Re: [otrs-de] ActiveDirectory/LDAP - Untergruppen

Hallo Herr Trommer, vielen Dank für die Antwort. Wenn ich das richtig verstanden habe, muss ich also eine OU als "Top-Group" einrichten (OtrsAgenten), damit Mitglieder einer "Sub-Group" (z.B. OtrsTest) dort auch Mitglied sind... Leider steht dieses Vorhaben der bisherigen Struktur etwas im Weg, sodass die Agenten nun einfach beiden AD-Gruppen zugeteilt sind. Trotzdem vielen Dank für die Mühe! Gruß Jan Becker On Wed, 25 Feb 2009 13:59:16 +0100, Ronny Trommer wrote:

Hallo,

da ich vor kurzer Zeit auch ähnliche Aufgabenstellungen zu bewältigen hatte, kann ich mal meinen Senf dazugeben. Bei der Beschreibung hatte ich ein wenig Verständnisprobleme. So wie ich es aus deinem Beispiel verstanden habe hast du es mit zwei Dingen zu tun.

- Organisationseinheiten (ou) --> OtrsAgenten - Gruppen (Sicherheitsgruppe) (cn) --> OtrsTest - Container (cn) --> bsp. Computers (aber irrelevant)

Ich habe dir unten eine Struktur mal angegeben und die entsprechenden DNs dazu hingeschrieben.

Domain (dc=example, dc=local) | --> Computers (cn=Computers, dc=example, dc=local) | --> Domain Controllers (ou=Domain Controllers, dc=example, dc=local) | --> OtrsAgenten (ou=OtrsAgenten, dc=example, dc=local) | --> OtrsTest (cn=OtrsTest, ou=OtrsAgenten, dc=example, dc=local) | --> Benutzer1 (cn=Benutzer1, ou=OtrsAgenten, dc=example, dc=local)

Ich hoffe es hilft die korrekten DNs in deiner Konfiguration anzupassen.

On Feb 25, 2009, at 11:46 AM, wrote:

...

$Self->{'AuthModule::LDAP::GroupDN'} = 'cn=OtrsAgenten,...';

Das geht aber nicht. Soweit ich nun recherchiert habe, liegt es am ActiveDirectory. Anscheinend kann nicht ermittelt werden, dass ein User der Gruppe "OtrsTest" auch Mitglied von "OtrsAgenten ist", obwohl "OtrsTest" ja eine Untergruppe von "OtrsAgenten" ist.

Eine Sicherheitsgruppe liegen wie im Beispiel oben in der gleichen OU, das heisst der Benutzer wird genau so in der DN beschrieben wie eine Gruppe.

...

Als Mitglied einer Untergruppe sollte ich doch eigentlich automatisch Mitglied der übergeordneten Gruppe sein, oder sehe ich da was falsch?

Die BaseDN gibt an ab welchem Bereich im AD überhaupt angefangen wird. Wird die BaseDN im oben gezeigten Beispiel auf "OtrsAgenten" gesetzt kann man auf keine übergordenten Objekte mehr zugreifen.

-- Ronny Trommer (Germany) IRC: irc.freenode.org - #opennms

PGP key: 7ED9 1A00 0BD9 EB84 9F63 5808 B1BC E829 E383 98A0 Keyserver: keyserver.pgp.com