LDAP-Authentifizierung¶

Die LDAP-Authentifizierung prüft MRBS-Benutzer gegen ein Verzeichnis wie OpenLDAP oder Microsoft Active Directory.

$auth["type"] = "ldap";
$auth["session"] = "php";

Die PHP-LDAP-Erweiterung muss installiert sein.

Verbindungseinstellungen¶

Verzeichnisserver, Protokollversion, Transportsicherheit, Basis-DN und Suchfilter werden in config.inc.php konfiguriert. Relevante LDAP-Vorgaben aus systemdefaults.inc.php übernehmen und dann anpassen.

Verschlüsselten Transport bevorzugen:

LDAPS, sofern unterstützt; oder
LDAP mit StartTLS.

Zertifikatskette des Verzeichnisservers installieren und prüfen. Die Prüfung nicht als Umgehung eines Zertifikatsproblems abschalten.

Benutzersuche¶

Der Anmeldename wird über Benutzerattribut und Filter gesucht. Verzeichnisstrukturen unterscheiden sich, daher testen mit:

normalem Benutzer;
Administrator;
Benutzer außerhalb der erlaubten Organisationseinheit;
deaktiviertem Konto; sowie
gültigen Nicht-ASCII-Zeichen im Benutzernamen, falls relevant.

Gruppen und Administratoren¶

MRBS kann Attribute und Gruppenmitgliedschaften zur Identifikation oder Beschreibung verwenden. Verhalten verschachtelter Gruppen prüfen und dokumentieren, welche Gruppen MRBS-Administration gewähren.

Attributzuordnung¶

Optionale Zuordnungen lesen E-Mail und Anzeigenamen:

$ldap_get_user_email = true;
$ldap_email_attrib = 'mail';
$ldap_name_attrib = 'cn';

Attributnamen und Rückgabeformate unterscheiden sich je LDAP-Implementierung.

Sicher diagnostizieren¶

LDAP-Debugoptionen können Verzeichnisdetails offenlegen. Nur kurzzeitig aktivieren, Ausgabezugriff begrenzen und sofort danach deaktivieren.

Bei fehlgeschlagener Anmeldung zuerst Transport und Zertifikate prüfen, bevor Filter oder Zugangsdaten geändert werden.