如何解决如何在连接到Keycloak的OpenLdap中读取嵌套组
我有一个带有openLDAP用户联合会的Keycloak。在LDAP中,我有一个用户'someUser',它属于多个组,即:
dn: cn=developers,ou=groups,dc=example,dc=com
changetype: add
objectclass: groupOfNames
member: cn=architects,dc=com
dn: cn=architects,dc=com
changetype: add
objectclass: groupOfNames
member: uid=someUser,ou=People,dc=com
在我的Keycloak上,对于LDAP,我已经为角色创建了LDAP映射器,如下所示:
- 映射器类型:role-ldap-mapper
- LDAP角色DN :ou = groups,dc = example,dc = com
- 角色名称LDAP属性:cn
- 角色对象类:groupOfNames
- 成员资格LDAP属性:成员成员资格
- 属性类型:DN成员身份
- 用户LDAP属性:uid
- LDAP过滤器:
- 模式:READ_ONLY
- 用户角色检索策略:LOAD_ROLES_BY_MEMBER_ATTRIBUTE
- LDAP成员属性:memberOf
- 使用领域角色映射:开启
问题是,当我尝试代表用户'someUser'获取令牌时,只有角色'architects'出现在令牌上。基于LDAP嵌套分组,我希望令牌中既会出现“建筑师”角色,又会出现“开发人员”角色。
基于其他answers的类似主题,我尝试将以下内容添加到LDAP过滤器:
memberOf:1.2.840.113556.1.4.1941
但这似乎仅适用于Microsoft Active Directory。
我的问题是,要同时拥有令牌中的“建筑师”和“开发者”角色,我该怎么办? (除了必须对其进行硬编码)。
解决方法
尝试替换以下成员和对象类:
dn: cn=developers,ou=groups,dc=example,dc=com
changetype: add
objectclass: groupOfURLs
memberURL: ldap:///cn=architects,dc=com?sub?(objectclass=*)
这种组定义称为动态组,您应该在openldap中尝试ldapsearch来查看目录是否发送了正确的对象,例如:
./ldapsearch -h localhost--port 1389 -D "cn=Directory Manager" -w "password" -b "uid=someUser,ou=People,dc=com" -s sub "(objectclass=*)" member
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。