LDAP troubleshooting

Cómo hacer un filtro de pertenencia a grupos anidados en Active Directory

El siguiente ejemplo muestra cómo configurar una búsqueda AD para obtener los usuarios que son miembros de algún rol que a su vez es miembro de ROLE_OPENKM.

Field / Property	Type	Description
principal.ldap.user.search.filter	String	((objectclass=user)((memberOf:1.2.840.113556.1.4.1941:=CN=ROLE_OPENKM,OU=OpenKM,DC=company,DC=com))

Error “No UserDetailsService registered”

Si ve una excepción como esta “org.springframework.context.ApplicationContextException: No UserDetailsService registered,” puede añadir esta línea a su openkm.xml:

<beans:bean id="userDetailService" class="com.openkm.spring.UserTenantDetailsService"/>

Nota

Este problema solo afecta a las versiones de OpenKM donde estaba incluida la funcionalidad “remember me”. Consulte el Changelog para comprobar si su versión de OpenKM se ve afectada.

Puede encontrar más información sobre la configuración de “remember me” en los parámetros de configuración de seguridad.

Error javax.naming.PartialResultException

Si ve una excepción como esta “javax.naming.PartialResultException” probablemente no pueda usar Active Directory basic configuration.

Peligro

javax.naming.PartialResultException: Unprocessed Continuation Reference(s); remaining name ‘cn=users,dc=company,dc=com’

Solución 1:

Use los puertos 3268 o 3269 (LDAPS) para la conexión AD.

Vaya a Administration > Configuration parameters:

Field / Property	Type	Description
principal.ldap.server	String	ldap://192.168.xxx.xxx:3268

Nota

Información sobre los puertos 3268 y 3269 en:

* https://social.technet.microsoft.com/Forums/en-US/e52b9154-b93a-4a3b-b6f2-0285f932da14/389-and-3268-port-difference?forum=winserverDS

* https://github.com/stevespringett/Alpine/issues/19

Solución 2:

Habilite la propiedad para que LDAP ignore la excepción de resultado parcial.

Vaya a Administration > Configuration parameters:

Field / Property	Type	Description
ldap.ignore.partial.result.exception	Boolean	true

Solución 3:

Habilite la propiedad de referral de LDAP.

Vaya a Administration > Configuration parameters:

Field / Property	Type	Description
principal.ldap.referral	String	follow

Lea estos artículos:

• Referrals in the JNDI
• JNDI Implementor Guidelines for LDAP Service Providers

No se puede conectar al servidor LDAP

Si su servidor LDAP está configurado bajo SSL, debería usar ldaps://.

Solución:

Vaya a Administration > Configuration parameters:

Cambie la URL de conexión del servidor a ldaps://.

Field / Property	Type	Description
principal.ldap.server	String	ldaps://192.168.0.6:389

Login lento o no se puede iniciar sesión

Puede ser un problema con la resolución de nombres DNS de LDAP.

Solución:

Para prevenir este problema —especialmente en la familia de sistemas operativos Windows— es buena práctica añadir todos los subdominios al fichero hosts del servidor de aplicaciones (/etc/hosts en Linux o C:\Windows\System32\drivers\etc\hosts en Windows).

Ejemplo basado en Active Directory (LDAP) con nombre distinguido base dc=company,dc=com y nombre de dominio del servidor SBSSERVER.

10.10.1.2 company.com
10.10.1.2 SBSSERVER SBSSERVER.company.com
10.10.1.2 Schema.Configuration.company.com
10.10.1.2 Configuration.company.com
10.10.1.2 DomainDnsZones.company.com
10.10.1.2 ForestDnsZones.company.com

Hay más información disponible en el OpenKM forum.

Precaución

Si, después de añadir estos subdominios, el login sigue tardando mucho tiempo, consulte con su equipo de seguridad de TI si han habilitado políticas de microsegmentación. Esto puede ser otro motivo por el que el login tarda tanto.

Nota

Para comprobar las conexiones que realiza la aplicación durante el proceso de login hacia el AD, puede ejecutar el siguiente comando:

$ tcpdump -A tcp port 389

Para capturar solo la solicitud:

$ sudo tcpdump -i any port 389 > login-test-request.txt

Cree un volcado de Wireshark (pcap) y conviértalo a un formato legible:

$ sudo tcpdump -A port 389 -w login-test.pcap
$ tshark -r login-test.pcap -V > login-test.txt

Forzar que todos los usuarios sean miembros de ROLE_USER.

En repositorios de usuarios AD grandes, no es viable que el administrador de AD añada un nuevo grupo a todos los usuarios; en este caso, podemos forzar mediante la configuración de login XML que cualquier usuario que inicie sesión sea miembro de ROLE_USER. Añada la etiqueta XML <beans:property name=“defaultRole” value=“ROLE_USER” />.

