Re: zugriff verweigert

TheUnicorn 2006-04-05 23:01:35 UTC #1

Hallo,

ich hoffe, daÃ irgendwer das hier liest obwohl ich keinen extra Thread
aufmache…

Ich habe die letzten Tage mit eGroupware herumgespielt und es lief soweit.
Ich kann mich erinnern, daÃ ich als letztes in die emailAdmin Konfiguration
geschaut hatte.
Jetzt habe ich genau das selbe Problem wie shaugk.
“Zugriff verweigert” nach der Anmeldung bei allen Usern. Es ist kein Icon
einer Anwendung sichtbar, immerhin gibt es bei mir noch die MÃ¶glichkeit des
Abmeldens (der Button erscheint noch).

Ich habe nur die Fehlermeldung

Permissions
Attempted to access ‘home’

im eGroupware Log gefunden. Kein LDAP, SQL oder sonstige Fehler… es ist
nichts sichtbar
Ich habe dann sicherheitshalber alle Berechtigungen in der slapd.conf
ausgeschaltet… keine Ãnderung.

Es wÃ¤re manchmal sehr hilfreich wenn man einen einstellbaren Debug-Modus
mit Logging Ã¼ber Syslog o.Ã¤ einschalten kÃ¶nnte… habe ich da was trotz
intensiver Suche Ã¼bersehen? Man kann als Admin ja noch nicht einmal ohne
Umweg Ã¼ber das Openldap Logfile (sofern man es Ã¼berhaupt hat) zwischen
einem falschen Loginnamen oder einem falschen Password unterscheiden…

Meine Systemumgebung:

Fedora Core 4
Kernel 2.6.14-1
Apache 2.0.54
eGroupware 2.0rc8
MySql 4.1.16-1
PHP 5.0.4
Cyrus 2.2.12-6
Postfix 2:2.2.2-2

Authentifizierung und Benutzerkonten im LDAP
(und ich hatte die Anbindung von Cyrus und Postfix per LDAP endlich bis auf
Kleinigkeiten am Laufen)

Wenn noch irgendeine Info gebraucht wird… fragt mich. Ich bin so froh wenn
hier wieder alles lÃ¤uft…

TheUnicorn

This SF.Net email is sponsored by xPML, a groundbreaking scripting language
that extends applications into web and mobile media. Attend the live webcast
and join the prime developer group breaking into this new coding territory!
http://sel.as-us.falkag.net/sel?cmd=lnk&kid=110944&bid=241720&dat=121642

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

ralfbecker_dr 2006-04-06 07:30:03 UTC #2

Hi,

TheUnicorn schrieb:

Hallo,

ich hoffe, daÃŸ irgendwer das hier liest obwohl ich keinen extra Thread
aufmache…

Solltest du das nächste mal unbedingt

Ich habe die letzten Tage mit eGroupware herumgespielt und es lief soweit.
Ich kann mich erinnern, daÃŸ ich als letztes in die emailAdmin Konfiguration
geschaut hatte.
Jetzt habe ich genau das selbe Problem wie shaugk.
“Zugriff verweigert” nach der Anmeldung bei allen Usern. Es ist kein Icon
einer Anwendung sichtbar, immerhin gibt es bei mir noch die MÃ¶glichkeit des
Abmeldens (der Button erscheint noch).

Ich habe nur die Fehlermeldung

Permissions
Attempted to access ‘home’

Dh. der/die User haben keine Ausführungsrechte für die Home Anwendung.

im eGroupware Log gefunden. Kein LDAP, SQL oder sonstige Fehler… es ist
nichts sichtbar
Ich habe dann sicherheitshalber alle Berechtigungen in der slapd.conf
ausgeschaltet… keine Ã„nderung.

