[LDAP] [WS2012R2] LDAP (met Apache) wil niet werken.

[TommieW]

------------------------------ Probleem is opgelost. ------------------------------


Beste,

Voor mijn studie moet ik een proof of concept in elkaar zetten. Een onderdeel hiervan is een webserver die authenticatie doet vanaf een centrale database. Wij zijn van plan om een domain controller neer te zetten met Windows Server 2012 R2. We gaan Apache gebruiken voor de webserver. Het idee is dat Apache gebruikers authenticeert via Active Directory en LDAP

Ik ben niet onbekend met Windows Server, Linux en Apache. LDAP is echter wel redelijk nieuw voor mij. Aangezien de gebruikers in verschillende OU's gaan komen, moet ik Apache laten kijken naar poort 3268. Deze poort wordt gebruikt door de Global Catalog. Zo zou ik hier geen "last" moeten hebben van verschillende OU's.

Ik had Apache al geprobeerd te configureren. Maar aangezien dat niet werkte, leek het mij een beter idee om eerst te kijken of ik LDAP überhaupt aan de praat kon krijgen. Hier ging het al mis. Ik gebruik "Softerra LDAP Browser 4.5". Hier krijg ik echter de melding dat de credentials niet zouden kloppen. Ik probeer verbinding te maken met de volgende instellingen:

• Poort: 3268
• Base DN: DC=th3,DC=local Het zou zomaar kunnen dat het hier al fout gaat, maar ik zou niet weten welke base DN ik anders zou moeten hebben. Als ik op "Fetch Base DNs" klik, krijg ik keurig een lijstje met de DNs. Er lijkt dus in ieder geval wel een soort van verbinding opgebouwd te kunnen worden.
• LDAP URL: ldap://192.168.6.10:3268/DC=th3,DC=local??one?(objectClass=*) Door LDAP Browser zelf gegenereerd.
• Credentials:
  • Mechanism: Simple
  • Principal: DCN=apache,DC=th3,DC=local

Als ik dan op Finish klik, krijg ik de melding dat de credentials niet kloppen. ("The supplied credential is invalid.") Hier gaat het dus al fout. Ik zal waarschijnlijk iets stoms verkeerd doen, maar ik kan he-le-maal niet vinden wát. Uiteraard klopt het wachtwoord wel. Ik kan de host ook pingen.


Zo ziet momenteel mijn Active Directory er uit:

code:

th3.local
    |----- ApacheOU
    |          |----- apacheouuser
    |          `----- userou
    |----- Users
               |----- apache
               `----- user

"ApacheOU" is een OU, "Users" is de standaard container. apacheouuser en apache zijn allebei lid van de groep "Domain Admins".

Apache draait op Ubuntu 14.04 Server. Apache is via de repository geïnstalleerd. In default virtualhost heb ik het volgende toegevoegd. (En de directory aangemaakt in /var/www/html.)

code:

<Location /protected>
    # Using this to bind
    AuthLDAPBindDN "CN=apache,DC=th3,DC=local"
    AuthLDAPBindPassword "Password123"
    # search user
    AuthLDAPURL "ldap://192.168.6.10:3268/dc=th3,dc=local?sAMAccountName?sub?(objectClass=*)"

    AuthType Basic
    AuthName "Test inlog"
    AuthBasicProvider ldap
    # Important, otherwise "(9)Bad file descriptor: Could not open password file: (null)"
    AuthUserFile /dev/null
    require valid-user
</Location>

Als ik met de browser naar de locatie ga en probeer in te loggen, zie ik het volgende in de logs:
In /var/log/apache2/access.log zie ik de GET request.

code:

192.168.6.1 - [e-mail] [30/Mar/2015:15:09:05 +0200] "GET /protected HTTP/1.1" 401 722 "-" "Mozilla/5.0 (Windows NT 6.3; WOW64; rv:36.0) Gecko/20100101 Firefox/36.0"

In /var/log/apache2/error.log zie ik de volgende error:

code:

[auth_basic:error] [pid 1542] [client 192.168.6.1:56641] AH01617: user user: authentication failure for "/protected": Password Mismatch

Aangezien verbinding maken met AD via LDAP überhaupt niet lukt, lijkt mij het probleem niet echt bij Apache te liggen, maar meer tussen het toetsenbord en de stoel.

Heeft iemand een idee wat deze prutser verkeerd aan het doen is?

Alvast heel erg bedankt.

De door mij gebruikte bronnen:
http://www.held-im-ruhest...-directory-authentication
http://twiki.org/cgi-bin/...ticationWithApacheAndLDAP

[Ximon]

GIYF?

Eerste resultaat:

quote: https://social.technet.mi...ia-ldap?forum=winserverDS

You need to type the distinguishedname (DN) of the user you want to authenticate as. ex: cn=administrator,cn=users,dc=domain,dc=com

Sorry voor het flauwe linkje, maar LMGTFY is te leuk om niet van tijd tot tijd te gebruiken

[ Voor 9% gewijzigd door Ximon op 30-03-2015 15:49 . Reden: Te weinig koffie ]

[TommieW]

Ximon schreef op maandag 30 maart 2015 @ 15:46:
GIYF?

Eerste resultaat:

[...]


Sorry voor het flauwe linkje, maar LMGTFY is te leuk om niet van tijd tot tijd te gebruiken

Bedankt voor de reactie. Geen idee of het een typfout was in de post, of ik het ook verkeerd deed in de software. Helaas werkt het, ook na het uitvoeren van je suggestie, nog steeds niet. Ik heb geprobeerd om met de users "apache", "apacheouuser" en "Administrator" in te loggen. Geen van allen werkt, helaas.

offtopic:
Ik geef je groot gelijk om LMGTFY linkje te dumpen, ik krijg zelf ook vaak genoeg de neiging.

[Ximon]

cn=users staat dus ook ergens in de DN van de user die je gebruikt, dus:

code:

cn=apache,cn=users,dc=th3,dc=local

[TommieW]

Ximon schreef op maandag 30 maart 2015 @ 16:08:
cn=users staat dus ook ergens in de DN van de user die je gebruikt, dus:

code:

cn=apache,cn=users,dc=th3,dc=local

Heel erg bedankt! Dit was de oplossing!

[Ximon]

Voor bonuspunten kun je uitzoeken hoe je dit kan laten werken zonder dat de apache user domain admin is, dat is namelijk helemaal niet nodig om simpelweg te checken of een password klopt

[Wim-Bart]

Ximon schreef op maandag 30 maart 2015 @ 16:24:
Voor bonuspunten kun je uitzoeken hoe je dit kan laten werken zonder dat de apache user domain admin is, dat is namelijk helemaal niet nodig om simpelweg te checken of een password klopt

Je kan een account aanmaken met alleen AD lees rechten is voldoende.