[eGroupWare-german] Egroupware und Active Directory Authentifizierung?

[d***@gmx.de]

Hallo zusammen,

gibt es eine Möglichkeit die Benutzerauthentifizierung von Egroupware nicht
nur über eine Dantebank oder OpenLDAP etc. zu bewerkstelligen, sondern über
das Active Directory von Microsoft.

Ich habe da schon einige Sachen ausprobiert, ich hatte mit einem Windows
2000 Server sogar erfolg, aber mit dem Windows 2003 Server gelingt es mir
partout nicht eine Authentifizierung ohne Fehlermeldung hinzubekommen.

Im Setup Menu sieht meine Konfig. folgendermaßen aus:

Welche Art der Authentifizierung wollen Sie benutzen: LDAP
Wo wollen Sie die Benutzerkonten speichern: SQL

Wollen Sie Benutzerverzeichnisse und Login-Shell Attribute verwalten?:
LDAP-Vorgabewert für Benutzerverzeichnisse (z.B. /home für /home/username):

LDAP-Vorgabewert für Kommandointerpreter (shell) (z.B. /bin/bash):
LDAP-Host: 10.10.10.10
LDAP-Kontext für Benutzerkonten: dc=muster,dc=int
LDAP Suchfilter für Benutzerkonten, Vorgabe "(uid=%user)", %domain=eGW
Domain: sAMAccountName=%user
LDAP-Kontext für Gruppe:
LDAP rootdn Benutzerkonten suchen und Passwörter ändern):
cn=administrator,cn=Users,dc=muster,dc=int
LDAP-Root-Passwort: mein_passwort
LDAP-Verschlüsselungstyp: DES
LDAP Version 3 verwenden: ja

Wie gesagt diese Konfig. funktioniert unter Windows 2000, aber leider unter
Windows 2003 nicht. Kennt sich vielleicht jemand besser mit der LDAP
Konfiguration aus, denn beim Suchfilter bin ich mir nicht ganz sicher ob das
so richtig ist.

Ach, vielleicht interessiert sich jemand für die Fehlermeldung im Browser,
ich kann damit leider nicht allzuviel anfangen.

Warning: ldap_search(): Search: Operations error in
/srv/www/access/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 67

Warning: ldap_get_entries(): supplied argument is not a valid ldap result
resource in /srv/www/access/egroupware/phpgwapi/inc/class.auth_ldap.inc.php
on line 68

Warning: Cannot modify header information - headers already sent by (output
started at
/srv/www/access/egroupware/phpgwapi/inc/class.auth_ldap.inc.php:67) in
/srv/www/access/egroupware/phpgwapi/inc/class.phpgw.inc.php on line 161


Danke schonmal für eure Antworten!

Gruß

Dirk

[Marcus Franke]

Post by d***@gmx.de
LDAP-Host: 10.10.10.10
LDAP-Kontext für Benutzerkonten: dc=muster,dc=int
LDAP Suchfilter für Benutzerkonten, Vorgabe "(uid=%user)", %domain=eGW
Domain: sAMAccountName=%user
cn=administrator,cn=Users,dc=muster,dc=int
LDAP-Root-Passwort: mein_passwort
LDAP-Verschlüsselungstyp: DES
LDAP Version 3 verwenden: ja
Wie gesagt diese Konfig. funktioniert unter Windows 2000, aber leider unter
Windows 2003 nicht. Kennt sich vielleicht jemand besser mit der LDAP
Konfiguration aus, denn beim Suchfilter bin ich mir nicht ganz sicher ob das
so richtig ist.

Win2003 ist sehr viel stringenter was den Umgang und Zugriff auf
das AD angeht. Versuch mal die Verschlüsselung auf Triple DES
einzustellen.

Ich bin mir recht sicher, dass einfaches DES von deinem DC nur
müde belächelt wird.


Marcus

[Lars Kneschke]

Post by Marcus Franke

LDAP-Host: 10.10.10.10
LDAP-Kontext für Benutzerkonten: dc=muster,dc=int
LDAP Suchfilter für Benutzerkonten, Vorgabe "(uid=%user)", %domain=eGW
Domain: sAMAccountName=%user
cn=administrator,cn=Users,dc=muster,dc=int
LDAP-Root-Passwort: mein_passwort
LDAP-Verschlüsselungstyp: DES
LDAP Version 3 verwenden: ja
Wie gesagt diese Konfig. funktioniert unter Windows 2000, aber leider
unter
Windows 2003 nicht. Kennt sich vielleicht jemand besser mit der LDAP
Konfiguration aus, denn beim Suchfilter bin ich mir nicht ganz sicher ob
dasso richtig ist.

Win2003 ist sehr viel stringenter was den Umgang und Zugriff auf
das AD angeht. Versuch mal die Verschlüsselung auf Triple DES
einzustellen.
Ich bin mir recht sicher, dass einfaches DES von deinem DC nur
müde belächelt wird.

