abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 15:33 | Nová verze

    Open source platforma Home Assistant (Demo, GitHub, Wikipedie) pro monitorování a řízení inteligentní domácnosti byla vydána v nové verzi 2025.8.

    Ladislav Hagara | Komentářů: 0
    dnes 14:22 | IT novinky

    Herní studio Hangar 13 vydalo novou Mafii. Mafia: Domovina je zasazena do krutého sicilského podsvětí na začátku 20. století. Na ProtonDB je zatím bez záznamu.

    Ladislav Hagara | Komentářů: 0
    dnes 13:22 | IT novinky

    Operátor O2 má opět problémy. Jako omluvu za pondělní zhoršenou dostupnost služeb dal všem zákazníkům poukaz v hodnotě 300 Kč na nákup telefonu nebo příslušenství.

    Ladislav Hagara | Komentářů: 5
    dnes 05:55 | IT novinky

    Společnost OpenAI představila GPT-5 (YouTube).

    Ladislav Hagara | Komentářů: 0
    dnes 05:00 | Nová verze

    Byla vydána (𝕏) červencová aktualizace aneb nová verze 1.103 editoru zdrojových kódů Visual Studio Code (Wikipedie). Přehled novinek i s náhledy a videi v poznámkách k vydání. Ve verzi 1.103 vyjde také VSCodium, tj. komunitní sestavení Visual Studia Code bez telemetrie a licenčních podmínek Microsoftu.

    Ladislav Hagara | Komentářů: 0
    včera 17:33 | IT novinky

    Americký prezident Donald Trump vyzval nového generálního ředitele firmy na výrobu čipů Intel, aby odstoupil. Prezident to zdůvodnil vazbami nového šéfa Lip-Bu Tana na čínské firmy.

    Ladislav Hagara | Komentářů: 7
    včera 16:55 | Nová verze

    Bylo vydáno Ubuntu 24.04.3 LTS, tj. třetí opravné vydání Ubuntu 24.04 LTS s kódovým názvem Noble Numbat. Přehled novinek a oprav na Discourse.

    Ladislav Hagara | Komentářů: 0
    včera 16:44 | Nová verze

    Byla vydána verze 1.89.0 programovacího jazyka Rust (Wikipedie). Podrobnosti v poznámkách k vydání. Vyzkoušet Rust lze například na stránce Rust by Example.

    Ladislav Hagara | Komentářů: 0
    včera 12:22 | IT novinky

    Americká technologická společnost Apple uskuteční v USA další investice ve výši sta miliard dolarů (2,1 bilionu korun). Oznámil to ve středu šéf firmy Tim Cook při setkání v Bílém domě s americkým prezidentem Donaldem Trumpem. Trump zároveň oznámil záměr zavést stoprocentní clo na polovodiče z dovozu.

    Ladislav Hagara | Komentářů: 4
    včera 04:55 | Nová verze

    Zálohovací server Proxmox Backup Server byl vydán v nové stabilní verzi 4.0. Založen je na Debianu 13 Trixie.

    Ladislav Hagara | Komentářů: 0
    Kolik tabů máte standardně otevřeno ve web prohlížeči?
     (44%)
     (21%)
     (4%)
     (6%)
     (3%)
     (1%)
     (1%)
     (19%)
    Celkem 299 hlasů
     Komentářů: 23, poslední 4.8. 13:01
    Rozcestník

    Dotaz: OpenLDAP ACL vs PHP ldap_search()

    20.5.2015 14:59 Marián
    OpenLDAP ACL vs PHP ldap_search()
    Přečteno: 304×
    Mám problém, že PHPčkovská funkcia ldap_search() mi nevráti žiaden záznam, ale konzolový príkaz ldapsearch volaný s tými istými parametrami mi očakávaný výsledok vráti.

    Konzolový príkaz (má vrátiť obsah parametra URL pre záznam s uID = 1011223):
    ldapsearch -H ldaps://localhost:636 -x -D "uid=webuser,ou=people,dc=domain,dc=tld" -W -b "ou=users,dc=domain,dc=tld" "(uID=1011223)" "URL"
    
    PHP funkcia:
    ldap_bind($ldap_conn, 'uid=webuser,ou=people,dc=domain,dc=tld', 'heslo')
    
    $ldap_dn        = 'ou=users,dc=domain,dc=tld';
    $ldap_filter    = "(uID=$uid)";
    $ldap_attr      = array('URL');
    
    $ldap_search_result     = ldap_search($ldap_conn, $ldap_dn, $ldap_filter, $ldap_attr);
    
    skončí chybovou hláškou PHP Warning: ldap_search(): Search: No such object.

    Pri debugovaní na strane servera som zistil, že PHP ldap_search() sa snaží ísť o úroveň vyššie (dc=domain,dc=tld) a neviem prečo.

