Single Sign On mit LPAD

[msiever]

Hallo,

dieses Thema kommt taucht hier sehr oft auch dennoch habe ich bis jetzt nicht gefunden was mir bei meinem Problem hilft:

Ich habe OTRS 3.0.10 auf einem Debian installiert und habe OTRS so eingerichtet das die Kundendaten aus dem AD kommen sprich LPAD.

Als Sahnehäubchen möchte ich noch die Single Sign on Funktion nutzen:


Hier meine Config:

Apache2.conf

Code: Select all

KeepAlive On

otrs.conf

Code: Select all

<Location /otrs>
  PerlAuthenHandler Apache2::AuthenNTLM
  AuthType ntlm,basic
  AuthName Basic
  require valid-user
  PerlAddVar ntdomain intern.xxx.de 128.x.x.x
  PerlSetVar defaultdomain intern.xxx.de
  PerlSetVar splitdomainprefix 1
</Location>

Config.pm

Code: Select all

  #------------------------------------------------------#
    # Kundenanmeldung per LPAD                             #
    #------------------------------------------------------#

    $Self->{'Customer::AuthModule'} = 'Kernel::System::CustomerAuth::HTTPBasicAuth';
   # $Self->{'Customer::AuthModule'} = 'Kernel::System::CustomerAuth::LDAP';
    #$Self->{'Customer::AuthModule::LDAP::Host'} = '128.xxxxxx';
    #$Self->{'Customer::AuthModule::LDAP::BaseDN'} = 'OU=DNT1xxx, DC=intern, DC=xx, DC=de';
    #$Self->{'Customer::AuthModule::LDAP::UID'} = 'sAMAccountName';
    #$Self->{'Customer::AuthModule::LDAP::SearchUserDN'} = 'xxxx@intern.xxx.de';
    #$Self->{'Customer::AuthModule::LDAP::SearchUserPw'} = 'xxxxx';
    #$Self->{'Customer::AuthModule::LDAP::Params'} = {
      #      port => 389,
       #     timeout => 120,
        #   async => 0,
         #   version => 3,
           #            };

     $Self->{CustomerUser} = {
      Module => 'Kernel::System::CustomerUser::LDAP',
      Params => {
      Host => '128.xxxxx',
      BaseDN => 'OU=DNT1xxx, DC=intern, DC=xxx, DC=de',
      SSCOPE => 'sub',
      UserDN => 'xxx@intern.xx.de',
      UserPw => 'xxx',
      SourceCharset => 'utf-8',
      DestCharset => 'utf-8',
      },
       CustomerKey => 'sAMAccountName',
       CustomerID => 'mail',
       CustomerUserListFields => ['sAMAccountName', 'cn', 'mail'],
       CustomerUserSearchFields => ['sAMAccountName', 'cn', 'mail'],
       CustomerUserPostMasterSearchFields => ['mail'],
       CustomerUserNameFields => ['givenname', 'sn'],
   Map => [
       # note: Login, Email and CustomerID needed!
     #   var, frontend, storage, shown, required, storage-type
     # [ 'UserSalutation', 'Title', 'title', 1, 0, 'var' ],
       [ 'UserFirstname', 'Firstname', 'givenname', 1, 1, 'var' ],
       [ 'UserLastname', 'Lastname', 'sn', 1, 1, 'var' ],
       [ 'UserLogin', 'Login', 'sAMAccountName', 1, 1, 'var' ],
       [ 'UserEmail', 'Email', 'mail', 1, 1, 'var' ],
       [ 'UserCustomerID', 'CustomerID', 'mail', 0, 1, 'var' ],
       [ 'UserPhone', 'Phone', 'telephonenumber', 1, 0, 'var' ],
       # [ 'UserAddress', 'Address', 'postaladdress', 1, 0, 'var' ],
      # [ 'UserComment', 'Comment', 'description', 1, 0, 'var' ],
       ],
       };

/var/log/apache2/error.log sagt wenn ich versuche mich zuverbinden:

Code: Select all

[Thu Oct 27 14:31:19 2011] [error] No PDC and no fallbackdomain given for domain intern.fsb.de
[Thu Oct 27 14:31:19 2011] [error] Cannot get nonce

Der InternetExplorer sagt nur:

Code: Select all

Forbidden
You don't have permission to access /otrs/customer.pl on this server.

Edit:

Packet libapache2-authenntlm-perl ist außerdem auch installiert!


Was mache ich falsch?


Danke schon mal!

Gruß

Manuel

[msiever]

Und hoch !

[msiever]

niemand eine Idee?

[msiever]

Und hoch !

[root]

Zeig doch mal die Konfiguration von dem NTLM-Modul des Apache.

[TheDude]

ein Versuch wäre:

Gib mal unter "UserDN => 'xxx@intern.xx.de'," den kompletten Pfad im AD an

z.B.

UserDN => 'cn=xxx,ou=xxx,ou=Users,ou=xxx,dc=xxx,dc=de',

Das ist zumindest der Unterschied zu meiner Konfiguration. Bei mir werden die Anmeldedaten der Kunden auch weiter gegeben.

Funktioniert die LDAP -Anbindung bei Dir ohne die HTTP-Authentifizierung? Können sich die Kunden bei Dir mit user und pass anmelden?

[msiever]

Ja

Otrs zieht sich sonst ohne Probleme die Daten aus dem AD. Login per AD user etc. klappt ohne sso seht gut.

Ich teste mal deinen Vorschlag!