OTRS LDAP Anbindungen und Autorollen

[ABrandt]

Hallo,

ich habe schon mal in ähnlicher Sache hier im Forum gepostet.
Die Anbindung an den LDAP als solches geht, nur frage ich mich ob man den Code nicht vereinfachen kann?

Ich Authentifiziere z.Z. 12 unterschiedliche AD Gruppen, für jeden Gruppe sieht das wie folgt aus:

Code: Select all

        
        $Self->{'AuthModule'} = 'Kernel::System::Auth::LDAP';
        $Self->{'AuthModule::LDAP::Host'} = 'emeadc01.dc1.dc2.dc3';
        $Self->{'AuthModule::LDAP::BaseDN'} = 'DC=dc1,DC=dc2,DC=dc3';
        $Self->{'AuthModule::LDAP::GroupDN'} = 'CN=ADGROUP1,OU=Organizational,OU=Groups,OU=DE,DC=dc1,DC=dc2,DC=dc3';
        $Self->{'AuthModule::LDAP::AccessAttr'} = 'member';
        $Self->{'AuthModule::LDAP::UID'} = 'sAMAccountName';
        $Self->{'AuthModule::LDAP::SearchUserDN'} = 'otrsauth@dc1.dc2.dc3';
        $Self->{'AuthModule::LDAP::SearchUserPw'} = 'password';
        $Self->{'AuthModule::LDAP::Params'} = {
                port => 3268,
                timeout => 120,
                async => 0,
                version => 3,
        };
                               # Sync data with OTRS DB
        $Self->{'UserSyncLDAPMap'};
        $Self->{'AuthSyncModule'} = 'Kernel::System::Auth::Sync::LDAP';
        $Self->{'AuthSyncModule::LDAP::Host'} = 'emeadc01.dc1.dc2.dc3';
        $Self->{'AuthSyncModule::LDAP::BaseDN'} = 'DC=dc1,DC=dc2,DC=dc3';
        $Self->{'AuthSyncModule::LDAP::UID'} = 'sAMAccountName';
        $Self->{'AuthSyncModule::LDAP::SearchUserDN'} = 'otrsauth@dc1.dc2.dc3';
        $Self->{'AuthSyncModule::LDAP::SearchUserPw'} = 'password';
        $Self->{'AuthSyncModule::LDAP::UserSyncMap'} = {

                # DB -> LDAP
                UserFirstname => 'givenName',
                UserLastname  => 'sn',
                UserEmail     => 'mail',
        };

        # AuthSyncModule::LDAP::UserSyncInitialGroups
        # (sync following group with rw permission after initial create of first agent login)

        $Self->{'AuthSyncModule::LDAP::UserSyncInitialGroups'} = [ 'users', ];

Für jede weitere Gruppe:

Code: Select all

        
        $Self->{'AuthModule'} = 'Kernel::System::Auth::LDAP';
        $Self->{'AuthModule::LDAP::HostX'} = 'emeadc01.dc1.dc2.dc3';
        $Self->{'AuthModule::LDAP::BaseDNX'} = 'DC=dc1,DC=dc2,DC=dc3';
        $Self->{'AuthModule::LDAP::GroupDNX'} = 'CN=ADGROUP2,OU=Organizational,OU=Groups,OU=DE,DC=dc1,DC=dc2,DC=dc3';
        $Self->{'AuthModule::LDAP::AccessAttrX'} = 'member';
        $Self->{'AuthModule::LDAP::UIDX'} = 'sAMAccountName';
        $Self->{'AuthModule::LDAP::SearchUserDNX'} = 'otrsauth@dc1.dc2.dc3';
        $Self->{'AuthModule::LDAP::SearchUserPwX'} = 'password';
        $Self->{'AuthModule::LDAP::ParamsX'} = {
                port => 3268,
                timeout => 120,
                async => 0,
                version => 3,
        };
                               # Sync data with OTRS DB
        $Self->{'UserSyncLDAPMap'};
        $Self->{'AuthSyncModuleX'} = 'Kernel::System::Auth::Sync::LDAP';
        $Self->{'AuthSyncModule::LDAP::HostX'} = 'emeadc01.dc1.dc2.dc3';
        $Self->{'AuthSyncModule::LDAP::BaseDNX'} = 'DC=dc1,DC=dc2,DC=dc3';
        $Self->{'AuthSyncModule::LDAP::UIDX'} = 'sAMAccountName';
        $Self->{'AuthSyncModule::LDAP::SearchUserDNX'} = 'otrsauth@dc1.dc2.dc3';
        $Self->{'AuthSyncModule::LDAP::SearchUserPwX'} = 'password';
        $Self->{'AuthSyncModule::LDAP::UserSyncMapX'} = {

