LDAP-Authentifikation mit DB-Autorisation möglich?

Dirk_Busche 2008-09-05 13:24:48 UTC #1

Moin,

wenn ich die LDAP-Anleitung richtig verstanden haben, ist das eine Ganz-oder-gar-nicht-Geschichte. Entweder ich nutze LDAP, dann muss ich aber auch alle Rechte darin verwalten und eGroupWare Schreibrecht auf das Direktory geben, oder ich verwalte meine User in der lokalen Datenbank, muss dann aber komplett auf LDAP verzichten. Ist das richtig?

Grund für die Frage: wir haben bei uns einen LDAP-Server, über den sich alle Nutzer des Konzerns authenifizieren (so 50.000 Leute), und ich habe keine Chance für meine eGroupware Schreibrecht darauf zu bekommen. Andererseits würde ich aber gerne meinen Nutzern die Möglichkeit geben sich mit dem Konzernpasswort anzumelden. Ich bräuchte also “Authentifikation per LDAP” und die Autorisierung wie Gruppenmitgliedschaften usw. lokal in eGW. Sowas wäre mit Mechanismen wie in PAM denkbar.
Ist sowas möglich oder geplant?

viele Grüße,
Dirk

htbt13 2008-10-01 08:48:39 UTC #2

Hallo,

ich habe ein ähnliches Problem wie folgt gelöst(sind ca. 2000 Nutzer):

Die Nutzer authentifizieren sich über ldap an einem ldap-Server und werden automatisch mit
Vorname, Nachname,email-Adresse und Benutzerkennung in eGroupware beim ersten login
erzeugt
und in der SQL-Datenbank gespeichert.
Die Zuordnung zu Gruppen und Rechtevergabe erfolgt innerhalb von eGroupware.
Die Anmeldung bleibt beim ldap-Server;
d.h. es wird sich innerhalb von eGroupware kein Passwort, keine Benutzerkennung verwaltet, das obliegt der ldap-Verwaltung.

Gruss

Herbert

Dirk Busche:

Moin,

wenn ich die LDAP-Anleitung richtig verstanden haben, ist das eine Ganz-oder-gar-nicht-Geschichte. Entweder ich nutze LDAP, dann muss ich aber auch alle Rechte darin verwalten und eGroupWare Schreibrecht auf das Direktory geben, oder ich verwalte meine User in der lokalen Datenbank, muss dann aber komplett auf LDAP verzichten. Ist das richtig?

Grund für die Frage: wir haben bei uns einen LDAP-Server, über den sich alle Nutzer des Konzerns authenifizieren (so 50.000 Leute), und ich habe keine Chance für meine eGroupware Schreibrecht darauf zu bekommen. Andererseits würde ich aber gerne meinen Nutzern die Möglichkeit geben sich mit dem Konzernpasswort anzumelden. Ich bräuchte also “Authentifikation per LDAP” und die Autorisierung wie Gruppenmitgliedschaften usw. lokal in eGW. Sowas wäre mit Mechanismen wie in PAM denkbar.
Ist sowas möglich oder geplant?

viele Grüße,
Dirk

Dirk_Busche 2008-10-02 13:19:20 UTC #3

Hallo Herbert,

das klingt schon mal recht brauchbar.
Funktioniert das in eGW einfach so aus der Box, oder musstest Du irgendwo etwas anpassen?
Kommst Du ohne Schreibrecht auf den LDAP-Server aus? Das ist bei mir KO-Kriterium (leider).

viele Grüße,
Dirk

htbt13 2008-10-06 12:39:17 UTC #4

Hallo Dirk,

Auf dem LDAP-Server hab ich keine Schreibrechte - sind auch nicht nötig
Ich speicher die relevanten Nutzerdaten per SQL in der eGroupware (einstellbar im egw-setup)

Gruss

Herbert

nukleuz13 2008-10-12 14:40:20 UTC #5

Hallo zusammen,

ich bin nun schon seit geraumer Zeit daran, die Anmeldung über LDAP einzurichten. Leider komme ich nicht weiter. Mein LDAP Server ist ein 2003er Server (Active Directory).

Könnt Ihr mir eure Konfigurationen mitteilen? Oder auch andere Verweise zu dem Thema posten.
Für Hilfe wäre ich wirklich dankbar.

Gruß nukleuz

goido 2008-10-13 06:24:14 UTC #6

Moinsen Herbert,

genau so wie du es gemacht hätte ich es auch gern :-), nur leider bekomme ich das mit der LDAP Authentifizierung nicht hin. Ich hab das auch schon hier gepostet aber leider bisher noch keine Antwort bekommen. Vielleicht kannst du dir mein Problem ja mal anschauen und mir weiter helfen, hab im Moment echt keinen Plann was ich noch probieren kann und wäre für jeden Tipp dankbar.

