aktivieren Active Directory Backend

Jonas 2017-10-09 14:50:21 UTC #1

Tritt der Fehler nach einem Update auf?
Unbekannt, der Fehler wurde von uns das erste mal mit dieser Version wahrgenommen.

Sind Hinweise im Web-Server-Error-Log zu finden?
Nein.

Wir benutzen die EGW in der aktuellsten Version (16.9.002) die über Debian Jessie Paketquellen verfügbar ist.
Benutzer lassen sich über das Admin Modul verwalten: erstellen, löschen, Passwort ändern usw. ist kein Problem.

Nur Benutzer deaktivieren und später wieder aktivieren funktioniert nicht.

Ablauf 1: Benutzer Konto aufrufen über das Admin Modul und den Haken bei “Konto ist aktiv” rausnehmen und auf Übernehmen klicken. -> Konto wird erfolgreich deaktiviert aber eine Fehlermeldung erscheint: "Can’t find contact of just created account!"
Wenn das Fenster offen gelassen wird, kann der Account auch wieder aktiviert werden ohne weitere Fehlermeldung.

Ablauf 2: Wie Ablauf 1 nur wird beim deaktivieren auf Speichern geklickt oder das Fenster geschlossen nach Übernehmen der Einstellungen.
Dann erscheint beim erneuten Aufruf des Benutzers folgendes Fenster:

-> Es ist nicht mehr möglich den Account über die EGW zu aktivieren, der Account muss über die Domäne aktiviert werden und dann zusätzlich noch einmal in der EGW. Damit er sich wieder an der EGW anmelden kann.

Folgendes habe ich mal mit den Devtools vom Browser mitgeschnitten.

Benutzer deaktiviert mit Übernehmen:

json_data:{“request”:{“parameters”:[“addressbook_jstunkat__JCLgIXP88MPUgopKG9DpfzbC/bIECggFzUz8KcTj_M=”,{“n_prefix”:"",“n_given”:“Max”,“n_middle”:"",“n_family”:“Mustermann”,“n_suffix”:"",“upload_photo”:"",“n_fn”:“Max Mustermann”,“org_name”:"",“tel_work”:"",“org_unit”:"",“tel_cell”:"",“title”:"",“email”:"",“url”:"",“account_lid”:“mmustermann”,“account_status”:"",“account_passwd”:"",“account_passwd_2”:"",“mustchangepassword”:"",“changepassword”:“true”,“anonymous”:"",“account_primary_group”:"-513",“memberships”:["-1115","-513","-1206"],“room”:"",“adr_one_street”:"",“adr_one_postalcode”:"",“adr_one_locality”:"",“tel_fax”:"",“adr_one_region”:"",“tid”:“n”,“tel_home”:"",“tel_pager”:"",“cat_id”:,“note”:"",“pubkey”:"",“link_to”:{“to_app”:“addressbook”,“to_id”:null},“link_to_link_entry”:{“id”:null,“app”:“addressbook”,“search”:""},“link_to_file”:"",“custom_fields”:{},“button”:{“apply”:true},“change_org”:""},false]}}

Im selben Fenster wieder aktiviert mit Übernehmen:

json_data:{“request”:{“parameters”:[“addressbook_jstunkat_JCLgIXP88MPUgopKG9DpfzbC/bIECggFzUz8KcTj_M=”,{“n_prefix”:"",“n_given”:“Max”,“n_middle”:"",“n_family”:“Mustermann”,“n_suffix”:"",“upload_photo”:"",“n_fn”:“Max Mustermann”,“org_name”:"",“tel_work”:"",“org_unit”:"",“tel_cell”:"",“title”:"",“email”:"",“url”:"",“account_lid”:“mmustermann”,“account_status”:“A”,“account_passwd”:"",“account_passwd_2”:"",“mustchangepassword”:"",“changepassword”:“true”,“anonymous”:"",“account_primary_group”:"-513",“memberships”:["-1115","-513","-1206"],“room”:"",“adr_one_street”:"",“adr_one_postalcode”:"",“adr_one_locality”:"",“tel_fax”:"",“adr_one_region”:"",“tid”:“n”,“tel_home”:"",“tel_pager”:"",“cat_id”:,“note”:"",“pubkey”:"",“link_to”:{“to_app”:“addressbook”,“to_id”:“F8C8D111-614C-44D1-8E5B-55FADA44B8BA”},“link_to_link_entry”:{“id”:null,“app”:“api-accounts”,“search”:""},“link_to_file”:"",“custom_fields”:{},“button”:{“apply”:true},“change_org”:""},false]}}

Interessant ist vermutlich folgender Datensatz: {“to_app”:“addressbook”,“to_id”:“F8C8D111-614C-44D1-8E5B-55FADA44B8BA”}. Der zusätzlich zu diesem hier: “account_status”:“A” geändert wird.

MfG Jonas Stunkat

StefanU 2017-10-11 10:59:21 UTC #2

Hallo Jonas,

wir können derzeit die Situation nicht nachstellen mangels Testsystem (Windows) und fehlender Zeit (Fertigstellung EGw 17.1). Aus unserer Kundschaft ist uns diese Situation nicht bekannt. Vermutlich deaktivieren/aktivieren andere Anwender den Benutzer auf Windows/AD.

Funktioniert denn das de-/aktivieren über die AD? Ohne nachträglich in EGw den Benutzer aktivieren zu müssen?

Vielleicht hat jemand anderes hier im Forum eine AD-Anbindung und kann Jonas sein Problem nachvollziehen?

grefabu 2017-10-11 12:33:20 UTC #3

Ich schieße jetzt mal ins blaue, aber evtl. sieht egroupware deaktivierte Benutzer im AD nicht.
Ich setzte gerade eine andere SW auf, da filtere ich nur auf die aktiven Konten:

(&(objectClass=user)(objectCategory=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

Vielleicht macht es EG intern automatisch.

