Como autenticar usuários em grupos aninhados no Apache LDAP?

Estou trabalhando com autenticação LDAP com a seguinte configuração

 AuthName            "whatever"
 AuthType            Basic
 AuthBasicProvider   ldap
 AuthLDAPUrl         "ldap://server/OU=SBSUsers,OU=Users,OU=MyBusiness,DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
 Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Isso funciona, no entanto, tenho que colocar todos os usuários nos quais quero me autenticar MySpecificGroup. Mas no servidor LDAP eu configurei que MySpecificGrouptambém contém o grupo MyOtherGroupcom outra lista de usuários.

Mas esses usuários MyOtherGroupnão são autenticados, tenho que adicioná-los manualmente MySpecificGroupe basicamente não podemos usar o agrupamento aninhado. Estou usando o Windows SBS 2003.

Existe uma maneira de configurar o Apache LDAP para fazer isso? Ou existe um problema com possível recursão infinita e, portanto, não é permitido?

Você precisa definir AuthLDAPSubGroupDepthpara fazer isso funcionar. O número inteiro que você fornece aqui especifica a profundidade máxima de aninhamento de subgrupos que será avaliada antes que a pesquisa do usuário seja descontinuada.

Adicione isto à sua configuração:

AuthLDAPSubGroupDepth 1

Mais informações: aqui e aqui .

Além disso AuthLDAPSubGroupDepth, disponível apenas no apache 2.4, é possível, ao usar o Microsoft AD LDAP, autorizar usando grupos aninhados usando a regra de correspondência LDAP_MATCHING_RULE_IN_CHAIN. Isso é muito mais rápido do que pesquisar subgrupos no cliente, porque isso é feito no servidor DC com menos consultas na rede.

Require ldap-filter memberof:1.2.840.113556.1.4.1941:=CN=Access to Apache,OU=My Organization Unit,DC=company,DC=com

A sequência 1.2.840.113556.1.4.1941é um OID chamado LDAP_MATCHING_RULE_IN_CHAIN. Esse OID é atribuído pela Microsoft para ser usado com sua implementação LDAP (parte do Active Directory). Você não pode usá-lo com outros servidores LDAP. O formato redeable humano é:iso(1).member_body(2).us(840).microsoft(113556).ad(1).as_schema(4).LDAP_MATCHING_RULE_IN_CHAIN(1941)

Da documentação da Microsoft:

Esta regra é limitada aos filtros que se aplicam ao DN. Este é um operador de correspondência especial "estendido" que percorre a cadeia de ascendência em objetos até a raiz até encontrar uma correspondência.

Veja também:

• http://msdn.microsoft.com/en-us/library/windows/desktop/aa746475%28v=vs.85%29.aspx
• http://httpd.apache.org/docs/2.2/mod/mod_authnz_ldap.html#authorphase

Parece que sua única opção no Apache 2.2 é listar todos os grupos incluídos pelo seu grupo autorizado principal.

Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local

Isso deve ser razoável se seus grupos aninhados não forem muito complicados.

Cruzando domínios do AD (usando dois servidores LDAP)

Você pode configurar o OpenLDAP com a sobreposição slapd_meta em execução no servidor da Web para proxy sua autenticação.

O arquivo /etc/ldap/slapd.conf deve se parecer com:

database meta
suffix   "DC=company,DC=local"
uri      "ldap://a.foo.com/OU=MyBusiness,DC=company,DC=local"
uri      "ldap://b.foo.com/OU=otherdomainsuffix,DC=company,DC=local"

Então, sua sub-rotina mod_authnz_ldap seria algo como:

AuthName            "whatever"
AuthType            Basic
AuthBasicProvider   ldap
AuthLDAPUrl         "ldapi:///DC=company,DC=local?sAMAccountName?sub?(objectClass=*)"
Require ldap-group  CN=MySpecificGroup,OU=Security Groups,OU=MyBusiness,DC=company,DC=local
Require ldap-group  CN=MyOtherGroup,OU=Security Groups,OU=otherdomainsuffix,DC=company,DC=local

Isso exigirá alguma massagem para que funcione, mas acho que essa é a ideia geral.

Embora a solução fornecida por @Mircea_Vutcovici tenha funcionado para mim, minha única crítica é que as pessoas podem ficar melindrosas quando vêem operadores bit a bit em uso.

Por exemplo, entregarei uma instalação do Apache Bloodhound, que usa o Apache HTTPd como front-end com autenticação de grupo do AD, a um grupo de colegas desenvolvedores. Eles terão problemas em lidar com os operadores bit a bit. Administradores não serão tão delicados, é claro ... espero.

Dito isto, tenho uma solução que não usa o operador bit a bit e que não usa várias definições de grupo LDAP.

A seguinte configuração funciona para mim:

<Location /protected>
    # Using this to bind
    AuthLDAPURL "ldap://<MY_SERVER>:3268/<MY_SEARCH_BASE>?sAMAccountName?sub?(objectClass=user)"
    AuthLDAPBindDN "<MY_BIND_DN>"
    AuthLDAPBindPassword "<MY_PASSWORD>"
    LDAPReferrals Off

    AuthType Basic
    AuthName "USE YOUR AD ACCOUNT"
    AuthBasicProvider ldap
    Require ldap-group <MY_PARENT_GROUP>
    AuthLDAPMaxSubGroupDepth 1
    AuthLDAPSubgroupAttribute member
    AuthLDAPSubGroupClass group
    AuthLDAPGroupAttribute member
    AuthLDAPGroupAttributeIsDN on
</Location>

A parte crítica foi a seguinte configuração:

AuthLDAPSubGroupClass group

AuthLDAPMaxSubGroupDepth não funciona por si só, nem quando associado a AuthLDAPSubgroupAttribute. Foi somente quando eu usei AuthLDAPSubGroupClass que a autenticação em subgrupos começou a funcionar ... pelo menos para mim e minha situação.