Gruß, Guido.

htbt13:

Hallo,

ich habe ein ähnliches Problem wie folgt gelöst(sind ca. 2000 Nutzer):

Die Nutzer authentifizieren sich über ldap an einem ldap-Server und werden automatisch mit
Vorname, Nachname,email-Adresse und Benutzerkennung in eGroupware beim ersten login
erzeugt
und in der SQL-Datenbank gespeichert.
Die Zuordnung zu Gruppen und Rechtevergabe erfolgt innerhalb von eGroupware.
Die Anmeldung bleibt beim ldap-Server;
d.h. es wird sich innerhalb von eGroupware kein Passwort, keine Benutzerkennung verwaltet, das obliegt der ldap-Verwaltung.

Gruss

Herbert

Dirk Busche:

Moin,

wenn ich die LDAP-Anleitung richtig verstanden haben, ist das eine Ganz-oder-gar-nicht-Geschichte. Entweder ich nutze LDAP, dann muss ich aber auch alle Rechte darin verwalten und eGroupWare Schreibrecht auf das Direktory geben, oder ich verwalte meine User in der lokalen Datenbank, muss dann aber komplett auf LDAP verzichten. Ist das richtig?

Grund für die Frage: wir haben bei uns einen LDAP-Server, über den sich alle Nutzer des Konzerns authenifizieren (so 50.000 Leute), und ich habe keine Chance für meine eGroupware Schreibrecht darauf zu bekommen. Andererseits würde ich aber gerne meinen Nutzern die Möglichkeit geben sich mit dem Konzernpasswort anzumelden. Ich bräuchte also “Authentifikation per LDAP” und die Autorisierung wie Gruppenmitgliedschaften usw. lokal in eGW. Sowas wäre mit Mechanismen wie in PAM denkbar.
Ist sowas möglich oder geplant?

viele Grüße,
Dirk

Ralf_Becker_6 2008-10-13 06:24:25 UTC #7

Geht problemlos und ist auf diversen Installationen im Einsatz:

Accounts in SQL (oder locales LDAP - geht beides)
Active Directory Authentifizierung (plus Domain und Host eintragen bei
AD Authentifizierung)
evtl. auto-create für Authentifizierte User einschalten

Ralf

nukleuz13 schrieb:

htbt13 wrote:

Hallo Dirk,

Auf dem LDAP-Server hab ich keine Schreibrechte - sind auch nicht nötig

Ich speicher die relevanten Nutzerdaten per SQL in der eGroupware
(einstellbar im egw-setup)

Gruss

Herbert

Dirk Busche wrote:

Hallo Herbert,

das klingt schon mal recht brauchbar.
Funktioniert das in eGW einfach so aus der Box, oder musstest Du irgendwo
etwas anpassen?
Kommst Du ohne Schreibrecht auf den LDAP-Server aus? Das ist bei mir
KO-Kriterium (leider).

viele Grüße,
Dirk

Hallo zusammen,

ich bin nun schon seit geraumer Zeit daran, die Anmeldung über LDAP
einzurichten. Leider komme ich nicht weiter. Mein LDAP Server ist ein 2003er
Server (Active Directory).

Könnt Ihr mir eure Konfigurationen mitteilen? Oder auch andere Verweise zu
dem Thema posten.
Für Hilfe wäre ich wirklich dankbar.

Gruß nukleuz

–
Ralf Becker
Director Software Development

Stylite GmbH
[open style of IT]

Morschheimer Strasse 15
67292 Kirchheimbolanden

fon +49 (0) 6352 70629-0
fax +49 (0) 6352 70629-30
cell +49 (0) 170 7815917
mailto: rb@stylite.de

www.stylite.de
www.egroupware.org

Geschäftsführer Andre Keller, Nigel John Vickers,
Gudrun K. Müller und Ralf Becker
Registergericht Kaiserslautern HRB 12087

This SF.Net email is sponsored by the Moblin Your Move Developer’s challenge
Build the coolest Linux based applications with Moblin SDK & win great prizes
Grand prize is a trip for two to an Open Source event anywhere in the world
http://moblin-contest.org/redirect.php?banner_id=100&url=/

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

maik3 2008-10-13 07:18:00 UTC #8

Hallo Herbert,

ich habe unseren Win2000 Server mit AD mit folgender Konfiguration am Laufen:

Authentifizierung / Benutzerkonten:
Welche Art der Authentifizierung wollen Sie benutzen: ADS

Automatisch erzeugte Benutzer zu dieser Grupper hinzufügen (“Default” wird versucht wenn nichts angegeben.): deine Default-Benutzergruppe

