Probleme mit Gruppenzugehörigkeit von Agenten

[dagobert]

Hallo zusammen,

ich habe hier ein Problem das ich nicht so recht zuordnen kann.

Zur Umgebung:

Wir haben zwei OTRS im Einsatz (3.3.10)

Auf OTRS 1 wird die Berechtigungsvergabe ausschließlich in der GUI über Rollen und Gruppen gehändelt.
Hier können Agenten in mehrern Gruppen sein ohne das es Probleme gibt.

Auf OTRS2 wird die Berechtigungsvergabe ausschließlich über Win AD geregelt.
Wenn hier ein Agent in mehrern Gruppen in der AD eingetragen werden, dann werden die Rechte überschrieben. D. h. die Gruppenzugehörigkeit wird aus config.pl ausgelesen und die, die zuletzt ausgelesen wurde, deren Rechte werden für den Agenten angewendet.

Frage:
Wie kann ich erreichen, dass der Agent auch bei der AD Version in mehrern Gruppen Rechte erlangen kann.

Beispiel der AD Rechte in config.pl

# ldap group GG_OTRS_Fachanwendungen
'cn=GG_OTRS_Fachanwendungen,ou=OTRS,ou=Gruppen,DC=OFFICE,DC=BLE,DC=DE' => {
# otrs group Fachanwendungen
'Datensicherung' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 1,
ro => 1,
},
'Datenbanken' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 1,
ro => 1,
},
'Endgeraete' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 1,
ro => 1,
},
'Fachanwendungen' => {
# permission
rw => 1,
},
'IT-Betrieb' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 1,
ro => 1,
},
'Kommunikationsdienste' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 1,
ro => 1,
},
'Netzwerk' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 1,
ro => 1,
},
'Monitoring' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 1,
ro => 1,
},
'Server_Betriebssysteme' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 1,
ro => 1,
},
'Rechenzentrum' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 1,
ro => 1,
},
'faq' => {
# permission
rw => 1,
},
'faq_admin' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 0,
create => 0,
move_into => 0,
ro => 0,
},
'faq_approval' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 0,
create => 0,
move_into => 0,
ro => 0,
},
'admin' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 0,
create => 0,
move_into => 0,
ro => 0,
},
'stats' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 0,
create => 0,
move_into => 0,
ro => 1,
},
'users' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 0,
ro => 1,
},
},
# ldap group GG_OTRS_IT-Hotline
'cn=GG_OTRS_IT-Hotline,ou=OTRS,ou=Gruppen,DC=OFFICE,DC=BLE,DC=DE' => {
# otrs group IT-Hotline
'IT-Hotline' => {
# permission
rw => 1,
},
'admin' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 0,
create => 0,
move_into => 0,
ro => 0,
},
'faq' => {
# permission
rw => 1,
},
'faq_admin' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 0,
create => 0,
move_into => 0,
ro => 0,
},
'faq_approval' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 0,
create => 0,
move_into => 0,
ro => 0,
},
'stats' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 0,
create => 0,
move_into => 0,
ro => 1,
},
'users' => {
# permission
rw => 0,
priority => 0,
owner => 0,
note => 1,
create => 0,
move_into => 0,
ro => 1,
},
},

Danke.

Viele Grüße,
R. Kaiser

[jojo]

benutze auch hier Rollen und mach dann ein AD Gruppen -> OTRS Rollen Matching

[dagobert]

Hallo Jojo,

ich habe da keinerlei Erfahrung mit.

Wie würde ich das denn einrichten?

Hast Du da ein kleines Beispiel?

Danke

Gruß,
Reinhold

[jojo]

siehe Defaults.pm für die LDAP Anbindung

[dagobert]

Hallo joj,

die AD/LDAP Anbindung ist ja bereits realisiert und funktioniert.

Ich meinte als Beispiel wei ich das Ganze verbinde.

Meinst Du damit in der GUI Rollen einrichten und die vorhandenen Gruppen dann zuordnen, so als wenn ich alles über die GUI mache?

Dann wäre das kein Problem.

Gruß,
Reinhold

[jojo]

genau so. Allerdings musst Du auch den LDAP Sync in der Config.pm anpassen

[dagobert]

Hallo jojo,

alles klar und Danke!

Gruß,
Reinhold