Es wÃ¤re manchmal sehr hilfreich wenn man einen einstellbaren Debug-Modus
mit Logging Ã¼ber Syslog o.Ã¤ einschalten kÃ¶nnte… habe ich da was trotz
intensiver Suche Ã¼bersehen? Man kann als Admin ja noch nicht einmal ohne
Umweg Ã¼ber das Openldap Logfile (sofern man es Ã¼berhaupt hat) zwischen
einem falschen Loginnamen oder einem falschen Password unterscheiden…

Das ist absichtlich so. Es erschwert das hacken des Systems. So was ist
leider heute notwendig

Ralf

eGroupWare Training & Support ==> http://www.egroupware-support.de

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

TheUnicorn 2006-04-06 11:05:53 UTC #3

ich hoffe, daÃ irgendwer das hier liest obwohl ich keinen extra Thread
aufmache…
Solltest du das nï¿½chste mal unbedingt
Werde ich beim nÃ¤chsten mal machen. In anderen Foren wird das als
unhÃ¶flich betrachtet.

Jetzt habe ich genau das selbe Problem wie shaugk.
“Zugriff verweigert” nach der Anmeldung bei allen Usern. Es ist kein Icon
einer Anwendung sichtbar, immerhin gibt es bei mir noch die MÃ¶glichkeit
des

Abmeldens (der Button erscheint noch).

Ich habe nur die Fehlermeldung

Permissions
Attempted to access 'home’
Dh. der/die User haben keine Ausfï¿½hrungsrechte fï¿½r die
Home Anwendung.
Und wie kann ich diese Rechte wieder vergeben? Nicht einmal der Admin hat
diese mehr und kann sich nicht mehr anmelden. Die User sind in den
Ldap-Gruppen als Mitglieder eingetragen…
Apropos Ldap… ich habe vorhin mal testweise alles wieder auf SQL
umgestellt… keine Ãnderung.
Mich interessiert neben der Beseitigung des Fehlers vor allem wie es
Ã¼berhaupt dazu kommen konnte.

Es wÃ¤re manchmal sehr hilfreich wenn man einen einstellbaren Debug-Modus
mit Logging Ã¼ber Syslog o.Ã¤ einschalten kÃ¶nnte… habe ich da was trotz
intensiver Suche Ã¼bersehen? Man kann als Admin ja noch nicht einmal ohne
Umweg Ã¼ber das Openldap Logfile (sofern man es Ã¼berhaupt hat) zwischen
einem falschen Loginnamen oder einem falschen Password
unterscheiden…
Das ist absichtlich so. Es erschwert das hacken des Systems. So
was ist leider heute notwendig
Wir reden nicht von der Meldung zum User hin. Wir reden vom internen Log in
der SQL-Datenbank, das auÃer den Admins niemand zu Gesicht bekommt (und wer
das sehen kann, der braucht nicht mehr am Hacken des Systems gehindert zu
werden). Am liebsten wÃ¤re mir sowieso eine Syslog-Anbindung.
Hast Du einmal mit der Anbindung an OpenLdap gekÃ¤mpft?
Mit den Meldungen von eGroupware ist es nicht mÃ¶glich irgendwas
herauszufinden (Berechtigunsgfehler beim Zugriff auf LDAP, Passwordfehler,
Username… usw…). Man muÃ in das so ausfÃ¼hrliche Log vom OpenLdap
einsteigen. Hat eine Weile gedauert bis ich die Logik der Zugriff vom
eGroupware auf Ldap verstanden habe und die Meldungen dann halbwegs
auswerten konnte.
Etwas mehr Meldungen im internen Log vom eGroupware wÃ¤ren da sehr
hilfreich…

TheUnicorn

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

TheUnicorn 2006-04-08 00:14:28 UTC #4

Hallo,

ich habe mich nun mit dem Thema der fehlenden Zugriffberechtigungen auf
meinem System etwas näher beschäftigt…
In der Tabelle egw_acl werden ja die Rechte für die einzelnen Benutzer
zugeordnet.
Gibt es noch eine Tabelle für die Gruppen ? Eine Tabelle phpgw_group o.ä.
gibt es bei mir nicht.

