¿Cómo autenticar usuarios en grupos anidados en Apache LDAP?

He trabajado la autenticación LDAP con la siguiente configuración

 AuthName            "whatever"
 AuthType            Basic
 AuthBasicProvider   ldap
 AuthLDAPUrl         "ldap://server/OU=SBSUsers,OU=Users,OU=MyBusiness,DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
 Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Esto funciona, sin embargo, tengo que poner a todos los usuarios que quiero autenticar MySpecificGroup. Pero en el servidor LDAP que configuré MySpecificGrouptambién contiene el grupo MyOtherGroupcon otra lista de usuarios.

Pero esos usuarios MyOtherGroupno están autenticados, tengo que agregarlos manualmente MySpecificGroupy básicamente no puedo usar la agrupación anidada. Estoy usando Windows SBS 2003.

¿Hay alguna manera de configurar Apache LDAP para hacer esto? ¿O hay un problema con una posible recursión infinita y, por lo tanto, no está permitido?

Tienes que configurar AuthLDAPSubGroupDepthpara que esto funcione. El número entero que proporcione aquí especifica la profundidad máxima de anidación de subgrupos que se evaluará antes de que se suspenda la búsqueda del usuario.

Agregue esto a su configuración:

AuthLDAPSubGroupDepth 1

Más información: aquí y aquí .

Además AuthLDAPSubGroupDepth, eso está disponible solo en Apache 2.4, es posible, cuando se usa Microsoft AD LDAP, hacer una autorización usando grupos anidados usando la regla de coincidencia LDAP_MATCHING_RULE_IN_CHAIN. Esto es mucho más rápido que buscar subgrupos en el cliente, porque se realiza en el servidor DC con menos consultas a través de la red.

Require ldap-filter memberof:1.2.840.113556.1.4.1941:=CN=Access to Apache,OU=My Organization Unit,DC=company,DC=com

La cadena 1.2.840.113556.1.4.1941es un OID llamado LDAP_MATCHING_RULE_IN_CHAIN. Microsoft asigna este OID para usarlo con su implementación LDAP (parte de Active Directory). No puede usarlo con otros servidores LDAP. El formato humano redeable es:iso(1).member_body(2).us(840).microsoft(113556).ad(1).as_schema(4).LDAP_MATCHING_RULE_IN_CHAIN(1941)

De la documentación de Microsoft:

Esta regla se limita a los filtros que se aplican al DN. Este es un operador de coincidencia "extendido" especial que recorre la cadena de ascendencia en los objetos hasta la raíz hasta que encuentra una coincidencia.

Ver también:

• http://msdn.microsoft.com/en-us/library/windows/desktop/aa746475%28v=vs.85%29.aspx
• http://httpd.apache.org/docs/2.2/mod/mod_authnz_ldap.html#authorphase

Parece que su única opción en Apache 2.2 es enumerar todos los grupos incluidos por su grupo autorizado principal.

Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Esto debería ser razonable si sus grupos anidados no son demasiado complicados.

Cruzando dominios AD (usando dos servidores LDAP)

Puede configurar OpenLDAP con la superposición slapd_meta que se ejecuta en su servidor web para representar su autenticación.

/etc/ldap/slapd.conf debería verse más o menos así:

database meta
suffix   "DC=company,DC=local"
uri      "ldap://a.foo.com/OU=MyBusiness,DC=company,DC=local"
uri      "ldap://b.foo.com/OU=otherdomainsuffix,DC=company,DC=local"

Entonces, su estrofa mod_authnz_ldap se vería así:

AuthName            "whatever"
AuthType            Basic
AuthBasicProvider   ldap
AuthLDAPUrl         "ldapi:///DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=otherdomainsuffix,DC=company,DC=local

Esto requerirá un poco de masaje para que funcione, pero creo que esta es la idea general.

Si bien la solución proporcionada por @Mircea_Vutcovici funcionó para mí, mi única crítica es que las personas pueden ser aprensivas cuando ven a operadores bit a bit en uso.

Por ejemplo, entregaré una instalación Apache Bloodhound, que usa Apache HTTPd como front-end con autenticación de grupo AD, a un grupo de desarrolladores. Tendrán problemas para enfrentarse a los operadores bit a bit. Los administradores no serán tan aprensivos, por supuesto ... espero.

Dicho esto, tengo una solución que no usa el operador bit a bit y que no usa múltiples definiciones de grupo ldap.

La siguiente configuración funciona para mí:

<Location /protected>
    # Using this to bind
    AuthLDAPURL "ldap://<MY_SERVER>:3268/<MY_SEARCH_BASE>?sAMAccountName?sub?(objectClass=user)"
    AuthLDAPBindDN "<MY_BIND_DN>"
    AuthLDAPBindPassword "<MY_PASSWORD>"
    LDAPReferrals Off

    AuthType Basic
    AuthName "USE YOUR AD ACCOUNT"
    AuthBasicProvider ldap
    Require ldap-group <MY_PARENT_GROUP>
    AuthLDAPMaxSubGroupDepth 1
    AuthLDAPSubgroupAttribute member
    AuthLDAPSubGroupClass group
    AuthLDAPGroupAttribute member
    AuthLDAPGroupAttributeIsDN on
</Location>

La parte crítica fue la siguiente configuración:

AuthLDAPSubGroupClass group

AuthLDAPMaxSubGroupDepth no funciona por sí solo, ni cuando se combina con AuthLDAPSubgroupAttribute. Fue solo cuando usé AuthLDAPSubGroupClass que la autenticación contra subgrupos comenzó a funcionar ... al menos para mí y mi situación.