Verständnisfrage zu LDAP/Kerberos SASL

[joe2017]

Schönen guten Morgen,

Das einzige was ich hierzu in den Apache Logs finden konnte ist folgendes
/var/log/apache2/error.log

Code: Alles auswählen

[authz_core:error] [pid 588:tid 140314081744640] [client IP-Adresse:43144] AH01631: user benutzer@DOMAIN.COM: authorization failure for "/webdav":

Aber das ist nicht wirklich aussagekräftig.

[joe2017]

Jetzt habe ich gerade etwas neues herausgefunden.

Meine aktuelle Konfiguration sieht wie folgt aus.

Code: Alles auswählen

<Directory /var/www/html/webdav>
  SSLRequireSSL
  DAV On
  AuthName "WebDav"
  AuthType Kerberos
  KrbAuthoritative off
  KrbMethodNegotiate on
  KrbMethodK5Passwd on
  KrbServiceName HTTP
  KrbAuthRealms DOMAIN.COM
  KrbLocalUserMapping On
  Krb5Keytab /etc/krb5.keytab
  AuthLDAPURL ldaps://ldapServer.domain.com/dc=domain,dc=com?uid?sub?(objectClass=*)
  Require ldap-user "LDAPUser1"
</Directory>

Die Konfiguration Require ldap-user funktioniert.
Öffne ich die Webseite werde ich nach Benutzer und Passwort gefragt. Trage ich die Benutzerdaten von LDAPUser1 ein erhalte ich Zugriff. Trage ich LDAPUser2 ein wird der Zugriff verweigert.

Verwende ich Require ldap-group "LDAP-Gruppe" wird der Zugriff immer verweigert, obwohl mein LDAPUser1 zu der LDAP-Gruppe hinzugefügt wurde.

[bluestar]

Ich sehe in deiner Config gar keine Konfiguration für das LDAP-Group Mapping, also die Parameter AuthLDAPGroupAttribute und AuthLDAPGroupAttributeIsDN, passen da die Default-Werte zu deinem Setup?

[joe2017]

Schönen guten Morgen und ein Gutes neues Jahr allen zusammen.

Zu deiner Frage. Diese Einträge hatte ich selbstverständlich in Verwendung. Das hatte ich vergessen zu erwähnen. Wenn ich meine Gruppe abfrage sieht meine Config wie folgt aus.

Code: Alles auswählen

<Directory /var/www/html/webdav>
  SSLRequireSSL
  DAV On
  AuthName "WebDav"
  AuthType Kerberos
  KrbAuthoritative off
  KrbMethodNegotiate on
  KrbMethodK5Passwd on
  KrbServiceName HTTP
  KrbAuthRealms DOMAIN.COM
  KrbLocalUserMapping On
  Krb5Keytab /etc/krb5.keytab
  AuthLDAPURL ldaps://ldapServer.domain.com/dc=domain,dc=com?uid?sub?(objectClass=*)
  AuthLDAPGroupAttribute memberUid
  AuthLDAPGroupAttributeIsDN off  
  Require ldap-group cn=web_dav,ou=Groups,dc=domain,dc=com
</Directory>

Hier erhalte ich jedoch immer die Fehlermeldung

Code: Alles auswählen

Unauthorized
This Server could not verify that you are authorized to access the document requested