OSDN -- Développer et télécharger des logiciels Open Source
Traduction statut du Français translation status for fr

Forums: 【GitHubに移行しました】サポート (Thread #38221)
Retour à la liste de discussion RSS

外部LDAP連携について (2016-11-29 16:14 by k-uno #79070)

FESS 10.3.0です。

過去のログを一通り拝読致しましたが解消しませんでしたので新たに起こします。

外部LDAP連携の目的は以下です。
* ログインIDとパスワードが外部LDAPと連携できること
* LDAPのいわゆる"グループ"ごとに、検索結果の表示が切り替えられること（見てはいけないユーザは、見ることができないこと）

主要なLDAP構成情報のみ抽出すると、現在下記のように構成していますが、
この場合FESSの管理画面ではどのように設定すれば良いのか教えて頂ければと思います。

　　　　uid=<UserID1>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　uid=<UserID2>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　uid=<UserID3>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　uid=<UserID4>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　...
　　　　cn=<GroupID1>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　member: uid=<UserID1>,ou=Users,dc=hoge,dc=jp
　　　　　　　　member: uid=<UserID2>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　cn=<GroupID2>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　member: uid=<UserID3>,ou=Users,dc=hoge,dc=jp
　　　　　　　　member: uid=<UserID4>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...

* 上記に不足している属性はありますか？
例えば、gidNumberが不足しているなど。
* 上記の"cn"や"uid"や"ou"の相対識別名でFESSの仕様に合わないものがありますか？
例えば、"ou=role"でなければいけないなど。
* 上記の構成全般でFESSには合わないものがありますか？
例えば、Groupsの下にUsersを配置しないといけないなど。

なお上記構成において下記のように設定してみましたがログイン時点でうまくいきませんでした。

　　　　Base DN: dc=hoge,dc=jp
　　　　Bind DN: (空: 匿名アクセスを想定)
　　　　パスワード: (空: 匿名アクセスを想定)
　　　　User DN: uid=%s,ou=Users,dc=hoge,dc=jp
　　　　アカウントフィルタ: uid=%s
　　　　memberOf属性: member

以上、よろしくお願いいたします。

Répondre à 79070×

You can not use Wiki syntax
Vous n'êtes pas connecté. Pour distinguer vos messages en provenance du reste, vous devez choisir un surnom. (L'unicité du surnom est pas réservé. Il est possible que quelqu'un d'autre pourrait utiliser exactement le même surnom. Si vous voulez l'assurance de votre identité, nous vous recommandons de vous connecter avant de poster.) Connexion

Re: 外部LDAP連携について (2016-11-29 22:11 by shinsuke #79073)

> Bind DN: (空: 匿名アクセスを想定)
> パスワード: (空: 匿名アクセスを想定)

認証済みでないLDAPで認証するのは良くないと指摘を受けたので
Fess 10.3からBind DNでの認証は必須になっています。
Répondre à #79070

Répondre à 79073×

You can not use Wiki syntax
Vous n'êtes pas connecté. Pour distinguer vos messages en provenance du reste, vous devez choisir un surnom. (L'unicité du surnom est pas réservé. Il est possible que quelqu'un d'autre pourrait utiliser exactement le même surnom. Si vous voulez l'assurance de votre identité, nous vous recommandons de vous connecter avant de poster.) Connexion

Re: 外部LDAP連携について (2017-01-17 17:28 by k-uno #79250)

[メッセージ #79073 への返信]
> > Bind DN: (空: 匿名アクセスを想定)
> > パスワード: (空: 匿名アクセスを想定)
>
> 認証済みでないLDAPで認証するのは良くないと指摘を受けたので
> Fess 10.3からBind DNでの認証は必須になっています。

回答ありがとうございます。

ActiveDirectoryで以下はなんとなくできていることを確認しました。
* ActiveDirectoryサーバーのアカウント情報でログインする。
* ActiveDirectoryサーバーからのグループ情報をFESSの設定で使用し、当該グループに属すユーザのみ検索結果に表示されるようにする。

