SSO für EGw: CalDAV geht nicht mehr

[rainer.lilischkis]

Hallo,

ich habe mit @RalfBecker zusammen am Freitag unsere EGroupware für SSO über unseren Shibboleth eingerichtet. Im Augenblick können wir entweder das direkte login in die EGroupware machen oder uns über den Shibboleth als SSO anmelden. Beides funktioniert; in 14 Tagen wollen wir das direkte login abschalten.

Heute Nacht hat mein iPhone versucht einen Kalenderabgleich über calDAV zu machen. Ich sehe seit 02:38 Uhr eine lange Liste gescheiterter logins an der EGroupware.

Nun dachte ich: klar, wir haben den EGW Usernamen geändert, so dass er mit dem Usernamen im Shibboleth gleich ist.
Also habe ich den calDAV Account im Iphone gelöscht und einen neuen eingerichtet. Da kommt jetzt ein Fehler bei der Überprüfung der Verbindung:
“LDAP-Account Accountinformationen konnten nicht überprüft werden.”

• Kann das eigentlich überhaupt klappen, da das iPhone ja nicht das Passwort für den EGW Nutzer kennt, weil der Shibboleth das generiert, wenn ich das richtig verstanden habe?

• Kann ich in EGW irgendwo im Log sehen, was da passiert?

beste Grüße
Rainer, der langsam einsieht, dass man ein System nicht ändern darf ;-(( zumindest nicht am Freitag…

[rainer.lilischkis]

Ich sehe gerade, dass ich im EGW access log “Blocked, too many attempts.” habe. Kann man das per Hand zurücksetzen? Oder muss ich den Timer abwarten?

Rainer

[StefanU]

Hi Rainer.

Was steht bei dir im Setup?:

Kann ich in EGW irgendwo im Log sehen, was da passiert?

Wie immer:

(Error-)Logs

Stefan

[RalfBecker]

Nun dachte ich: klar, wir haben den EGW Usernamen geändert, so dass er mit dem Usernamen im Shibboleth gleich ist.

Ja, nach der Änderung des Benutzernamens, muss auch auf dem Handy das CalDAV Konto geändert bzw. neu angelegt werden.

Kann das eigentlich überhaupt klappen, da das iPhone ja nicht das Passwort für den EGW Nutzer kennt, weil der Shibboleth das generiert, wenn ich das richtig verstanden habe?

Das hast Du falsch verstanden, bei Shibbolth Authentifizierung bekommt EGroupware kein Passwort mehr (weder vom Benutzer noch vom IdP), der IdP teilt der EGroupware lediglich mit, das der Login des Benutzers X OK ist.

Ich sehe gerade, dass ich im EGW access log “Blocked, too many attempts.” habe. Kann man das per Hand zurücksetzen? Oder muss ich den Timer abwarten?

Gehe auf Admin > Zugangsprotokoll anzeigen, markiere dort die entsprechenden Zeilen und wähle dann im Kontextmenü (Rechtsklick) Löschen.

Für die endgültige Umstellung der Authentifizierung auf SAML (Shibboleth), muss Du dann die Authentifizierung für CalDAV/CardDAV und eSync auf SQL umstellen (von Standard, wie darüber definiert), oder Du verwendest in der EGroupware ein Dienstepasswort für CalDAV/CardDAV.

Ralf

[rainer.lilischkis]

Gehe auf Admin > Zugangsprotokoll anzeigen, markiere dort die entsprechenden Zeilen und wähle dann im Kontextmenü (Rechtsklick) Löschen.

Hallo Ralf,

kann man da auch mehrere auswählen? Bei mir ist delete immer ausgegraut wenn ich mit click und shift-click mehrere auswähle. Das selbe bei “select-all”.

Rainer

[RalfBecker]

Hmm, bei mir geht das.

Es macht auch nur Sinn welche mit mit “Falschem Login oder Passwort” oder “Blockiert zu viele Versuche” zu löschen. Falls Du Deine aktuelle Sitzung mit rein nimmst, wird das immer verweigert.

Ralf

[rainer.lilischkis]

Ja, kann ich bestätigen. Die fehlerhaften kann ich als multiple Auswahl löschen.

[rainer.lilischkis]

Irgendwie ist´s es doch eratisch. Wenn man für die Auswahl ein paar Seiten weit scrollt geht es nicht.

rainer