Por ejemplo:

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns:beans="http://www.springframework.org/schema/beans"
             xmlns:security="http://www.springframework.org/schema/security"
             xmlns:task="http://www.springframework.org/schema/task"
             xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://www.springframework.org/schema/beans
                                 http://www.springframework.org/schema/beans/spring-beans.xsd
                                 http://www.springframework.org/schema/security
                                 http://www.springframework.org/schema/security/spring-security.xsd
                                 http://www.springframework.org/schema/task
                                 http://www.springframework.org/schema/task/spring-task.xsd">

<security:authentication-manager alias="authenticationManager">
     <security:authentication-provider ref="ldapAuthProvider" />
  </security:authentication-manager>

<beans:bean id="contextSource" class="org.springframework.security.ldap.DefaultSpringSecurityContextSource">
  <beans:constructor-arg value="ldap://192.168.xxx.xxx"/>
  <beans:property name="userDn" value="CN=connect,OU=OpenKM,DC=company,DC=com"/>
  <beans:property name="password" value="****"/>
  <beans:property name="baseEnvironmentProperties">
     <beans:map>
        <beans:entry>
          <beans:key>
            <beans:value>java.naming.referral</beans:value>
          </beans:key>
          <beans:value>follow</beans:value>
        </beans:entry>
      </beans:map>
   </beans:property>
</beans:bean>

<beans:bean id="ldapAuthProvider" class="org.springframework.security.ldap.authentication.LdapAuthenticationProvider">
  <beans:constructor-arg>
    <beans:bean class="org.springframework.security.ldap.authentication.BindAuthenticator">
      <beans:constructor-arg ref="contextSource"/>
      <beans:property name="userSearch" ref="userSearch"/>
    </beans:bean>
  </beans:constructor-arg>
  <beans:constructor-arg name="authoritiesPopulator" ref="defaultLdapAuthoritiesPopulator"/>
</beans:bean>

<beans:bean id="userSearch" class="org.springframework.security.ldap.search.FilterBasedLdapUserSearch">
  <beans:constructor-arg index="0" value="DC=company,DC=com" />
  <beans:constructor-arg index="1" value="(&amp;(sAMAccountName={0})(|(memberOf=CN=ROLE_ADMIN,OU=OpenKM,DC=company,DC=com)(memberOf=CN=ROLE_USER,OU=OpenKM,DC=company,DC=com)))" />
  <beans:constructor-arg index="2" ref="contextSource" />
  <beans:property name="searchSubtree" value="true" />
</beans:bean>

  <beans:bean id="defaultLdapAuthoritiesPopulator" class="org.springframework.security.ldap.userdetails.DefaultLdapAuthoritiesPopulator">
    <beans:constructor-arg ref="contextSource"/>
      <beans:constructor-arg value="DC=company,DC=com"/>
      <beans:property name="groupSearchFilter" value="member={0}"/>
      <beans:property name="groupRoleAttribute" value="cn"/>
      <beans:property name="searchSubtree" value="true" />
      <beans:property name="convertToUpperCase" value="false" />
      <beans:property name="rolePrefix" value="" />
      <beans:property name="defaultRole" value="ROLE_USER" />
  </beans:bean>

  <!--Needed for remember-me services -->
  <beans:bean id="userDetailService" class="org.springframework.security.ldap.userdetails.LdapUserDetailsService">
    <beans:constructor-arg ref="userSearch"/>
    <beans:constructor-arg ref="defaultLdapAuthoritiesPopulator"/>
  </beans:bean>

</beans:beans>

org.springframework.beans.factory.parsing.BeanDefinitionParsingException

Si ve un error como este “org.springframework.beans.factory.parsing.BeanDefinitionParsingException” probablemente tenga una versión de Spring incorrecta establecida en el openkm.xml:

Peligro

org.springframework.beans.factory.parsing.BeanDefinitionParsingException: Configuration problem: You cannot use a spring-security-2.0.xsd or spring-security-3.0.xsd or spring-security-3.1.xsd schema with Spring Security 3.2. Please update your schema declarations to the 3.2 schemas.
Offending resource: URL [file:/home/openkm/tomcat-8.5.69/openkm.xml]
at org.springframework.beans.factory.parsing.FailFastProblemReporter.fatal(FailFastProblemReporter.java:59)

Solución:

Edite el fichero openkm.xml y elimine los números de versión:

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns:beans="http://www.springframework.org/schema/beans"
             xmlns:security="http://www.springframework.org/schema/security"
             xmlns:task="http://www.springframework.org/schema/task"
             xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://www.springframework.org/schema/beans
                                 http://www.springframework.org/schema/beans/spring-beans-3.1.xsd
                                 http://www.springframework.org/schema/security
                                 http://www.springframework.org/schema/security/spring-security-3.1.xsd
                                 http://www.springframework.org/schema/task
                                 http://www.springframework.org/schema/task/spring-task-3.1.xsd">

por

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns:beans="http://www.springframework.org/schema/beans"
             xmlns:security="http://www.springframework.org/schema/security"
             xmlns:task="http://www.springframework.org/schema/task"
             xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://www.springframework.org/schema/beans
                                 http://www.springframework.org/schema/beans/spring-beans.xsd
                                 http://www.springframework.org/schema/security
                                 http://www.springframework.org/schema/security/spring-security.xsd
                                 http://www.springframework.org/schema/task
                                 http://www.springframework.org/schema/task/spring-task.xsd">

LDAP: error code 8 - BindSimple: Transport encryption required

El error “transport encryption required” suele ocurrir cuando intenta conectar con LDAPS (cifrado SSL) y no ha configurado el certificado de confianza en el truststore de Java.

