN=example
    [1] => CN=example
)
## Group Entries: 
Array
(
    [count] => 16
    [0] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,OU=Security,OU=Groups,OU=Central_IT,DC=example,DC=net
        )

    [1] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=mail,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [2] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=services,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [3] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=ethers,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [4] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=rpc,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [5] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=netgroup,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [6] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=bootparams,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [7] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=networks,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [8] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=netmasks,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [9] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=hosts,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [10] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=protocols,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [11] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=ypservers,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [12] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=group,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [13] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=shadow,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [14] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=passwd,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net
        )

    [15] => Array
        (
            [cn] => Array
                (
                    [count] => 1
                    [0] => example
                )

            [0] => cn
            [count] => 1
            [dn] => CN=example,CN=netid,CN=ypServ30,CN=RpcServices,CN=System,DC=example,DC=net

Хотите, чтобы я попробовал последний коммит?

Да, но приложение не знает, какую группу использовать, поэтому оно выберет первую, потому что ищет имя группы, а не весь dn.

Можете ли вы создать новую группу для входа в sysPass?

Если вы хотите разрешить каждому пользователю в этих группах, это невозможно, потому что приложению придется перебирать каждую группу и получать информацию о том, находится ли в ней пользователь (это требует времени и накладных расходов на сервер). Вместо этого вы можете использовать иерархию групп, то есть создать группу для sysPass, а затем добавить в нее все эти группы.

Кажется, теперь все работает !!!

Тест не пройден, но теперь я могу войти в syspass с указанной группой.

Я очень признателен за терпение и усилия, которые вы приложили, чтобы это исправить.

Я очень рад, что теперь все работает нормально.

Большое спасибо за ваши отзывы и навыки тестирования;)