轨道 3 和devise_ldap_authenticatable：针对 Active Directory 的授权？

Question

我成功地使用 devise 和 devise_ldap_authenticatable 运行我的 Rails 3 应用程序，以针对本地 Active Directory 进行身份验证。

现在我想添加授权功能，以便仅允许属于特定 AD 组的 AD 用户进行访问。

因此，为了简单地开始，我首先使用 linux 命令 ldapsearch 在 AD 中查找我自己的用户。结果包含类似...

(...)
memberOf: CN=my,OU=foo,DC=bar,DC=role,DC=domain,DC=com
memberOf: CN=my,OU=foo,DC=bar2,DC=role,DC=domain,DC=com
memberOf: (...)
(...)

好吧，现在我决定，我想限制对 CN=my,OU=foo,DC=bar,DC=role,DC=domain,DC=com 成员的访问。

因此，我将 ldap.yml 更改为包含：

authorizations: &AUTHORIZATIONS
  group_base: ou=role,dc=domain,dc=com
  required_groups:
    - CN=my,OU=foo,DC=bar,DC=role,DC=domain,DC=com

development:
  (...)
  <<: *AUTHORIZATIONS

另外，将 devise.rb 更改为包含：

Devise.setup do |config|
  config.ldap_logger = true
  config.ldap_create_user = true
  config.ldap_update_password = false
  config.ldap_check_group_membership = true # <-- activated this line
  config.ldap_use_admin_to_bind = true
  #config.ldap_ad_group_check = true <-- don't know what this is good for

现在，当尝试进行身份验证时，访问被拒绝，这是我没想到的：

User CN=myuser,OU=org,DC=domain,DC=com is not in group: CN=my,OU=foo,DC=bar,DC=role,DC=domain,DC=com

任何想法，如何针对 AD 进行授权完成于devise_ldap_authenticatable？在授权方面，该模块的文档还不够全面。

Answer 1

注意：代表 OP 添加答案 (@kwirschau)

---

1. 更改 devise .rb 激活属性 ldap_check_attributes 并删除/注释掉 ldap_check_group，因为它不检查 AD 特定属性memberOf
2. 更改 ldap.yml 并注释掉 group_base 和 required_groups。将所需的组成员身份添加到 require_attribute。

总之，问题中示例的设置如下所示：

# devise.rb

Devise.setup do |config|
  # [ ... ]
  config.ldap_check_attributes = true
  # [ ... ]
end

和

# ldap.yml

# [ ... ]
authorizations: &AUTHORIZATIONS
  #group_base: ou=role,dc=domain,dc=com
  #required_groups:
  #  - CN=my,OU=foo,DC=bar,DC=role,DC=domain,DC=com
  require_attribute:
    memberOf: CN=my,OU=foo,DC=bar,DC=role,DC=domain,DC=com
# [ ... ]

Answer 2

因此，zekus 的答案仅在用户直接是给定组的成员时才有效。
它不会递归搜索组。 kwirschau，您的初始配置已经差不多完成了。您指出：

"#config.ldap_ad_group_check = true <-- don't know what this is good for"

设置该标志后，ldap 查询将使用具有 LDAP_MATCHING_RULE_IN_CHAIN 规则的过滤器来搜索嵌套组，该规则递归地搜索用户的组。

因此，在您的 devise.rb 中，设置：

  config.ldap_check_group_membership = true
  config.ldap_use_admin_to_bind = true
  config.ldap_ad_group_check = true

在 ldap.yml 中设置您的授权组

authorizations: &AUTHORIZATIONS
  group_base: ou=role,dc=domain,dc=com
  required_groups:
    - CN=my,OU=foo,DC=bar,DC=role,DC=domain,DC=com

此外，在您的代码中，如果您想根据另一个组检查用户，请不要使用“memberOf”，因为这不会搜索嵌套组。相反，使用：

ldap_connect = Devise::LdapAdapter.ldap_connect(username)
ldap_connect.in_group?(group_name)