Apache 2.4 с аутентификацией Kerberos и авторизацией LDAP

Я пытаюсь настроить репозиторий Apache SVN с аутентификацией Kerberos и авторизацией членства в группе LDAP, чтобы только пользователи, принадлежащие к определенной группе, могли получить к нему доступ. Сама по себе аутентификация Kerberos работает нормально, как и LDAP сам по себе. Но я хотел бы объединить их таким образом, чтобы у меня не было учетных данных в виде обычного текста для привязки к каталогу LDAP в конфигурации apache. Моя текущая конфигурация (которая не работает):

LDAPVerifyServerCert Off

<Location /svn01>
        DAV     svn
        SVNParentPath   /var/www/svn01
        AuthType Kerberos
        Authname        "Test Repo"
        KrbMethodK5Passwd       On
        KrbAuthRealms           KOUKOU.LOCAL
        KrbSaveCredentials      On
        KrbServiceName          HTTP
        Krb5KeyTab              /etc/httpd/conf.d/svnusr.http.keytab
        AuthLDAPUrl ldaps://ad01.koukou.local:636/dc=koukou,dc=local?krbPrincipalName
        Require ldap-group CN=admins,CN=Users,DC=koukou,DC=local
</Location>

Я видел такую ​​конфигурацию в Интернете, но она не работает для меня. В браузере я получаю сообщение «Неавторизовано», а в журнале ошибок apache я получаю:

[Thu Mar 02 09:55:21.817559 2017] [authnz_ldap:debug] [pid 10314] mod_authnz_ldap.c(838): [client 172.21.11.13:57737] AH01711: auth_ldap authorise: User DN not found, User not found

и

[Thu Mar 02 09:55:21.817605 2017] [authz_core:error] [pid 10314] [client XXX.XXX.XXX.XXX:57737] AH01631: user username@KOUKOU.LOCAL: authorization failure for "/svn01/repo":

Я что-то не так понимаю? Даже если добавить сегмент для привязки с учетными данными в конфигурации, я все равно получаю вышеуказанные ошибки.

Версия Apache - 2.4.6, Centos - это 7.2, а Windows AD - это 2012R2 с функциональным уровнем 2008 года.

Заранее спасибо, Ник

4
задан 2 March 2017 в 10:00
1 ответ

Для этой конкретной проблемы у меня это работает:

KrbLocalUserMapping On

Для этого вам нужна как минимум эта версия: mod_auth_kerb-5.4
Подробнее об этом:
https://bugzilla.redhat.com/show_bug.cgi?id=970678
И я также использую это:

Require valid-user

Дополнительно к этому:
https://cwiki.apache.org/confluence/display/HTTPD/PasswordBasicAuth

0
ответ дан 12 February 2020 в 07:54

Теги

Похожие вопросы