Die DES Verschlüsselung ist in diesem Fall nur die Verschlüsselung des
Benutzerpassworts im LDAP. Das hat nichts mit der Verschlüsselung zwischen
dem LDAP Server und Client zu tun.
Ohne LDAPS sollte auf alle Fälle eine Suche möglich sein.

Dirk:

Bitte teste mal die eGroupWare HEAD Version. Das haben wir dir ADS
Implementation etwas umgeschrieben. Vielleicht hast du damit ja mehr Erfolg.

Lars
--
need Groupware ==> http://www.egroupware.org
hosted eGroupWare ==> http://www.officespot.de
eGroupWare Training ==> http://www.outdoor-training.de/egroupware
Open Business Club ==> https://www.openbc.com/hp/Lars_Kneschke/

[Dirk Wendt]

--- Ursprüngliche Nachricht ---
Betreff: Re: [eGroupWare-german] Egroupware und Active Directory
Authentifizierung?
Datum: Thu, 14 Jul 2005 05:31:14 +0000

Post by Marcus Franke

LDAP-Host: 10.10.10.10
LDAP-Kontext für Benutzerkonten: dc=muster,dc=int
LDAP Suchfilter für Benutzerkonten, Vorgabe "(uid=%user)", %domain=eGW
Domain: sAMAccountName=%user
cn=administrator,cn=Users,dc=muster,dc=int
LDAP-Root-Passwort: mein_passwort
LDAP-Verschlüsselungstyp: DES
LDAP Version 3 verwenden: ja
Wie gesagt diese Konfig. funktioniert unter Windows 2000, aber leider
unter
Windows 2003 nicht. Kennt sich vielleicht jemand besser mit der LDAP
Konfiguration aus, denn beim Suchfilter bin ich mir nicht ganz sicher

ob

Post by Marcus Franke

dasso richtig ist.

Win2003 ist sehr viel stringenter was den Umgang und Zugriff auf
das AD angeht. Versuch mal die Verschlüsselung auf Triple DES
einzustellen.
Ich bin mir recht sicher, dass einfaches DES von deinem DC nur
müde belächelt wird.

Die DES Verschlüsselung ist in diesem Fall nur die Verschlüsselung des
Benutzerpassworts im LDAP. Das hat nichts mit der Verschlüsselung
zwischen
dem LDAP Server und Client zu tun.
Ohne LDAPS sollte auf alle Fälle eine Suche möglich sein.
Bitte teste mal die eGroupWare HEAD Version. Das haben wir dir ADS
Implementation etwas umgeschrieben. Vielleicht hast du damit ja mehr Erfolg.
Lars
--
need Groupware ==> http://www.egroupware.org
hosted eGroupWare ==> http://www.officespot.de
eGroupWare Training ==> http://www.outdoor-training.de/egroupware
Open Business Club ==> https://www.openbc.com/hp/Lars_Kneschke/
-------------------------------------------------------
This SF.Net email is sponsored by the 'Do More With Dual!' webinar
happening
July 14 at 8am PDT/11am EDT. We invite you to explore the latest in dual
core and dual graphics technology at this free one hour event hosted by
HP,
AMD, and NVIDIA. To register visit http://www.hp.com/go/dualwebinar
_______________________________________________
egroupware-german mailing list
https://lists.sourceforge.net/lists/listinfo/egroupware-german

Hallo,

das Problem hat sich (einigermaßen)gelöst und zwar muß im LDAP-Kontext die
OU oder CN angegeben werden in der nach Benutzern gesucht werden soll. Und
zwar gibt es seit dem Windows 2003 Server das Security !FEATURE! das in der
Root-DN nicht mehr gesucht werden darf. Das wars eigentlich schon. Nur ist
das ziemlich bescheiden wenn man in mehreren OU´s in der Root-DN nach
Beutzern suchen möchte. Da habe ich dann das nächste Problem....

Vielen Dank erstmal für eure Antworten, falls jemanden zu meinem neuen
Problem etwas einfällt nur her damit.

Gruß

Dirk

[Lars Kneschke]

Post by Dirk Wendt
das Problem hat sich (einigermaßen)gelöst und zwar muß im LDAP-Kontext die
OU oder CN angegeben werden in der nach Benutzern gesucht werden soll. Und
zwar gibt es seit dem Windows 2003 Server das Security !FEATURE! das in der
Root-DN nicht mehr gesucht werden darf. Das wars eigentlich schon. Nur ist
das ziemlich bescheiden wenn man in mehreren OU´s in der Root-DN nach
Beutzern suchen möchte. Da habe ich dann das nächste Problem....
Vielen Dank erstmal für eure Antworten, falls jemanden zu meinem neuen
Problem etwas einfällt nur her damit.

Soweit ich das Erinnerung habe kommt die HEAD Version ohne solche
Informationen aus.

Wie gesagt, einfach mal testen! :-)
--
Lars Kneschke
Metaways Infosystems GmbH
Pickhuben 4
20457 Hamburg
Germany

E-Mail: mailto:***@metaways.de
Web: http://www.metaways.de
Tel: [phone]
Fax: [phone]
Mobile: [phone]