                # DB -> LDAP
                UserFirstname => 'givenName',
                UserLastname  => 'sn',
                UserEmail     => 'mail',
        };

        # AuthSyncModule::LDAP::UserSyncInitialGroups
        # (sync following group with rw permission after initial create of first agent login)

        $Self->{'AuthSyncModule::LDAP::UserSyncInitialGroupsX'} = [ 'users', ];

Das X steht in dem Fall für eine Nummer, die ich einfach hochzähle, umso mehr AD Gruppen hinzu kommen.

Jetzt zu meinem Problem:
Ab AD Gruppe 13 funktioniert der Login nicht mehr. In den Logs sind keine Fehler zu sehen. Typo fehler können auch ausgeschlossen werden.
Hat jemand eine Idee wo ich ansetzen kann um den Fehler zu finden? Bzw. oder habe ich die Möglichkeit das Script dafür zu vereinfachen ggf.
zusammen zufassen. Es wird immer nur gegen einen einzigen LDAP Authentifiziert, sind aber Gruppen die Teilweise in Unterschiedlichen OUs gelagert sind.

Des weiteren versuche ich Krampfhaft via:

Code: Select all

       $Self->{'AuthSyncModule::LDAP::UserSyncRolesDefinition7'} = {
                #LDAP Group
               'CN=ADGROUP1,OU=Organizational,OU=Groups,OU=DE,DC=dc1,DC=dc2,DC=dc3' => {
                        #OTRS Role
                       'ADGROUP1' => '1',
               },
       };

eine automatische Rollenzuweisung die ich aber permanent nicht zum laufen bekomme, sobald ich das in der Config einkommentiere,
verliert der User beim Login die ihm zugewiesene Rolle. Hat da jmd. vllt. mal ein funktionierenden Script-Schnipsel, oder
kann mir sagen ob da evtl. ein Fehler ist.

Ich hoffe mir kann irgend jmd. helfen, denn ich sehe mittlerweile den Wald vor Bäumen nicht mehr.
Die Config.pm ist mittlerweile 850 Zeilen lang und es müssen noch viel viel mehr AD Gruppen dort eingerichtet werden.

Vielen Dank im Voraus.
Es grüßt freundlich


Arne

[ABrandt]

Huhu,

Stichwort: Hilfe zur Selbsthilfe

Nee ohne Witz, ich habe alle Probleme beseitigen können und haben den kram voll und ganz am laufen.
Sollte jemand dahingehend evtl. mal fragen haben, bin ich gerne bereit meine gemachten Erfahrungen zu teilen.

Einfach via PN anschreiben und ich helfe sehr gerne.

Best Regards

Arne

[KlausNehrer]

Sollte jemand dahingehend evtl. mal fragen haben, bin ich gerne bereit meine gemachten Erfahrungen zu teilen.

Das ist der "Sinn" einer "Community, oder?

Einfach via PN anschreiben und ich helfe sehr gerne.

Das weniger... Üblicher Weise posten die Leute die Lösung, da ein Forum genau davon lebt.
Auch Deine Lösung basiert auf durch andere bereitgestellte Informationen, die nicht "erbettelt" werden mussten.

[Elbo]

Hallo,

ich stehe vor dem gleichen Problem. Ich möchte gern meinen Agenten bei der ersten Anmeldung Rechte anhand der AD Gruppe zuweisen. Aktuell habe ich es versucht per AuthSyncModule::LDAP::UserSyncInitialGroups, aber der Eintrag wird in der Config.pm ignoriert.

Ob ich es nun über Gruppen oder Rollen mache ist mir egal. Leider Antwortet der TE nicht auf meine PM. Irgendjemand anders etwas funktionierendes? Noch ist es überschaubar, und ich kann die Rechte händisch ändern. Aber das wird sich bald ändern.

Viele Grüße
Elbo