---

[ActiveDirectory]
　　　　cn=<UserID1>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　memberOf: cn=<GroupID1>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　cn=<UserID2>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　memberOf: cn=<GroupID1>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　cn=<UserID3>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　memberOf: cn=<GroupID2>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　cn=<UserID4>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　memberOf: cn=<GroupID2>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　...
　　　　cn=<GroupID1>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　member: cn=<UserID1>,ou=Users,dc=hoge,dc=jp
　　　　　　　　member: cn=<UserID2>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　cn=<GroupID2>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　member: cn=<UserID3>,ou=Users,dc=hoge,dc=jp
　　　　　　　　member: cn=<UserID4>,ou=Users,dc=hoge,dc=jp

[FESS 10.3.1設定]

LDAP URL: ldap://<ActiveDirectory Server>:389
Base DN: ou=Users,dc=hoge,dc=jp
Bind DN: <ユーザDN. 例えば上記の"uid=<UserID2>,ou=Users,dc=hoge,dc=jp">
パスワード: <上記Bind DNのパスワード>
User DN: %s@hoge.jp
アカウントフィルタ: (&(objectClass=user) (sAMAccountName=%s))
memberOf属性: memberOf

[FESSユーザ]
設定しない

[FESSロール]
設定しない

[FESSグループ]
設定しない

[クローラ: ファイルシステムのクロール設定]
"パーミッション" に "{group}<GroupID1>" などを入力する。この場合、cn=<GroupID1>に属すユーザのみ当該ファイルが検索結果に表示される。また[ラベル]の"パーミッション"も同じように設定し、当該ファイルシステムのクロール設定にラベル設定している。
※ファイルシステム側のクロール対象の実際のファイルには何もセキュリティ設定していない。
Répondre à #79073

Répondre à 79250×

You can not use Wiki syntax
Vous n'êtes pas connecté. Pour distinguer vos messages en provenance du reste, vous devez choisir un surnom. (L'unicité du surnom est pas réservé. Il est possible que quelqu'un d'autre pourrait utiliser exactement le même surnom. Si vous voulez l'assurance de votre identité, nous vous recommandons de vous connecter avant de poster.) Connexion

Re: 外部LDAP連携について (2017-05-26 15:24 by k-uno #79879)

追記:
FESS 11.0.2

Active Directoryではなく、LDAPが以下の構成の場合、
ファイルシステムはLDAPのグループを認識するが、
ラベルはLDAPのグループを認識しない。

[LDAP]
　　　　uid=<UserID1>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　memberOf: cn=<GroupID1>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　uid=<UserID2>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　memberOf: cn=<GroupID1>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　uid=<UserID3>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　memberOf: cn=<GroupID2>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　uid=<UserID4>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　memberOf: cn=<GroupID2>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　...
　　　　cn=<GroupID1>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　member: uid=<UserID1>,ou=Users,dc=hoge,dc=jp
　　　　　　　　member: uid=<UserID2>,ou=Users,dc=hoge,dc=jp
　　　　　　　　...
　　　　cn=<GroupID2>,ou=Groups,dc=hoge,dc=jp
　　　　　　　　...
　　　　　　　　member: uid=<UserID3>,ou=Users,dc=hoge,dc=jp
　　　　　　　　member: uid=<UserID4>,ou=Users,dc=hoge,dc=jp

ユーザ側はuid、グループ側はcnとしていることが原因かも知れません。
Répondre à #79250

Répondre à 79879×

You can not use Wiki syntax
Vous n'êtes pas connecté. Pour distinguer vos messages en provenance du reste, vous devez choisir un surnom. (L'unicité du surnom est pas réservé. Il est possible que quelqu'un d'autre pourrait utiliser exactement le même surnom. Si vous voulez l'assurance de votre identité, nous vous recommandons de vous connecter avant de poster.) Connexion

Re: 外部LDAP連携について (2017-05-26 17:42 by k-uno #79880)

いくつかFESSのUIで設定を試してみましたが、うまくいきませんでした。

上記のようなLDAPの構成で、FESSの"ラベル"をLDAPのグループと連携する方法（設定ファイル等）はありませんでしょうか？
Répondre à #79879

Répondre à 79880×

You can not use Wiki syntax
Vous n'êtes pas connecté. Pour distinguer vos messages en provenance du reste, vous devez choisir un surnom. (L'unicité du surnom est pas réservé. Il est possible que quelqu'un d'autre pourrait utiliser exactement le même surnom. Si vous voulez l'assurance de votre identité, nous vous recommandons de vous connecter avant de poster.) Connexion