    Debug konzolového príkazu ldapsearch:
    conn=1007 op=1 SRCH base="ou=users,dc=domain,dc=tld" scope=2 deref=0 filter="(uid=1011223)"
    conn=1007 op=1 SRCH attr=url
    => access_allowed: search access to "ou=users,dc=domain,dc=tld" "entry" requested
    => dn: [1] ou=users,dc=domain,dc=tld
    => acl_get: [1] matched
    => acl_get: [1] attr entry
    => acl_mask: access to entry "ou=users,dc=domain,dc=tld", attr "entry" requested
    => acl_mask: to all values by "uid=webuser,ou=people,dc=domain,dc=tld", (=0)
    <= check a_dn_pat: uid=webuser,ou=people,dc=domain,dc=tld
    <= acl_mask: [1] applying read(=rscxd) (stop)
    <= acl_mask: [1] mask: read(=rscxd)
    => slap_access_allowed: search access granted by read(=rscxd)
    => access_allowed: search access granted by read(=rscxd)
    
    Debug PHP funkcie ldap_search():
    conn=1011 op=1 SRCH base="ou=users,dc=domain,dc=tld" scope=2 deref=0 filter="(uid=1011223)"
    conn=1011 op=1 SRCH attr=url
    => access_allowed: disclose access to "dc=domain,dc=tld" "entry" requested
    => dn: [1] ou=users,dc=domain,dc=tld
    => acl_get: [3] attr entry
    => acl_mask: access to entry "dc=domain,dc=tld", attr "entry" requested
    => acl_mask: to all values by "uid=webuser,ou=people,dc=domain,dc=tld", (=0)
    <= check a_dn_pat: cn=manager,dc=domain,dc=tld
    <= acl_mask: no more who clauses, returning =0 (stop)
    => slap_access_allowed: disclose access denied by =0
    => access_allowed: no more rules
    
    Skúšal som pridať oprávnenie disclose a dokonca read pre dc=domain,dc=tld. Výsledok bol, že som už nemal "access denied", ale nemal som ani očakávaný výsledok. Chyba v PHP bola stále tá istá (ldap_search(): Search: No such object).

    LDAP používateľ webuser má nastavené oprávnenie, že vie čítať iba dva atribúty uID a URL a to len zo stromu "ou=users,dc=domain,dc=tld".

    Defaultné ACL "access to * by users read" mám zakázané, lebo takto vedel webuser čítať aj iné atribúty. A možno tu je kameň úrazu. Podľa dokumentácie k OpenLDAP-u sa ACL spracúvajú v poradí ako sú napísané a ich spracovávanie končí pri prvej zhode (ak sa nepoužije break). ACL pre webuser-a bol ako prvý a "access to * by users read" ako posledný, ale aj tak vedel webuser vyčítavať atribúty, ktoré nemal. V prípade, že je aktívny "access to * by users read", tak to nemá nijaký vplyv na výsledok ldap_search(), v debug logoch síce nemám "access denied", ale nemám ani výsledok. Neviem ako si mám vysvetlovať slovo "stop" v logoch (napr.: acl_mask: [2] applying read(=rscxd) (stop)), či to znamená chybu alebo niečo iné.

    ACL z konfiguráku OpenLDAP-u:
    access to dn.subtree="ou=users,dc=domain,dc=tld" attrs=uID,URL
         by dn.exact="uid=webuser,ou=people,dc=domain,dc=tld" read
         by * none
    
    access to attrs=userPassword
        by anonymous auth
        by * none
    
    access to *
        by dn.exact="cn=Manager,dc=domain,dc=tld" write
    #   by users read
        by * none
    
    Skúšal som aj ldap_read() a ldap_list(), ktoré sa líšia v scope. V oboch prípadoch (ldapsearch a ldap_search()) je bind úspešný, takže tam nie je problém.

    Ešte skúsim novšiu verziu PHP (mám 5.3.3-7+squeeze26) napriek tomu privítam rady.

    Odpovědi

    20.5.2015 15:29 NN
    Rozbalit Rozbalit vše Re: OpenLDAP ACL vs PHP ldap_search()
    Kde se tam vezme to cn=manager?
    21.5.2015 07:34 Marián
    Rozbalit Rozbalit vše Re: OpenLDAP ACL vs PHP ldap_search()
    To je tam zo strany servera. Ja tom nemám v svojom kóde. Spravil som test a doplnil vymysleného používateľa "zzz" do ACL:
    access to *
        by dn.exact="cn=Manager,dc=domain,dc=tld" write
        by dn.exact="cn=zzz,dc=domain,dc=tld" read
        by users read
        by * none
    
    a objavilo sa to v debug logoch:
    May 21 07:28:03 localhost slapd[11218]: <= check a_dn_pat: cn=manager,dc=domain,dc=tld
    May 21 07:28:03 localhost slapd[11218]: <= check a_dn_pat: cn=zzz,dc=domain,dc=tld
    May 21 07:28:03 localhost slapd[11218]: <= check a_dn_pat: users
    
    Inak, skúšal som PHP 5.6.9 na Windows s rovnakým neúspešným výsledkom.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.