Início / user-416748

Florian Straub's questions

Martin Hope
Florian Straub
Asked: 2019-07-25 02:27:42 +0800 CST
  • 1

esse é meu primeiro post aqui, então por favor, seja gentil comigo...

Temos o apache gerenciando o acesso ao nosso servidor subversion. Atualmente, os usuários só podem fazer login com seu sAMAccountName, mas como userPrincipalName (endereço de e-mail) está gradualmente se tornando o ID principal para a maioria dos logins, gostaríamos de oferecer suporte a isso, além de manter o suporte para sAMAccountName.

A abordagem atual que se parece com o seguinte tem a desvantagem de que ambos os nomes de usuário - sAMAccountName e userPrincipalName - precisam ser especificados no svnaccessfile:

<AuthnProviderAlias ldap ldap-sAMAccountName>
    AuthLDAPBindDN "CN=d-svn-ldap,OU=IT-050,OU=Service Accounts,OU=Accounts,OU=Domain Administration,DC=cds,DC=company"
    AuthLDAPBindPassword ***
    AuthLDAPUrl "ldap://server.company:3268/DC=cds,DC=company?sAMAccountName?sub?(objectclass=user)"
</AuthnProviderAlias>
<AuthnProviderAlias ldap ldap-userprincipalname>
    AuthLDAPBindDN "CN=d-svn-ldap,OU=IT-050,OU=Service Accounts,OU=Accounts,OU=Domain Administration,DC=cds,DC=company"
    AuthLDAPBindPassword ***
    AuthLDAPUrl "ldap://server.company:3268/DC=cds,DC=company?userPrincipalName?sub?(objectclass=user)"
</AuthnProviderAlias>

<Location "/our_repo">
DAV svn
SVNPath /svn/repos/our_repo
SVNListParentPath on

AuthzSVNAccessFile /etc/apache2/conf-available/authz_repository_our_repo
Options Indexes Followsymlinks

AuthBasicProvider ldap-sAMAccountName  ldap-userprincipalname

AuthType Basic
AuthName "LDAP authentication"
Require valid-user
# Note that Require ldap-* would not work here, since the
# AuthnProviderAlias does not provide the config to authorization providers
# that are implemented in the same module as the authentication provider.
</Location>

Então, estou procurando uma maneira de especificar apenas userPrincipalNames no svnaccessfile. Eu esperava que AuthLDAPRemoteUserAttribute pudesse ajudar aqui, então adicionei AuthLDAPRemoteUserAttribute userPrincipalNameldap-sAMAccountName que levou a esta mensagem em error.log:

auth_ldap authenticate: REMOTE_USER deveria ser definido com o atributo 'userPrincipalName', mas esse atributo não foi solicitado na consulta LDAP para o usuário. REMOTE_USER retornará ao nome de usuário ou DN conforme apropriado.

É este o caminho certo? Isso é mesmo possível?

Obrigado

Flo

svn