Verschiedene Rechte werden Synchronisiert

[dgoeger]

Hallo zusammen,

wir haben vor ein paar tagen von OTRS4 auf die aktuell OTRS5 upgedatet.
Nun besteht das Problem, dass die Agent bei jeder Anmeldung unterschiedliche Rechte bekommen.
Rechte werde bei uns über AuthSyncModule::LDAP zugewießen also über AD-Gruppen.
Dies schein laut Log auch zu funktionieren, allerdings werden im Backend die Falschen Gruppenzuordnungen angezeigt und auch die Rechte auf Queues etc. sind entsprechend falsch.

Kann mir jemand einen Gedankenanstoß geben, woran dies liegen könnte?

MfG
Dominik

[wurzel]

Hi,

ohne Logfiles wird's schwer. Ohne ein Einblick in Deine Config auch.

Flo

[dgoeger]

Hi wurzel,

welche log-Files benötigst du denn die ganz normalen Einträge aus der SysLog?
Config kann ich dir mal einen Ausschnitt geben:

# AuthSyncModule::LDAP::UserSyncInitialGroups
# (sync following group with rw permission after initial create of first agent
# login)
$Self->{'AuthSyncModule::LDAP::UserSyncInitialGroups'} = [
'users',
];

################################################ Rechte #####################################################

$Self->{'AuthSyncModule::LDAP::UserSyncGroupsDefinition'} = {
'CN=xxx,OU=yyy,OU=zzz,DC=domain,DC=local=> {
'users' => { rw => 1, },
'faq' => { rw => 1, },
'itsm-configitem' => { rw => 1, },
'G-1' => { rw => 1, },
'G-2' => { rw => 1, },
'G-3' => { rw => 1, },
'G-4' => { rw => 1, },
'G-5' => { rw => 1, },
'G-6' => { rw => 1, },
'G-7' => { rw => 1, },
},
};

So sind die alle Rechte gesynct ...

Gruß Dominik

[wurzel]

Hi,

Config schaut gut aus.
was schreibt der ins Log wenn du Dich anmeldest. apache log + syslog

viele Grüße
Flo

[dgoeger]

/var/log/apache2/other_vhosts_access.log <==
hostname.domain.local:443 XXX.XXX.XXX.XXX - - [01/Apr/2016:11:09:27 +0200] "GET /otrs/index.pl HTTP/1.1" 401 952 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; rv:45.0) Gecko/20100101 Firefox/45.0"
hostname.domain.local:443 XXX.XXX.XXX.XXX - USERNAME@DOMAIN.LOCAL [01/Apr/2016:11:09:27 +0200] "GET /otrs/index.pl HTTP/1.1" 200 19430 "-" "Mozilla/5.0 (Windows NT 10.0; WOW64; rv:45.0) Gecko/20100101 Firefox/45.0"
hostname.domain.local:443 XXX.XXX.XXX.XXX - - [01/Apr/2016:11:09:29 +0200] "POST /otrs/index.pl HTTP/1.1" 401 807 "https://ticketsystem/otrs/index.pl?http ... s/index.pl?" "Mozilla/5.0 (Windows NT 10.0; WOW64; rv:45.0) Gecko/20100101 Firefox/45.0"
hostname.domain.local:443 XXX.XXX.XXX.XXX - USERNAME@DOMAIN.LOCAL [01/Apr/2016:11:09:29 +0200] "POST /otrs/index.pl HTTP/1.1" 200 2710 "https://ticketsystem/otrs/index.pl?http ... s/index.pl?" "Mozilla/5.0 (Windows NT 10.0; WOW64; rv:45.0) Gecko/20100101 Firefox/45.0"
hostname.domain.local:443 XXX.XXX.XXX.XXX - - [01/Apr/2016:11:09:30 +0200] "-" 408 112 "-" "-"

==> /var/log/syslog <==
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group users!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-1!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-2!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group faq!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group itsm-configitem-Admins!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-3!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-4!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-5!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-6!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-7!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-8!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-9!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-10!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-11!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-12!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group G-13!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: 'USERNAME' sync ldap group itsm-configitem!
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::HTTPBasicAuth::Auth] User: USERNAME authentication ok (REMOTE_ADDR: XXX.XXX.XXX.XXX).
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: USERNAME not in CN=G-1,DC=domain,DC=local)'! (REMOTE_ADDR: XXX.XXX.XXX.XXX).
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: USERNAME not in CN=G-2,DC=domain,DC=local)'! (REMOTE_ADDR: XXX.XXX.XXX.XXX).
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: USERNAME not in CN=G-3,DC=domain,DC=local)'! (REMOTE_ADDR: XXX.XXX.XXX.XXX).
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: USERNAME not in CN=G-4,DC=domain,DC=local)'! (REMOTE_ADDR: XXX.XXX.XXX.XXX).
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: USERNAME not in CN=G-5,DC=domain,DC=local)'! (REMOTE_ADDR: XXX.XXX.XXX.XXX).
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: USERNAME not in CN=G-6,DC=domain,DC=local)'! (REMOTE_ADDR: XXX.XXX.XXX.XXX).
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: USERNAME not in CN=G-7,DC=domain,DC=local)'! (REMOTE_ADDR: XXX.XXX.XXX.XXX).
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: USERNAME not in CN=G-8,DC=domain,DC=local)'! (REMOTE_ADDR: XXX.XXX.XXX.XXX).
Apr 1 11:15:11 hostname OTRS-CGI-85[2696]: [Notice][Kernel::System::Auth::Sync::LDAP::Sync] User: USERNAME not in CN=G-9,DC=domain,DC=local)'! (REMOTE_ADDR: XXX.XXX.XXX.XXX).

[dgoeger]

Aber die Gruppen die er sagt bekomme ich nicht ....

hier die Check-Liste der USER-Gruppen-zuweisung (ohne Gruppenname und USER)

OTRSFalsch.png

Melde ich mich ab und wieder an kommt eine Realistischere Gruppenzuweisung raus:

OTRSRichtig.png

Wenn ich mich jetzt wieder ab / anmelde kommen wieder die Falschen gruppen ...
Einträge in der Log bleiben aber die gleichen ...
Ich bin am verzweifeln

[wurzel]

Hi,

wie? Einmal geht's einmal nicht?

In der Summe schauts ja echt gut aus. Wir machen Agent <-> Rollen Zuweisung aus dem LDAP seit 3.0.x und das klappt auch mit der aktuellen 5 hervorragend.

Was da bei dir falsch is? puh... kann nix falsches finden

Flo

[reneeb]

http://bugs.otrs.org/show_bug.cgi?id=11614

[wurzel]

Hi,

ahh cool. ist das dann in der aktuellen Version gefixt?

Flo

[reneeb]

Im Changelog konnte ich nichts finden... Also eher nein.

[dgoeger]

Richtig einmal gehts einmal nicht

@reneeb Vielen dank scheinbar lag es gena daran ... zumindest habe ich mich jetzt ca. 10x neu eingeloggt und die gruppen passen