> (bind_dn КХ должен сам получить после bind) Как? Как его

Question

> (bind_dn КХ должен сам получить после bind) Как? Как его

создание отличается принципиально от bind_username?
Ну, вон Алексей не может получить его, как кликхаус будет его получать? )
Проблема Алексея еще не well-defined для меня.

#backend #clickhouse #database #devops #programming #russian

0

10.02.2021

16 ответов

15 просмотров

【D】【J】

хотя нет, ваш не решает. смотрите,, у меня member=Firstname Lastname, OU=DOMAIN, OU=GROUP а samAccountName уже атрибут пользователя... а не группы

0

10.02.2021

【D】【J】

у меня точно такая же структура в АД, нельзя построить фильтр который идет по референсам

0

10.02.2021

Denis Glazachev Автор вопроса

【D】【J】
хотя нет, ваш не решает. смотрите,, у меня member=...

Ну да, тогда только имеет смысл {bind_dn_base:CN} и т.п. Но я не вижу, что это именно то, что у Алексея.

0

10.02.2021

Denis Glazachev Автор вопроса

【D】【J】
у меня точно такая же структура в АД, нельзя постр...

кстати, можно

0

10.02.2021

Denis Glazachev Автор вопроса

Denis Glazachev
кстати, можно

Может не в нашей текущей имплементации, но это вопрос флага в API.

0

10.02.2021

【D】【J】

Denis Glazachev
Может не в нашей текущей имплементации, но это воп...

можете пример фильтра? userdn: CN=FirstName LastName,OU=RU-Users,OU=USERS,OU=DOMAIN,DC=LOCAL имя пользователя: firstname.lastname (from samAccountName of user) GroupDN: CN=DevelopmentOnTestServers,OU=GROUPS,OU=DOMAIN,DC=LOCAL member: CN=FirstName LastName,OU=RU-Users,OU=USERS,OU=DOMAIN,DC=LOCAL

0

10.02.2021

Denis Glazachev Автор вопроса

【D】【J】
можете пример фильтра? userdn: CN=FirstName LastN...

нет, походу, это было про Referrals и не одним флагом а спец. хендлингом

0

10.02.2021

【D】【J】

Denis Glazachev
нет, походу, это было про Referrals и не одним фла...

аха, вам по любому надо отделить юзернейм, и получать DN для него отдельно https://t.me/clickhouse_ru/203596 # returns DN of a user ldapsearch -H "ldap://ldapserver:389" -D 'PW\firstname.lastname' -w 'password' -b 'OU=USERS,DC=DOMAIN,DC=LOCAL' '(&(objectClass=person)(samAccountName=firstname.lastname))' dn # finds group of user ldapsearch -H "ldap://ldapserver:389" -D 'PW\firstname.lastname' -w 'password' -b 'OU=GROUPS,DC=DOMAIN,DC=LOCAL' '(&(objectClass=group)(member=CN=Firstname Lastname,OU=RU-Users,OU=USERS,DC=DOMAIN,DC=LOCAL))' name

0

10.02.2021

【D】【J】

Denis Glazachev
нет, походу, это было про Referrals и не одним фла...

т.е. вместо bind_dn лучше иметь <username>DOMAIN\{user_name}</username> <userdn_filter>(&(objectClass=person)(samAccountName={user_name}))</>

0

10.02.2021

Denis Glazachev Автор вопроса

【D】【J】
аха, вам по любому надо отделить юзернейм, и получ...

Ну опять таки, все сводится к поддержке подстановок с заданием аттрибута из под bind_dn

0

10.02.2021

【D】【J】

Denis Glazachev
Ну опять таки, все сводится к поддержке подстаново...

у вас сводится к тому что bind_dn можно сконструировать используя username. это не так

0

10.02.2021

Alexey Shcherbakov

【D】【J】
у вас сводится к тому что bind_dn можно сконструир...

+1 именно в этом проблема, нет возможности его сконструировать, от слова совсем. https://github.com/ClickHouse/ClickHouse/issues/20253 вот тут собственно прописал по сути схожее с тем, что предложили тут https://t.me/clickhouse_ru/203635

0

10.02.2021

【D】【J】

Denis Glazachev
Ну опять таки, все сводится к поддержке подстаново...

юзер может логинится в LDAP используя bind_dn, userPrincipalName, samAccountName, и что угодно что можно наконфигурить... т.е. username=ivanov3443 bind_dn =CN=IVAN IVANOVICH IVANOV, OU=USERS, DC=ALTINITY, DC=COM

0

10.02.2021

Denis Glazachev Автор вопроса

Alexey Shcherbakov
+1 именно в этом проблема, нет возможности его ско...

Там другое описано.

0

10.02.2021

Alexey Shcherbakov

Denis Glazachev
Там другое описано.

ну да, там через сервисного юзера, если взять вариант предложеный DJ, то отпадает лишь этап проверки пароля пользователя, остальное остается

0

10.02.2021