[GELÖST] OpenLDAP - ldap_bind: Invalid credentials (49)

[Saxenpower]

Hallo,

ich versuche mich gerade am Konfigurieren eines OpenLDAP-Servers (Debian 11, OpenLDAP: slapd 2.4.57).
In meiner /etc/ldap/slap.conf steht drin

Code: Alles auswählen

include         /etc/ldap/schema/core.schema
include         /etc/ldap/schema/cosine.ldif
include         /etc/ldap/schema/nis.ldif
include         /etc/ldap/schema/inetorgperson.schema

suffix          "dc=example,dc=com"
rootdn          "cn=admin,dc=example,dc=com"
#rootpw         {SSHA}hlECyDdnPiZ7GP5abd/1RdqJ6fsC6uMi
rootpw          {MD5}650GXdo8staM29mgBAh6Vg==

Das kommentierte rootpw ist der erste Versuch, das Zweite nachdem ich

Code: Alles auswählen

slappasswd -h {MD5} -s Passwort

ausgeführt hatte.
Selbstverständlich mache ich einen Restart des Servers:

Code: Alles auswählen

systemctl restart slapd.service

Ich kann jetzt keine Abfragen durchführen oder mit ldapadd Daten hinzufügen, denn jedes Mal kommt diese Fehlermeldung:

Code: Alles auswählen

ldapsearch -x -D dc=example,dc=com -W
Enter LDAP Password: 
ldap_bind: Invalid credentials (49)

In der Logdatei /var/log/auth.log sehe ich nach Neustart und Suche:

Code: Alles auswählen

Aug  8 13:13:16 ldap slapd[116059]: DIGEST-MD5 common mech free
Aug  8 13:13:16 ldap slapd[116059]: DIGEST-MD5 common mech free
Aug  8 13:13:31 ldap ldapsearch: DIGEST-MD5 common mech free

Deswegen hatte ich auch gedacht, dass er das Passwort mit MD5 haben will. Jetzt stehe ich aber auf dem Schlauch. Vielleicht kann mir hier jemand weiterhelfen, den Fehler zu beheben?

Viele Grüße

SaxenPower

[JamesByrnes]

Hi Saxenpower,

das kenne ich auch, das ist ein beliebter Fallstrick. Die Lösung findest Du hier https://www.openldap.org/faq/data/cache/231.html dokumentiert.
Aber schauen wir uns Deine Situation mal an:

Code: Alles auswählen

ldapsearch -x -D dc=example,dc=com -W

OpenLDAP ist da verdammt pingelig. Bei der Option "-D" liegt der Hund begraben. Hier gehört der cn rein und zwar explizit in Hochkommata exakt so wie der rootdn aus der /etc/ldap/slap.conf.
Also im Prinzip

Code: Alles auswählen

ldapsearch -x -D "cn=admin,dc=example,dc=com" -W

Damit ist die Meldung über unzulässige Zugangsdaten vom Tisch.

Gruß
JamesByrnes

[Saxenpower]

Danke JamesByrnes,

daran hatte ich nicht gedacht, sondern dass irgendwas mit den Einträgen oder der Art nicht stimmte