Wechsel von LDAP zu AD

olafderkleine 2021-01-15 13:43:32 UTC #1

Hallo Forum,
wir haben eine Egroupware-Installation welche die User aus einem alten Linux-LDAP bezieht.
Nun haben wir vor auf die User auf eine Samba-ActiveDirecory umzuziehen.
Das würde dann auch Egroupware betreffen. Dadurch werden sich die UIDs der User ändern.
Nun zu meiner Frage. Können die Beiträge z.B. im Stundenzettel trotzdem identifiziert und dem jeweiligen User zugeordnet werden können?

Danke im Voraus

RalfBecker 2021-01-15 14:21:40 UTC #2

Wenn Du das neue AD/Samba fertig hast, musst Du die EGroupware darauf migrieren, da wir unter AD nicht die LDAP uidNumber und gidNumber verwenden, sonder die RID.

Dafür gibt es ein Script:

github.com

EGroupware/egroupware/blob/master/doc/ad-migration.sh

#!/bin/bash
#
# Usage: ./ad-migration.sh < user.csv | bash
#
# STDIN is csv with: <account_lid>,<account_id>,<AD-user>,<SID>,<RID>
#
# <account_id> has to be negative number for groups (eg. -123 for account_id=123)!
#
# Following command should be used as startpoint for the list:
# mysql -B -e "select account_lid,CASE account_type WHEN 'u' THEN account_id ELSE -account_id END,account_lid FROM egw_accounts ORDER BY account_type!='u',account_lid" egroupware | sed 's/  /,/g'
# Change <AD-user> if not equal to <account_lid> and append ,,<RID> to each line.
#
# If migration to LDAP instead of AD use uidNumber (gidNumber for groups) as <RID>.
# <SID> is NOT used and can be empty.
#
# Change following 2 lines to an EGroupware user with admin rights and his password
#
ADMIN=sysop
PASSWD=PW

This file has been truncated. show original

Das fütterst Du mit einer CSV Datei mit folgendem Inhalt:
<account_lid>,<account_id>,<AD-user>,<SID>,<RID>

Bitte beachten:

Du brauchst nur entweder die SID oder die RID
account_id für Gruppen muss negativ sein
Benutzername und Passwort eines EGroupware Admins müssen im Script eingetragen werden
Die Migration ist nur notwendig, wenn die Benutzer auch im LDAP gespeichert wurden, für eine reine Authentifizierung ist sie NICHT notwendig!

Ansonsten gibt es für solche Business Themen wie immer Support bei uns (EGroupware GmbH).

Ralf

olafderkleine 2021-01-15 14:52:31 UTC #3

Hallo Ralf,
danke für die Antwort.
Könntest du noch näher erklären was <account_lid>,<account_id> ist? Sind das die aus dem LDAP?
Ich habe mal im LDAP nachgesehen:
Ist:
uidNumber=account_lid?
gidNumber=account_id? <-- die ist aberr nicht negativ

Danke im Voraus.

RalfBecker 2021-01-15 15:17:33 UTC #4

Unter LDAP sind:

account_lid: die uid bzw. bei Gruppen cn
account_id: die uidNumber bzw. bei Gruppen die negative gidNumber (z.B. gidNumber=12 --> account_id=-12)

Ralf

olafderkleine 2021-01-18 07:04:50 UTC #5

Danke für die Erkärung.

olafderkleine 2021-02-12 10:23:52 UTC #7

@RalfBecker
Hallo Ralf,
ich habe die AD im Samba fertig.
Nun kommt die Mirgration vom LDAP zu AD im Egroupware. Leider komme ich nicht richtig klar, was in das CSV muss. Hier mal ein Bsp. der Daten eines Users aus dem LDAP:
uid=10001(oln) gid=513(Domain Users) Gruppen=513(Domain Users),10000(Gruppenleit er),10007(Developer)
Die SambaSid = S-1-5-21-3427631640-2464931414-634733155-21002
Der gleiche User im Samba AD:
uid=10001(DEVSRV\oln) gid=100(users) Gruppen=100(users),3000009(BUILTIN\users)
Die Sid aus dem AD: S-1-5-21-1891770480-402553694-2259539990-1109
Nun meine Frage:
Was kommt wo rein in das CSV? Ich bin mir nicht so richtig sicher.
Ein Bsp. für einen User + eine Gruppe wären echt super.

RalfBecker 2021-02-13 07:39:42 UTC #8

Das habe ich doch gepostet:

Also für den Benutzer aus Deinem Beispiel:

oln,10001,oln,S-1-5-21-1891770480-402553694-2259539990-1109

Für eine Gruppe nehme mal die Gruppenleiter (XXXX in der SID ersetzen und die negative gid beachten!):

Gruppenleiter,-10000,Gruppenleiter,S-1-5-21-1891770480-402553694-2259539990-XXXX

Du musst nur SID oder RID angeben, ich habe die SID genommen, die RID wird dann berechnet.

Ansonsten gibt es unseren Support der Dich gerne bei der Migration unterstützt

Ralf

olafderkleine 2021-02-15 08:18:54 UTC #9

Hallo @RalfBecker,
danke für dein Ausführliche Antwort.
Ich habe ich zwar noch ein anderes Problem , aber dafür mach ich ein neues Thema auf.