LDAP-Verzeichnis/Active Directory (AD)

Für die Authentifizierung/Autorisierung und Synchronisierung von Daten aus einem LDAP-Verzeichnis oder Active Directory (AD) bietet i-doit eine Schnittstelle.

Voraussetzungen

i-doit unterstützt folgende Verzeichnisdienste:

• OpenLDAP
• Microsoft Active Directory (AD)
• Novel eDirectory (früher Directory Services)

Die PHP-Extension php_ldap für die Kommunikation mit einem Active Directory (AD) bzw. LDAP-Verzeichnis muss installiert und aktiviert werden. Wer den Installationsanweisungen gefolgt ist, hat die Extension bereits auf dem System.

Nicht vergessen, LDAP zu erlauben, wenn SELinux verwendet wird. Dazu setsebool -P httpd_can_connect_ldap on verwenden. Das -P steht für Permanent
Überprüfen Sie dies mit getsebool -a | grep httpd

Nachträgliche Installation unter Debian GNU/Linux#

1
2

sudo apt install php-ldap
sudo service apache2 restart

Nachträgliche Installation unter Windows#

Die Datei php.ini (in der Regel unter C:\xampp\php\php.ini) muss angepasst werden. In einem Texteditor aktiviert man das Laden der Extension php_ldap.

Aus der Zeile

1

;extension=php_ldap.dll

wird das ";" entfernt und somit

1

extension=php_ldap.dll

Manchmal kann es noch notwendig sein, die Dateien ssleay32.dll und libeay32.dll (von Version zu Version unterschiedlich, jedoch meist unter C:\xampp\apache\bin\ zu finden) in das Verzeichnis php zu kopieren. Danach muss noch der Apache Webserver neu gestartet werden.

Konfiguration#

Die Konfiguration befindet sich in i-doit unter Verwaltung → Import und Schnittstellen → LDAP. Dort können unter Server zum Einen ein oder mehrere Instanzen konfiguriert und zum Anderen eine Zuweisung von Feldern zu Attributen vorgenommen werden.

Server#

Unter Verwaltung → Import und Schnittstellen → LDAP → Server können ein oder mehrere Instanzen konfiguriert werden. Beim Login werden alle Server nacheinander abgefragt, bis ein Login gefunden wurde. Gibt es mehrere Mandanten, werden alle nacheinander abgefragt und die Datenbanken für den Login angeboten, wenn die Abfrage ein positives Ergebnis geliefert hat.

LDAP Verbindung für Lookups (lesend)#

Bekannte Lösungen für Probleme bei der TLS Verbindung findet Ihr LDAP via TLS

LDAP-Parameter für i-doit-Login#

Die hier angegebenen Parameter bestimmen, wo im Directory nach Benutzern gesucht werden soll.

Des Weiteren kann der Filter noch weiter definiert werden. Bei einer einzigen Filterzeile haben die Optionen dahinter noch keine Auswirkungen. Erst wenn über "Filter hinzufügen" die Abfrage erweitert wird, kommen die weiteren Optionen zur Geltung.

An letzten Filter anhängen:

1

(&(objectClass=user)(test=test))

Als neuen Filter anhängen:

1

(&(objectClass=user)(&(test=test)))

Neuen Term bilden:

1

(&(&(objectClass=user))(test=test))

Im untersten Bereich lässt sich dann die oben festgelegte Konfiguration testen. Bestenfalls erscheint die Meldung:

1
2

Connection OK!
XX object(s) found in OU=tree,OU=synetics,DC=synetics,DC=int.

Sollte bei Misserfolg die Fehlermeldung noch nicht eindeutig genug sein, kann das Debug-Level erhöht werden, sodass weitere Ausgaben im Apache Error Log mitgeschrieben werden. Das Error Log ist unter Debian-basierten Betriebssystemen unter /var/log/apache2/error.log zu finden.

Identifizierung von Objekten#

Ohne weitere Einstellung z.B. Eindeutige Kennung wird anhand des Login Attributes aus der Kategorie Personen → Login identifiziert.

