LDAP Authentifizierung & Single Sign On

[huestjan]

Hallo zusammen,

ich habe folgende Frage bzw. ein kleines Problem mit der Authentifizierung.
Zum einen gibt es ja die Möglichkeit sich per LDAP als Customer zu authentifizieren mit den Optionen:

Code: Select all

$Self->{'Customer::AuthModule'} = 'Kernel::System::CustomerAuth::LDAP';
$Self->{'Customer::AuthModule::LDAP::Host'} = 'server.domäne.xx';
$Self->{'Customer::AuthModule::LDAP::BaseDN'} = 'dc=xxx, dc=xxx';
$Self->{'Customer::AuthModule::LDAP::UID'} = 'sAMAccountName';
$Self->{'Customer::AuthModule::LDAP::UserSuffix'} = '@domäne.xx';

Nutzt man diese Option muss der Customer seinen Benutzer (ohne Suffix) und sein Kennwort angeben und ist drin.

Wir haben es momentan so realisiert, das es mit Single Sign On funktioniert. Dies geht aber nur, wenn man als CustomerUser1 und CustomerUser2 folgenden Code verwendet:

Code: Select all

    # CustomerUser1
    $Self->{CustomerUser1} = {
      Module => 'Kernel::System::CustomerUser::LDAP',
      Params => {
        Host => 'server.domäne.xx',
        BaseDN => 'dc=xx,dc=xx',
        SSCOPE => 'sub',
        UserDN => 'cn=xx,ou=xx,dc=xx,dc=xx',
        UserPw => 'xxx',
        AlwaysFilter => '',
        SourceCharset => 'utf-8',
       DestCharset => 'iso-8859-1',
      },
      CustomerKey => 'userPrincipalName',
      CustomerID => 'mail',
      CustomerUserListFields => ['givenname', 'sn', 'mail'],
      CustomerUserSearchFields => ['sAMAccountName', 'givenname', 'sn', 'mail'],
      CustomerUserSearchPrefix => '',
      CustomerUserSearchSuffix => '*',
      CustomerUserSearchListLimit => 250,
      CustomerUserPostMasterSearchFields => ['mail'],
      CustomerUserNameFields => ['givenname', 'sn'],
      Map => [
        [ 'UserFirstname', 'Firstname', 'givenname', 1, 1, 'var' ],
        [ 'UserLastname', 'Lastname', 'sn', 1, 1, 'var' ],
        [ 'UserLogin', 'Login', 'sAMAccountName', 1, 1, 'var' ],
        [ 'UserEmail', 'Email', 'mail', 1, 1, 'var' ],
        [ 'UserCustomerID', 'CustomerID', 'mail', 0, 1, 'var' ],
        [ 'UserPhone', 'Phone', 'telephonenumber', 1, 0, 'var' ],
        ],
    };

    # CustomerUser2
    $Self->{CustomerUser2} = {
      Module => 'Kernel::System::CustomerUser::LDAP',
      Params => {
        Host => 'server.domäne.xx',
        BaseDN => 'dc=xx,dc=xx',
        SSCOPE => 'sub',
        UserDN => 'cn=xx,ou=xx,dc=xx,dc=xx',
        UserPw => 'xxx',
        AlwaysFilter => '',
        SourceCharset => 'utf-8',
        DestCharset => 'iso-8859-1',
      },
      CustomerKey => 'sAMAccountName',
      CustomerID => 'mail',
      CustomerUserListFields => ['givenname', 'sn', 'mail'],
      CustomerUserSearchFields => ['givenname', 'sn',],
      CustomerUserSearchPrefix => '',
      CustomerUserSearchSuffix => '*',
      CustomerUserSearchListLimit => 250,
      CustomerUserPostMasterSearchFields => ['mail'],
      CustomerUserNameFields => ['givenname', 'sn'],
      Map => [
        [ 'UserFirstname', 'Firstname', 'givenname', 1, 1, 'var' ],
        [ 'UserLastname', 'Lastname', 'sn', 1, 1, 'var' ],
        [ 'UserLogin', 'Login', 'sAMAccountName', 1, 1, 'var' ],
        [ 'UserEmail', 'Email', 'mail', 1, 1, 'var' ],
        [ 'UserCustomerID', 'CustomerID', 'mail', 0, 1, 'var' ],
        [ 'UserPhone', 'Phone', 'telephonenumber', 1, 0, 'var' ],
      ],
    };

SSO funktioniert zwar auch nur mit dem Code von CustomerUser1 (userPrincipalName) nur bleibt dann die Ticketübersicht, die Kundeninfo, etc. leer weil er den Usernamen nicht kennt (User@dömane.xx). Deshalb ist der Code von CustomerUser2 wichtig (sAMAccountName - User ohne Suffix).

Das Problem ist, das durch die Nutzung zweier Abfragen auf das LDAP jetzt beim anlegen eines Telefontickets alle User in der Suche doppelt erscheinen. Kann man die Suche evtl. im Modul oder wo auch immer auf CustomerUser1 oder CustomerUser2 ändern?

Vielen Dank im Voraus
Huestjan

[maeck]

Hallo huestjan,

ich stehe gerade vor dem Problem, ebenfalls eine SingleSignOn Lösung zu realiesieren.
Wie hast du es umgesetzt, dass die Kunden automatisch eingeloggt werden?

maeck