SugarCRM en LDAP

[Mr_Big]

Ben SugarCRM aan het configureren en uitproberen. Ik loop (tot nu toe in ieder geval) alleen tegen één vervelend ding aan: de integratie met LDAP doet niet helemaal wat ik wil.
De gebruikers bevinden zich in de LDAP in een tweetal ou's. Als volgt:
ou=Groep1,ou=Users,dc=xxx
ou=Groep2,ou=Users,dc=xxx

Nou is het de bedoeling dat gebruikers die toegang tot SugarCRM moeten hebben in zowel groep 1 als groep 2 zitten en SugarCRM alleen maar binnen de aangegeven User DN zoeken. Ik wil dus iets hebben dat de scope op 'one', of 'sub' komt te staan. In de LDAP-logfiles zie ik nu staan 'scope=2' bij een succesvolle inlog.

Dit lijkt niet zomaar in te stellen in de webinterface, maar zal vast ergens in een php zijn verstopt.
Iemand suggesties?


Update: scope=2 blijkt dus gelijk te staan aan 'scope=sub'. Waarom worden de gebruikers in de Sub-ou's dan niet gevonden? Alleen als ik een gebruiker verplaats naar de in Sugar aangegeven User-ou, kan deze inloggen.

Update2: Ik laat Sugar zoeken op ou=Users,dc=xxx en het blijkt dat Sugar de gebruiker wel kan vinden, maar niet op de juiste manier 'bind'. Zie het volgende in de log als ik probeer in te loggen met user 'flip':

code:

SRCH base="ou=Users,dc=xxx
...
bind: invalid dn (flip)
RESULT tag=97 err=34 text=invalid DN 
BIND dn="uid=flip,ou=Users,dc=xxx

Voor de goede orde: de gebruiker staat in uid=flip,ou=Groep1,ou=Users,dc=xxx
Sugar vergeet dus de groep ertussen te plaatsen. Daarom leek het eerst alsof Sugar alleen in de basis DN zocht.

In Sugar staat de Bind attribute als 'uid' (dit klopt waarschijnlijk niet, gezien de ldap-error, maar wat moet het dan zijn?) en Login attribute ook op 'uid' (dit klopt wel, want hier staat de inlognaam).

[Voor 43% gewijzigd door Mr_Big op 16-06-2011 17:18]

[Arjen42]

Als dit om een Active Direcory domein gaat zul je ou=Users moeten vervangen in cn=Users. Users is namelijk in AD geen OU maar een folder en hiervoor gebruik cn (common name) i.p.v. ou (organizational unit).

[Mr_Big]

Bedankt voor de suggestie, maar ik gebruik OpenLDAP.
Had ik er beter meteen even bij kunnen zeggen :-)

[Mr_Big]

Het bleek heel eenvoudig te zijn: de "bind attribute" moest niet 'uid' zijn, maar 'dn'.