Re: 外部LDAP連携について (2017-05-29 13:00 by k-uno #79888)

自己解決。FESS 11.1.0。

以下の設定で外部LDAP-FESSの連携（ログイン、LDAPグループの取り込みとグループ別検索）ができました。
記録を残しておきます。
グループは一つ、コンテンツは二つ（Publicなものと、Privateなもの）ですが、
同じ要領でいけると思います。

[LDAP]
uid=<UserID1>,ou=Users,dc=hoge,dc=com
　　　　cn: <名前1>
　　　　uid: <UserID1>
　　　　...
　　　　memberOf: cn=<GroupID>,ou=Groups,dc=hoge,dc=com
uid=<UserID2>,ou=Users,dc=hoge,dc=com
　　　　cn: <名前2>
　　　　uid: <UserID2>
　　　　...
...
cn=<GroupID>,ou=Groups,dc=hoge,dc=com
　　　　cn: <GroupID>
　　　　...
　　　　member: uid=<UserID1>,ou=Users,dc=hoge,dc=com
　　　　...

[FESS設定 11.1.0]
LDAP URL: ldap://<LDAP Server>:389/
Base DN: dc=hoge,dc=com
Bind DN: <認証に用いるユーザDN. 例えば上記の"uid=<UserID1>,ou=Users,dc=hoge,dc=com">
パスワード: <上記Bind DNのパスワード>
User DN: uid=%s,ou=Users,dc=hoge,dc=com
アカウントフィルタ: uid=%s
memberOf属性: memberOf

[ラベル設定]
名前: パブリックラベル
値: Public
対象とするパス: （空）
除外するパス: （空）
パーミッション: {role}guest\n{group}<GroupID1>

名前: プライベートラベル
値: Private
対象とするパス: （空）
除外するパス: （空）
パーミッション: {role}admin\n{group}<GroupID1>

[ファイルシステム設定]
名前: パブリック
パス: ...
パーミッション: {role}guest\n{group}<GroupID1>
ラベル: パブリックラベル

名前: プライベート
パス: ...
パーミッション: {role}admin\n{group}<GroupID1>
ラベル: プライベートラベル
Répondre à #79880

Répondre à 79888×

You can not use Wiki syntax
Vous n'êtes pas connecté. Pour distinguer vos messages en provenance du reste, vous devez choisir un surnom. (L'unicité du surnom est pas réservé. Il est possible que quelqu'un d'autre pourrait utiliser exactement le même surnom. Si vous voulez l'assurance de votre identité, nous vous recommandons de vous connecter avant de poster.) Connexion

Re: 外部LDAP連携について (2019-09-10 11:25 by takeshi0206x #83540)

確認させていただきたいのですが、Fessのグループ設定はせずに、LDAPのグループを直接設定するということであれば、ラベル設定の{group}<GroupID1>は、{group}<GroupID>ではないでしょうか？
Répondre à #79888

Répondre à 83540×

You can not use Wiki syntax
Vous n'êtes pas connecté. Pour distinguer vos messages en provenance du reste, vous devez choisir un surnom. (L'unicité du surnom est pas réservé. Il est possible que quelqu'un d'autre pourrait utiliser exactement le même surnom. Si vous voulez l'assurance de votre identité, nous vous recommandons de vous connecter avant de poster.) Connexion

Re: 外部LDAP連携について (2019-09-10 12:04 by k-uno #83542)

Reply To Message #83540
> 確認させていただきたいのですが、Fessのグループ設定はせずに、LDAPのグループを直接設定するということであれば、

仮定あってます。

> ラベル設定の{group}<GroupID1>は、{group}<GroupID>ではないでしょうか？

はい、"{group}<GroupID>"で合っています。LDAP側のグループに従うだけで、FESS側のグループは何も操作しません。
Répondre à #83540

Répondre à 83542×

You can not use Wiki syntax
Vous n'êtes pas connecté. Pour distinguer vos messages en provenance du reste, vous devez choisir un surnom. (L'unicité du surnom est pas réservé. Il est possible que quelqu'un d'autre pourrait utiliser exactement le même surnom. Si vous voulez l'assurance de votre identité, nous vous recommandons de vous connecter avant de poster.) Connexion