{"id":24,"date":"2007-04-12T19:12:32","date_gmt":"2007-04-12T17:12:32","guid":{"rendered":"http:\/\/www.instruyete.org\/?p=24"},"modified":"2007-04-12T19:12:32","modified_gmt":"2007-04-12T17:12:32","slug":"apache-ldap-require-group","status":"publish","type":"post","link":"https:\/\/www.instruyete.org\/?p=24","title":{"rendered":"Apache + LDAP + require group"},"content":{"rendered":"

ist ein Albtraum \ud83d\ude41
\nW\u00e4hrend die Bereitstellung von Gruppeninformationen via openLDAP \u00fcber die PAM-Module nur den Eintrag objectClass: posixGroup<\/em> in der LDAP Datenbank ben\u00f6tigte, ignoriert Apache (alle Versionen) bei der Gruppenidentifizierung diesen Eintrag und verlang stattdessen objectClass: groupOfNames<\/em>.<\/p>\n

Dieses Problem hat man sich sofort eingehandelt wenn der Zugriff auf den Webserver via WebDAV – oftmals bei subversion Repositories – erfolgt. Folgendes Beispiel wird niemanden aus der Gruppe mygroup<\/em> authentifizieren, solange diese in der LDAP Datenbank nur von objectClass: posixGroup<\/em> abgeleitet ist.<\/p>\n

...<\/pre>\n
DAV svn<\/pre>\n
SVNPath \/var\/svn\/test1<\/pre>\n
...<\/pre>\n
AuthName \"Subversion Repository test1\"<\/pre>\n
AuthType Basic<\/pre>\n
AuthLDAPURL ldap:\/\/myhost\/o=myorg,c=de?uid?sub<\/pre>\n
require group cn=mygroup,ou=groups,o=myorg,c=de<\/pre>\n
... ...<\/pre>\n
Folgende rot gekennzeichnete \u00c4nderungen sind in der LDAP db n\u00f6tig (hier ein .ldif Auszug):<\/p>\n\n\n\n\n\n\n\n\n\n
dn<\/td>\ncn=mygroup,ou=groups,o=myorg,c=de<\/td>\n<\/tr>\n
objectClass<\/font><\/td>\ntop<\/font><\/td>\n<\/tr>\n
objectClass<\/font><\/td>\ngroupOfNames<\/font><\/td>\n<\/tr>\n
objectClass<\/td>\nposixGroup<\/td>\n<\/tr>\n
member<\/font><\/td>\ncn=mymember,ou=people,ou=mydepartment,o=myorg,c=de<\/font><\/td>\n<\/tr>\n
memberUid<\/td>\nmymember<\/td>\n<\/tr>\n
cn<\/td>\nmygroup<\/td>\n<\/tr>\n
gidNumber<\/td>\n600<\/td>\n<\/tr>\n<\/table>\n
Leider meldet die LDAP Datenbank beim einf\u00fcgen\/modifizieren eine „class violation“.
\nDer Grund ist dass anstatt des nis.schema<\/strong> das rfc2307bis.schema<\/strong> geladen werden muss. Beide sind inkompatibel zueinander. Nach dem Wechsel des Schemas m\u00fcssen aber alle Gruppen sofort angepasst werden. Siehe dazu auch<\/p>\n