問題タブ [ldap]

LDAP サーバー (おそらくApache ディレクトリ) を使用して、アプリケーションのログインと資格情報を管理したいと考えています。アプリケーションは、LDAP サーバーに接続せずに (ラップトップで) オフラインで作業する必要がある場合があります。

資格情報ローカルをレプリケートする最良の方法は何ですか?

私はすでに考えました：

• Mitosisを使用してラップトップに LDAP サーバーを複製します。

  しかし、それは非常に「重く」複雑な解決策になります。さらに有糸分裂はまだ終わっていないようです。

• 資格情報を、ラップトップに保存できる LDIF ファイルとしてエクスポートします。

  しかし、LDIF ファイルが実際に LDAP サーバーからのものであることを確認する方法が必要です (ファイルには一種の署名が含まれている必要があります)。さらに、1 週間以上更新されていない LDIF ファイルを拒否したいと思います。署名と年齢チェックを自分で実装することを回避できればいいのにと思います。

私を助けることができる他のアイデアやツールはありますか?

編集編集：Java-Kerberos-APIのドキュメントには、ローカルキャッシュでキャッシュされたチケットを使用できると書かれているようで、これが解決策になると思ったので、Kerberosを調べました。さらに、Kerberos をプラグインとして Apache ディレクトリに追加できます。ただし、Kerberos キャッシュには復号化されたチケットが格納されます (他のアプリケーションと共有することを目的としています)。オフライン セッション中にユーザー パスワードを確認できるようにするには、チケットの暗号化されたバージョンが必要です。結論: Kerberos は、私の問題に対する単純な解決策を提供しません。

Tomcatserver.xmlファイルのTomcatセキュリティレルムでLDAPを参照しています。ただし、異常なエラーが発生します。Tomcatが起動せず、ログを調べると、localhost：389（TomcatのデフォルトのLDAP URL）への接続に失敗していることがわかります。

ただし、Tomcatは、次のように、別のURL（同じマシンの外部URLではなく、まったく別のURL）を指すように構成されています。

そして基本的に、なぜそれがまだlocalhost：389を見ているのかわかりません。誰かが以前にこれに遭遇したことがあれば、私はいくつかの助けをいただければ幸いです！私はしばらくの間グーグルで検索しましたが、人々がエラーをページに貼り付けている間、そこには多くの答えがないようです。何か提案があればありがたいです。

ログファイルは次のとおりです。

C＃/。NETを使用して、ActiveDirectoryでコンピューターアカウントが無効になっているかどうかを確認するにはどうすればよいですか。

現在、Microsoft SBS マシンにセットアップされている少数のユーザー グループがあり、アクティブ ディレクトリで利用できます。

これらのユーザーだけでなく、他の多くのユーザーも、2 番目の LDAP サーバー (openLDAP) にエントリを持っています。この 2 番目のサーバーは、内部のタイムシート Web ベース システム、チップ システム、フォーラム、Subversion リポジトリ コントロールなど、いくつかの異なるものの認証とアクセス制御に使用されます。

したがって、オフィスにいるグループには、ID とパスワードを覚えておく必要がある 2 つの別々のアカウントがあります。これらの内部システムの一部は、複数の LDAP サーバー (mod_authnz_ldap) に対して認証するように構成するのが簡単ではありません。

さまざまな理由から、余分なユーザーやグループが SBS マシンの Active Directory を乱雑にすることは望ましくありません。

2 つの既存の LDAP サーバー間で動作し、統一されたビューを提供できる仮想 LDAP サーバーをどうにかしてセットアップできるようになりたいと思っています。AD からユーザー情報を取得し、openLDAP サーバーからも取得するか、追加のユーザーとグループを内部で維持します。

(実際には、集約されたサーバーにのみ存在するグループがあり、AD サーバーからユーザーをメンバーとして割り当てたいため、内部的にはおそらくより良いでしょう。)

私が知っている唯一のことは、ペンローズの仮想ディレクトリサーバーであると思いますが、それをさらに調査する前に、他のオプションがあるかどうかを確認したかったのです。

Linux上で実行されているRubyLDAPを使用すると、問題なく新しいActiveDirectoryユーザーアカウントを作成できます。ここで、ユーザーアカウントのユーザー名の名前を変更したいと思います。

を変更しようとするとsAMAccountName、機能しません。Ruby LDAPを使用してADユーザーアカウントを変更することはできますか？もしそうなら、どのように？

Windows 認証を使用する C# および ASP.Net アプリケーションに取り組んでいます。

つまり、Web.config で:

Active Directory から現在のユーザーの詳細 (氏名、電子メール アドレスなど) を取得したいと考えています。

Windows 2000 以前のユーザー ログイン名 (例: SOMEDOMAIN\someuser) を取得するには、

現在のログイン名 (Windows 2000 以前のユーザーのログイン名ではない) を使用して、ユーザーの LDAP クエリを作成しました。

ただし、W2K 以前のログイン名を使用してユーザーの AD を検索する方法、または「someuser@somedomain.com.au」形式でログイン名を取得する方法がわかりません。

何か案は？

IDEを使用して2つの説明（属性）を追加できますが、Javaからは1つの説明しか追加できません。2番目のものを追加する方法は？

JDKLDAPライブラリを使用しています。

C# で検索を実行するために使用している LDAP クエリがあります。セキュリティ上の理由からエスケープする必要がある 2 つの文字列変数 (ユーザー名とドメイン) を使用します。

文字列をエスケープするにはどうすればよいですか? これを行うために C#.NET で使用できる関数はありますか?

LDAP 検索条件の例:

C# での LDAP クエリ文字列の例:

編集: LDAP クエリは既に機能しており、結果を返しています。私が望むのは、パラメータをエスケープすることだけです。

私が取り組んでいる Django アプリケーションでは、グループ メンバーシップを Active Directory グループによって決定できるようにしたいと考えていました。pywin32のドキュメントをしばらく掘り下げた後、私はこれを思いつきました：

私はこれを理解する前にしばらくグーグルで調べましたが、私が見つけた例では、この種のものにほぼ排他的に LDAP を使用していました。この方法よりも優先される理由はありますか? 次の点に注意してください。

1. 実際に認証を実行するために Active Directory を使用しているのではなく、アクセス許可のみを使用しています。認証は別のサーバーによって実行されます。
2. いくつかのクロスプラットフォーム機能があると便利ですが、これはおそらくほぼ Windows でのみ実行されるでしょう。