TheUnicorn

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

ralfbecker_dr 2006-04-08 06:18:57 UTC #5

Hi,

egw_acl enthält alle Zugriffsrechte, dh. auch die der Gruppen.
Gruppenrechte kannst Du daran erkennen, dass sie einen negativen
acl_owner haben.

Ralf

TheUnicorn schrieb:

Hallo,

ich habe mich nun mit dem Thema der fehlenden Zugriffberechtigungen auf
meinem System etwas näher beschäftigt…
In der Tabelle egw_acl werden ja die Rechte für die einzelnen Benutzer
zugeordnet.
Gibt es noch eine Tabelle für die Gruppen ? Eine Tabelle phpgw_group o.ä.
gibt es bei mir nicht.

TheUnicorn

This SF.Net email is sponsored by xPML, a groundbreaking scripting language
that extends applications into web and mobile media. Attend the live webcast
and join the prime developer group breaking into this new coding territory!
http://sel.as-us.falkag.net/sel?cmd=k&kid0944&bid$1720&dat1642

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

–
eGroupWare Training & Support ==> http://www.egroupware-support.de

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

TheUnicorn 2006-04-08 17:35:54 UTC #6

Hallo Ralf,

Hi,
egw_acl enthält alle Zugriffsrechte, dh. auch die der Gruppen.
Gruppenrechte kannst Du daran erkennen, dass sie einen negativen
acl_owner haben.

Das ist sehr interessant.
Bei mir enthält die Tabelle egw_acl folgende Einträge:

acl_appname acl_location acl_account acl_rights
phpgw_group -8 9 1
preferences changepassword 9 1
phpgw_group -7 9 1
phpgw_group -10022 0 1
phpgw_group -10023 10013 1
preferences changepassword 10013 1
phpgw_group -10022 10013 1
phpgw_group -10023 0 1
preferences changepassword 0 1
phpgw_group -10023 10018 1
preferences changepassword 10018 1
phpgw_group -10022 10018 1
phpgw_group -10022 10021 1
preferences changepassword 10021 1
preferences changepassword 10022 1
phpgw_group -10022 10022 1
preferences changepassword 10023 1
phpgw_group -10023 10023 1
phpgw_group -10022 10023 1
preferences changepassword 10024 1
phpgw_group -10022 10024 1

Die Zugehörigkeit der Benutzer zu den Gruppen ist daraus ohne Probleme
ersichtlich.
Aber wo sind die Rechte, die eine Gruppe hat?

-10022 ist bei mir die Gruppe Default, aber welche Rechte auf die
Applikationen hat sie? Wo sollte das ersichtlich sein?

TheUnicorn

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

TheUnicorn 2006-04-09 01:38:52 UTC #7

Ich habe in der Zwischenzeit weitere Nachforschungen angestellt…

2 Sachen, die ich nicht nachvollziehen kann, sind hier parallel passiert:

Es wurden wohl Tabellen gelöscht! Nach dem Crash von eGroupware waren nur
noch 108 Tabellen vorhanden. Wobei ich sagen muß, daß ich als erstes 1.2RC6
installiert und dann ein Upgrade auf 1.2RC8 durchgeführt habe.
In der Tabelle egw_acl wurden alle gruppenbezogenen Rechte gelöscht. Die
userbezogenen Rechte waren weiterhin noch da.

Ich habe vor der Neuinstallation der Datenbank einen Export der alten
defekten gemacht. Besteht Interesse daran?

Das ganze muß doch eine Ursache haben ?!? Am virtuellen Server (VMWare
GSX-Server) liegt es wohl nicht. Ich habe noch andere MySql basierende
Applikationen (u.a. Joomla und ein Wiki) hier laufen und da gab es noch
keine derartigen Fehlfunktionen. Und wie sollten sich speziell alle
gruppenbezogenen Rechte in einer Tabelle löschen?

Bevor die Frage aufkommt… der Server ist zur Zeit im Internet nicht
erreichbar (Portforwarding im Router ist ausgeschaltet).

TheUnicorn

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german