svn - 设置 Apache 和 Subversion 以使用 LDAP (Windows Active Directory) 组身份验证

Question

我正在尝试使用 LDAP 访问为 Subversion 设置 Apache httpd，并且需要一些帮助:

我想要做的是使用组进行访问。如果您是该组的成员，则您具有读/写访问权限。如果不是，则您无权访问。

我们 LDAP 服务器中的组记录 (ldap://ldap.MyCompany.com/DC=MyCompany,DC=COM)

CN=SVN-GROUP,CN=Users,DC=MyCompany,DC=com

并且该组的成员在此记录中是这样的:

member: CN=David Weintraub,OU=Users,OU=Brooklyn,OU=Accounts,DC=MyCompany,DC=COM
member: CN=Joe Public,OU=Users,OU=Cincinnati,OU=Accounts,DC=MyCompany,DC=COM

如果您在 LDAP 中查找我的记录，您会看到:

memberOf: CN=SVN-GROUP,CN=Users,DC=MyCompany,DC=com
Name: David Weintraub
Distinguished Name: CN=David Weintraub,OU=Users,OU=Brooklyn,OU=Accounts,DC=MyCompany,DC=COM
sAMAccountName: dweintraub

我想做的是以 dweintraub 的身份登录(这是我的 Windows 帐户)和我的 Windows 密码。我也不想在登录时指定 Windows 域。每个人都将成为 mycompany的一部分领域。

我正在尝试浏览 Apache httpd 网站，但将所有内容放在一起有点困难。

这让我想起了，谁能推荐一本好的 Apache 书？

Answer 1

如果您使用的是 Apache 2.2，这实际上很容易。确保将 Apache 配置为同时启用 mod_ldap 和 mod_authnz_ldap。

以下是 AD ldap 身份验证和授权所需的最低要求:

<Location /path/to/repo/>
    AuthType basic
    AuthName "My Repository"
    AuthBasicProvider ldap
    AuthLDAPURL "ldap://ldap.example.com:3268/dc=example,dc=com?sAMAccountName" NONE
    AuthLDAPBindDN "DN of service account allowed to search"
    AuthLDAPBindPassword "Password of service account allowed to search"
    Require ldap-group DN of group allowed access to repo
</Location>

对于 ldap-group，不要用引号将 DN 括起来。通过指定端口 3268，您将连接到全局编录。我发现这更有效，因为 Apache 不会获得大量推荐。