Directories#

Über Verwaltung → Import und Schnittstellen → LDAP → Directorieslässt sich dann das Mapping einrichten. Es wird dafür genutzt, beim Login grundlegende Informationen zu dem einloggenden Benutzer abzufragen und in dem in i-doit zu erstellenden Benutzer abzulegen. Hier kann nach der Auswahl des zutreffenden Directories die Zuweisung vorgenommen werden. Standardmäßig sind die Felder jedoch schon gefüllt und brauchen in der Regel nicht verändert zu werden.

Import eigener LDAP-Attribute#

Es ist auch möglich, eigene Attribute aus dem LDAP über den Import von Personen in den Stammdaten zu hinterlegen. Dafür können weitere Felder für diese Kategorie unter Verwaltung → CMDB-Einstellungen→ Attributerweiterungen konfiguriert werden. Sobald ein Name definiert wurde, wird das Feld mit derselben Bezeichnung angezeigt. Die Befüllung findet dann über den zugehörigen Key statt.

Regelmäßige Synchronisation#

Die dafür benötigte Konfiguration wurde in den vorherigen Schritten bereits vorgenommen. Für die Synchronisation muss nun noch der passende Controller Handler eingerichtet werden. Außerdem können noch weitere zu synchronisierende Felder konfiguriert werden.

Erweiterte Konfiguration#

Die Konfiguration muss in der Handler-Konfiguration vorgenommen werden. Ein Beispiel dazu ist Hier zu finden i-doit < 1.15. Diese Datei kann mit Login-Daten, Tenant und Attributen erweitert und angepasst werden. Die Konfigurationsdatei wird dann nach i-doit/src/handler/config/ verschoben. Damit diese Datei z.B. beim ldap-sync Command berücksichtig wird, muss diese beim sync über einen weiteren Parameter (-c /pfad/) mit angegeben werden (weitere Informationen zur Console).

Automatische Zuweisung von Personen zu Personengruppen#

Die automatische Zuweisung sorgt dafür, dass nach dem Login automatisch die für die Personengruppe festgelegten Berechtigungen zugewiesen werden. Damit die Zuweisung erfolgen kann, muss in den Stammdaten einer Personengruppe das Attribut LDAP-Gruppe (Mapping) mit einer validen Gruppe aus LDAP/AD gefüllt werden. Loggt sich ein Benutzer ein oder wird die Synchronisation ausgeführt, werden automatisch auch die dem Benutzerobjekt im Directory zugewiesenen Gruppen abgefragt und mit dem Attribut LDAP-Gruppe (Mapping) der Personengruppen verglichen. Gibt es eine Übereinstimmung wird die Gruppe zugewiesen und die weiteren Gruppen abgefragt.

Personen und Personengruppen Synchronisieren#

Seit Version 1.15 können Personen und Personengruppen aus dem LDAP/AD synchronisiert werden. Dabei werden die Personen Mitglied der Ihnen im LDAP zugewiesenen Gruppe. Solange die Gruppe auch mit dem eingestelltem Filter gefunden wird.
HIER geht es zum Artikel.

Voraussetzung ist, dass der Benutzer mit dem der Befehl ausgeführt wird auch die Supervisor Rechte auf die Kategorien ("Gruppenmitgliedschaft" und "Personengruppen > Mitglieder") sowie Supervisor Rechte auf die Objekttypen ("Personen" und "Personengruppen") besitzt.

Logging#

Unterhalb von log/ im Installationsverzeichnis von i-doit befindet sich ein Logfile mit dem Namen ldap_debug.txt. Das Logging lässt sich unter Verwaltung → [Mandanten-Name] Verwaltung → Einstellungen für [Mandanten-Name] → Logging → LDAP Debug (de-)aktivieren.

Den ldap-sync ausführen#

Der ldap-sync lässt sich nur über die Console des Servers ausführen. Um die Console richtig bedienen zu können, sollte der Artikel dazu bekannt sein. Eine einfache Synchronisation ohne die erweiterte Konfiguration dient die Option ldap-sync. Eine Beschreibung der Parameter ist im entsprechenden Kapitel zu finden.

Beispiel zur Verwendung

1

sudo -u www-data php console.php ldap-sync --user admin --password admin --tenantId 1 --verbose --ldapServerId 1