Grüße

Gregor

Jonas 2017-10-11 12:34:33 UTC #4

Das dekativieren über die Benutzerverwaltung der AD funktioniert.
Leider ist das nicht wirklich eine Lösung da mein Vorgesetzter dies gerne über die Groupware erledigen möchte .

Ich schaus mir evtl. selber nochmal genauer an, es ist vermutlich nur eine falsch gesetzte/ungesetzte Variable in der Datenbank.
Gibt es eine neue PHPXref Seite (http //svn.stylite.de/egwdocs die geht ja nicht mehr) oder etwas ähnliches um sich den Code anzuschauen oder nur noch github?

MfG Jonas

Jonas 2017-10-11 12:45:04 UTC #5

Durchaus keine schlechte Idee die ich auch schon hatte. Allerdings erkennt die Groupware, wenn ich den Benutzer im AD deaktiviere und zeigt es im Admin Modul an.
Beim Aufruf des Benutzers erscheint dann wieder das gleiche Bild wie oben im Screenshot. Ich glaube eher das die Verknüpfung zum Adressbucheintrag des Benutzers verlorengeht, ob die Daten in der Datenbank stehen oder auf Daten im AD dafür zugegriffen wird, weiß ich noch nicht.
Ich glaube halt es liegt hier dran: “to_app”:“addressbook”,“to_id”:“F8C8D111-614C-44D1-8E5B-55FADA44B8BA”

Danke für Deine Hilfe

RalfBecker 2017-10-11 13:15:56 UTC #6

Hi Jonas,

PHPXref gibt es nicht mehr. Ich habe auf die Schnell auch nichts gefunden was eine Cross Reference für PHP, am besten als Service mit GitHub Integration, zur Verfügung stellt.

Unsere Entwickler verwenden in der Regel die Netbeans IDE oder ack(-grep) um in den geclonten Sourcen direkt zu Suchen.

Meine Vermutung bzgl. Deines Problems ist die gleiche wie sie auch Gregor geäußert hat. Ich habe aktuell aber kein Testsystem um dem nachzugehen.

Das einzige was ich Dir auf die Schnelle anbieten kann ist ein Supportbudget (https://www.egroupware.org/de/egroupware-support/) zu kaufen und ich schaue mir das per ssh oder TeamViewer auf Deinem System an.

Ralf

Jonas 2017-10-11 13:24:32 UTC #7

Glaube ich mitlerweile auch, ich habe gerade nochmal geschaut die “F8C8D111-614C-44D1-8E5B-55FADA44B8BA” kommt aus dem AD und ist dort die “objectGUID” des Nutzers. Beim Aufruf des Benutzers werden ja sämtliche Daten aus dem AD abgerufen um dann die Ansicht bereitzustellen,
wenn hier aber deaktivierte Nutzer rausgefiltert werden dann geht das natürlich nicht.

MfG Jonas

Jonas 2017-10-11 14:11:32 UTC #8

Ok, ich hab mal was am Code geändert und jetzt geht es erstmal so wie ich es mir vorstelle. Ich hab aber keine Ahnung wo sich diese Änderung evtl. noch auswrirkt. Ich beobachte es mal die nächste Zeit.

Folgendes hab ich geändert:

Datei: egroupware/api/src/Contacts/Ads.php
Zeile: 208
function: function _user2egw(&$contact, $data)
Branch: 16.1

Zeile 208 wurde auskommentiert:

	function _user2egw(&$contact, $data)
	{
		$contact['account_id'] = $this->accounts_ads->objectsid2account_id($data['objectsid']);
		$contact['id'] = $contact['uid'] = $this->accounts_ads->objectguid2str($data['objectguid']);

		// ignore system accounts
		if ($contact['account_id'] < Api\Accounts\Ads::MIN_ACCOUNT_ID) return false;

		// ignore deactivated or expired accounts
		//if (!$this->accounts_ads->user_active($data)) return false;

		$this->_inetorgperson2egw($contact, $data, 'displayname');
	}

RalfBecker 2017-10-12 07:27:34 UTC #9

Ich würde einige Test machen, bevor ich so eine Änderung an einem produktiven System machen würde.

Der wichtigste ist zu prüfen ob sich damit abgelaufene oder deaktivierte Benutzer auch NICHT anmelden können. Ich glaube aber das das kein Problem ist, da hierfür die Contacts Klasse nicht benutzt wird.

Vermutlich werden deaktivierte User jetzt wieder gefunden, wenn man nach Ihnen sucht …

Falls Du den Aufruf der Methode suchst, der befindet sich hier:

github.com

EGroupware/egroupware/blob/master/api/src/Contacts/Ldap.php#L1105


				foreach($this->schema2egw[$objectclass] as $egwFieldName => $ldapFieldName)
				{
					if(!empty($entry[$ldapFieldName][0]) && !is_int($egwFieldName) && !isset($contact[$egwFieldName]))
					{
						$contact[$egwFieldName] = Api\Translation::convert($entry[$ldapFieldName][0],'utf-8');
					}
				}
				$objectclass2egw = '_'.$objectclass.'2egw';
				if (!in_array($objectclass2egw, (array)$_skipPlugins) &&method_exists($this,$objectclass2egw))
				{
					if (($ret=$this->$objectclass2egw($contact,$entry)) === false)
					{
						--$this->total;
						continue 2;
					}
				}
			}
			// read binary jpegphoto only for one result == call by read
			if ($this->total == 1 && isset($entry['jpegphoto'][0]))
			{
				$bin = ldap_get_values_len($this->ds,ldap_first_entry($this->ds,$result),'jpegphoto');

Ralf