Wenn Sie LDAP verwenden:
LDAP-Host: Dein Server

LDAP Suchfilter für Benutzerkonten, Vorgabe “(uid=%user)”, %domain=eGW Domain: (OU=…)
LDAP rootdn Benutzerkonten suchen und Passwörter ändern): Administrator@deinedomain.de

Wenn Sie ADS (Active Directory) Authentifizierung benutzen:
Hostname / IP des Domain Controler: Dein Server
Name der Domain: Deine Domain

Grüße
Maik

nukleuz13:

htbt13:

Hallo Dirk,

Auf dem LDAP-Server hab ich keine Schreibrechte - sind auch nicht nötig

Ich speicher die relevanten Nutzerdaten per SQL in der eGroupware (einstellbar im egw-setup)

Gruss

Herbert

Dirk Busche:

Hallo Herbert,

das klingt schon mal recht brauchbar.
Funktioniert das in eGW einfach so aus der Box, oder musstest Du irgendwo etwas anpassen?
Kommst Du ohne Schreibrecht auf den LDAP-Server aus? Das ist bei mir KO-Kriterium (leider).

viele Grüße,
Dirk

Hallo zusammen,

ich bin nun schon seit geraumer Zeit daran, die Anmeldung über LDAP einzurichten. Leider komme ich nicht weiter. Mein LDAP Server ist ein 2003er Server (Active Directory).

Könnt Ihr mir eure Konfigurationen mitteilen? Oder auch andere Verweise zu dem Thema posten.
Für Hilfe wäre ich wirklich dankbar.

Gruß nukleuz

htbt13 2008-10-13 10:33:50 UTC #9

Hallo,

hier mal kurz meine Einstellungen:
egw-version 1.5.010
ldapserver: openldap

Im egw/setup habe ich unter Authentifizierung/ Benutzerkonten folgende Einstellungen:
Art der Authentifizierung: LDAP
Wo wollen Sie Benutzerkonten speichern: SQL
Benutzerauthentifizierung über ein Cookie: JA
Benutzerkonten für authentifizierte Nutzer automatisch anlegen: Ja

LDAP-Host: meinldapserver.domain
Ldap-kontext für Benutzerkonten: ou=nutzerkontext, o=organistationskontext

andere Parameter sind meines Erachtens in diesem Zusammenhang von eher untergeordneter Bedeutung

Gruss

Herbert

goido:

Moinsen Herbert,

genau so wie du es gemacht hätte ich es auch gern :-), nur leider bekomme ich das mit der LDAP Authentifizierung nicht hin. Ich hab das auch schon hier gepostet aber leider bisher noch keine Antwort bekommen. Vielleicht kannst du dir mein Problem ja mal anschauen und mir weiter helfen, hab im Moment echt keinen Plann was ich noch probieren kann und wäre für jeden Tipp dankbar.

Gruß, Guido.

htbt13:

Hallo,

ich habe ein ähnliches Problem wie folgt gelöst(sind ca. 2000 Nutzer):

Die Nutzer authentifizieren sich über ldap an einem ldap-Server und werden automatisch mit
Vorname, Nachname,email-Adresse und Benutzerkennung in eGroupware beim ersten login
erzeugt
und in der SQL-Datenbank gespeichert.
Die Zuordnung zu Gruppen und Rechtevergabe erfolgt innerhalb von eGroupware.
Die Anmeldung bleibt beim ldap-Server;
d.h. es wird sich innerhalb von eGroupware kein Passwort, keine Benutzerkennung verwaltet, das obliegt der ldap-Verwaltung.

Gruss

Herbert

Dirk Busche:

Moin,

wenn ich die LDAP-Anleitung richtig verstanden haben, ist das eine Ganz-oder-gar-nicht-Geschichte. Entweder ich nutze LDAP, dann muss ich aber auch alle Rechte darin verwalten und eGroupWare Schreibrecht auf das Direktory geben, oder ich verwalte meine User in der lokalen Datenbank, muss dann aber komplett auf LDAP verzichten. Ist das richtig?

Grund für die Frage: wir haben bei uns einen LDAP-Server, über den sich alle Nutzer des Konzerns authenifizieren (so 50.000 Leute), und ich habe keine Chance für meine eGroupware Schreibrecht darauf zu bekommen. Andererseits würde ich aber gerne meinen Nutzern die Möglichkeit geben sich mit dem Konzernpasswort anzumelden. Ich bräuchte also “Authentifikation per LDAP” und die Autorisierung wie Gruppenmitgliedschaften usw. lokal in eGW. Sowas wäre mit Mechanismen wie in PAM denkbar.
Ist sowas möglich oder geplant?

viele Grüße,
Dirk