php_ldap 克服 ssl 困难

Question

我正在尝试使用 php_ldap(使用 ADLdap)从 Ubuntu(hardy 8.04LTS)主机绑定(bind)到 AD。在端口 389 上绑定(bind)到 ldap://myserver 是可以的，但是不允许我做设置密码之类的事情，所以我需要在端口 636 上绑定(bind)到 ldaps://myserver。

我知道会发生某种形式的凭据传递，可能是通过证书，但我真的很难让任何东西正常工作——ldaps 上的绑定(bind)失败。

测试平台 AD 在域 mydom.local 中有一个容器 Users我用于在用户容器中绑定(bind)的帐户，其 DN 为

'CN=LDAP BIND,OU=Users,DC=mydom,DC=local' and a password of 'mypass'

它的 sAMAccount 名称是 ldap

我怀疑我需要在 ubuntu 机器上安装一些额外的包，或者在 Windows 服务器上对 AD 做一些魔术，或者做一些证书抓取的事情，但我被卡住了。

只是添加一些细节，如果我尝试使用 ldapsearch 从命令行连接以搜索一些名为 install 的用户，我会得到

ldapsearch -vv   -H 'ldaps://server.mydom.local' -Y DIGEST-MD5 -X 'dn:CN=LDAP BIND,OU=Users,DC=mydom,DC=local' sAMAccountname=install -U 'u:LDAP BIND'
ldap_initialize( ldaps://server.mydom.local:636/??base )
SASL/DIGEST-MD5 authentication started
Please enter your password: mypass
ldap_sasl_interactive_bind_s: Invalid credentials (49)

正如我所说，我可以在 389 上成功绑定(bind)。

我已经在 ubuntu box 上安装了 ldap-utils、libldap、php5-ldap 和/etc/ldap/ldap.conf 是:

TLS_REQCERT never
BINDDN 'CN=LDAP BIND,OU=Users,DC=mydom,DC=local'
URI ldaps://server.mydom.local

有什么建议吗？

Answer 1

啊哈!找到了 - 为了通过 ssl 绑定(bind)到 AD，你需要安装 libsasl2-modules-gssapi-mit - 所以在 ubuntu 上使用

apt-get install libsasl2-modules-gssapi-mit

我在这里找到了答案:https://help.ubuntu.com/community/ActiveDirectoryHowto

这使我所有的绑定(bind)问题都消失了。显然，如果您这样做是为了允许 ADLdap 更改密码，您绑定(bind)的用户将需要在 AD 服务器上有足够的权限。