Auth gegen LDAP und DB trennen

[steste123]

Hallo zusammen,
aktuell habe ich zwei Verifizierungsquellen - entweder per LDAP oder mySQL-DB. Kann ich dies ggf. noch verfeinern, also sodass eine bestimmte Agentengruppe oder Nutzer mit einem bestimmten Schema sich nur mit der LDAP-Abfrage authentifizieren und die andere Gruppe nur an der DB.

[steste123]

Jemand eine Idee?

[KlausNehrer]

LDAP und MySQL beide jeweils für Agenten und Kunden? Und jeder steht in beiden?
Da wäre vielleicht eine Einschränkung der BASE DN für LDAP denkbar. Oder ein "wrapper" dazwischen.

[steste123]

Dies gilt aktuell ausschließlich für Agenten. Wir haben zwei Departments bei uns die als Agenten arbeiten, die einen kann ich gegen unser AD prüfen lassen, die anderen nur per OTRS-DB.

[steste123]

Hat jemand eine Idee?

[nd0]

Du fragst hier nach einer Lösung zu der irgendwie kein Problem existiert:

Kann ich dies ggf. noch verfeinern, also sodass eine bestimmte Agentengruppe oder Nutzer mit einem bestimmten Schema sich nur mit der LDAP-Abfrage authentifizieren und die andere Gruppe nur an der DB.

So schilderst du das Problem ...

[...] die einen kann ich gegen unser AD prüfen lassen, die anderen nur per OTRS-DB.

... enstspricht doch genau der hier geschilderten Situation - oder?

[steste123]

Korrekt - es gibt kein Problem/Fehler. Aber ich habe die Situation, dass ich zwei Auth.-Server habe (mySQL sowie das lokale AD).

Gerne erkläre ich es nochmal genauer.

Ist-Zustand:
60 Agenten in 2 Gruppen.
Gruppe A und Gruppe B

Als Authentifizierung sind verfügbar die OTRS-MySQL-Datenbank sowie das lokale AD.

Gruppe A authentifiziert sich ausschließlich über das AD, es besteht jedoch die Möglichkeit sich mit einem eigenen OTRS-Kennwort (mysql) einzuloggen.
Gruppe B kann sich nur mit dem OTRS-Kennwort authentifizieren, da es hierzu keine Einträge im AD gibt.

Was ich nun erreichen möchte:

Gruppe A darf sich NUR gegen das AD authentifizieren und nicht gegen die mySQL.
Gruppe B hingegen soll nur gegen die mySQL-DB - damit es weniger Einträge im Error-Log gibt.

[KlausNehrer]

Also geht es nur um Gruppe A. Da stellt sich die Frage, wenn die Anmeldung für Gruppe A nur über das AD erfolgen soll, warum deren Mitglieder dann eine Anmeldung in der OTRS DB besitzen müssen?

[nd0]

Gruppe A authentifiziert sich ausschließlich über das AD, es besteht jedoch die Möglichkeit sich mit einem eigenen OTRS-Kennwort (mysql) einzuloggen.

Nochmal EXPLIZIT: Die Agenten in Gruppe A können sich mit zwei UNTERSCHIEDLICHEN Passwörtern anmelden?

[steste123]

Ja korrekt. Gruppe A hat Agenten welche ein AD Konto und einen Eintrag in der OTRS-mySQL haben. Sie dürfen sich aber nur mit dem AD-Konto anmelden. Dennoch ist es technisch ja aktuell gegeben, dass die sich auch theoretisch mit dem mysql-Kennwort einloggen können.

[nd0]

Hast du das mal überprüft? Bist du sicher, dass man sich als Agent der Gruppe A mit zwei UNTERSCHIEDLICHEN Passwörtern anmelden kann?

[steste123]

Ja ist möglich, da ich in der Config.pm beide Auth.-Möglichkeiten drin stehen habe. Gruppe B muss sich ja gegen die DB authentifizieren.

[KlausNehrer]

Was spricht dagegen, die Agenten der Gruppe A in der OTTS DB zu deaktivieren?

[steste123]

Meinst du tatsächlich die Agenten auf "ungültig" zu setzen? Dann können die sich doch gar nicht mehr anmelden? Oder habe ich eine Funktion übersehen?

[KlausNehrer]

Ja ist möglich, da ich in der Config.pm beide Auth.-Möglichkeiten drin stehen habe. Gruppe B muss sich ja gegen die DB authentifizieren.

Die Frage war, ob der Agent aus Gruppe A mit zwei unterschiedlichen Passwörtern anmelden kann! Nicht, ob das in der config steht! Es gilt eigentlich das "first matched".
Welche Auth steh an erster Stelle?

[KlausNehrer]

Meinst du tatsächlich die Agenten auf "ungültig" zu setzen? Dann können die sich doch gar nicht mehr anmelden? Oder habe ich eine Funktion übersehen?

?
Wenn sie doch im AD existieren? Steht die AD Auth an erster Stelle? Wenn ja, spielen die in der DB keine Rolle.
Haben die AD Agent Tickets als DB Agent bearbeitet? Wenn nein, könntest Du sie auch löschen.

Nach euren Prozessen mag ich net fragen ...

[steste123]

Config.pm
1. LDAP
2. mysql


Ich kann mich mit selbst mit dem Kennwort aus dem AD und dem Kennwort aus der mysql erfolgreich anmelden.

Ich glaube ich habe Verständnisproblem was die Differenzierung zwischen einem Agenten aus dem DB und/oder LDAP angeht.
Wenn sich ein Agent per LDAP anmelden soll, muss doch ein Agent in der DB existieren oder nicht?