Primero, compruebe que está usando “ldaps://” (termina en ‘s’) en su fichero openkm.xml para la conexión; cuando obtenga este error, úselo.

El primer paso es obtener el certificado del servidor; para ello, siga los pasos siguientes:

$ openssl s_client -showcerts -connect  your.ldap.server.com:636

Nota

Los binarios de OpenSSL para Windows https://wiki.openssl.org/index.php/Binaries (versión probada https://indy.fulgan.com/SSL/)

La salida contendrá varias entradas delimitadas por lo siguiente:

-----BEGIN CERTIFICATE-----
aklfhskfadljasdl1340234234ASDSDFSDFSDFSDFSD
....
-----END CERTIFICATE-----

Precaución

Para evitar la pérdida del JKS tras la actualización de Java, no cree el JKS bajo las carpetas del JDK.

En el ejemplo siguiente, se asume que $TOMCAT_HOME está establecido en /home/openkm/tomcat.

Copie la última entrada del certificado en un fichero (ldapca.crt).
Después, añádalo al keystore de Java en $JRE_HOME/lib/security.

$ cd $TOMCAT_HOME
$ mkdir jks
$ keytool -import -alias ldapca_self_sign -keystore cacerts -storepass changeit -file ldapca.crt

Finalmente, habilite el trust store en el fichero $TOMCAT_HOME/bin/setenv.sh

# JAVA enable trust store
JAVA_OPTS="$JAVA_OPTS -Djavax.net.ssl.trustStore=/home/openkm/tomcat/jks/cacerts -Djavax.net.ssl.trustStorePassword=changeit -Djavax.net.ssl.trustStoreType=JKS"

Nota

Información adicional:

• https://docs.spring.io/spring-ldap/docs/1.2.0/reference/#dir-context-url
• https://stackoverflow.com/questions/9903560/spring-security-ssl-ldap-and-no-certificate

Error LDAP: Caused by java.security.cert.CertificateException: No subject alternative DNS name matching

En el log, puede ver algunos errores de traza como:

Caused by: java.security.cert.CertificateException: No subject alternative DNS name matching ldap.openkm.com found.
        at sun.security.util.HostnameChecker.matchDNS(HostnameChecker.java:214)
        at sun.security.util.HostnameChecker.match(HostnameChecker.java:96)
        at sun.security.ssl.X509TrustManagerImpl.checkIdentity(X509TrustManagerImpl.java:459)
        at sun.security.ssl.X509TrustManagerImpl.checkIdentity(X509TrustManagerImpl.java:436)
        at sun.security.ssl.X509TrustManagerImpl.checkTrusted(X509TrustManagerImpl.java:200)
        at sun.security.ssl.X509TrustManagerImpl.checkServerTrusted(X509TrustManagerImpl.java:124)
        at sun.security.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1621)
        ... 72 more

O como:

Caused by: org.springframework.ldap.CommunicationException: simple bind failed: ldap.openkm.com:636; nested exception is javax.naming.CommunicationException: simple bind failed: email.ied.edu.hk:636 [Root exception is javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: No subject alternative DNS name matching email.ied.edu.hk found.]
        at org.springframework.ldap.support.LdapUtils.convertLdapException(LdapUtils.java:100)
        at org.springframework.ldap.core.support.AbstractContextSource.createContext(AbstractContextSource.java:285)
        at org.springframework.ldap.core.support.AbstractContextSource.doGetContext(AbstractContextSource.java:119)
        at org.springframework.ldap.core.support.AbstractContextSource.getReadOnlyContext(AbstractContextSource.java:138)
        at org.springframework.ldap.core.LdapTemplate.executeReadOnly(LdapTemplate.java:791)
        at org.springframework.security.ldap.SpringSecurityLdapTemplate.searchForSingleEntry(SpringSecurityLdapTemplate.java:194)
        at org.springframework.security.ldap.search.FilterBasedLdapUserSearch.searchForUser(FilterBasedLdapUserSearch.java:116)
        at org.springframework.security.ldap.authentication.BindAuthenticator.authenticate(BindAuthenticator.java:90)
        at org.springframework.security.ldap.authentication.LdapAuthenticationProvider.doAuthentication(LdapAuthenticationProvider.java:178)

Modifique los parámetros de configuración de la JVM en setenv.sh o setenv.bat añadiendo el parámetro de configuración de la JVM:

-Dcom.sun.jndi.ldap.object.disableEndpointIdentification=true