Proxmox LDAP / AD mit Azure

[MrKampf]

Guten Morgen,

ich versuche jetzt seit einigen Stunden unser Proxmox VE Cluster mit unserem LDAP Dienst von Azure zu verbinden. Folgendes Problem ist dabei entstanden, ich trage die Daten korrekt ein, Server & Port sind korrekt sowie SSL aktiviert.



Unter Sync options habe ich einen Bind User definiert "cn=no-reply,dc=example,dc=de" ebenfalls habe ich ein bind Password gesetzt, beide Daten sind auch korrekt gespeichert in der cf und in der pw Datei.



Jedoch bekomme ich bei meinem Sync Preview folgenden Fehler "TASK ERROR: 80090308: LdapErr: DSID-0C09044E, comment: AcceptSecurityContext error, data 52e, v2580 at /usr/share/perl5/PVE/LDAP.pm line 55.". Dieser Fehler besagt, das die Anmeldedaten falsch sind, wenn ich die selben Daten nun aber in das Windows Remote LDAP Tool packe, kann ich Problemlos ein Bind aufbauen. Meine Vermutung, Proxmox überträgt ggf. das Password / Username falsch? Habe sowohl LDAP als auch AD als Realms ausprobiert, beides schlägt fehl. Ebenfalls habe ich auch verschiedene User ausprobiert, immer der gleiche Fehler.




vielen Dank für Ideen und eure Hilfe!

 

[dcsapak]

Hi,

kannst du es mal mit ldapsearch versuchen? (dazu muss potentiel das 'ldap-utils' paket installiert werden)

ldapsearch -D <BINDDN> -h <LDAPSERVER> -p <PORT>  -W

 

[MrKampf]

Hi,

vielen Dank! Das hat auf jeden fall dem Problem auf die Sprünge geholfen!



Soweit sehe ich jetzt das man cn=no-reply,dc=example nicht weit kommt aber dafür mit no-reply@example, mhm.

 

[dcsapak]

ok funktionierts mit no-reply@example.com in als bind-user im pve auch ?

 

[MrKampf]

Nein leider nicht, da ist das Feld auch leer im GUI. Als Meldung wenn ich Sync drücke kommt:

"TASK ERROR: 000004DC: LdapErr: DSID-0C0907E9, comment: In order to perform this operation a successful bind must be completed on the connection., data 0, v2580 at /usr/share/perl5/PVE/LDAP.pm line 137."
In der Konfig habe ich es mit Nano eingetragen



Ich vermute das es eine Validation prüfung gibt, die das Format nicht akzeptiert. In der GUI gibt es ja auch eine regex prüfung.

 

[MrKampf]

@dcsapak vielen Dank für deinen Hinweis, dieser hat mich unheimlich voran gebracht. Ich konnte das Problem soweit eingrenzen. Es liegt tatsächlich an der Regex regel von pve. Er prüft bzw. erwartet das format "cn=no-reply,dc=example" aber manche ldaps wollen "no-reply@example"

Habe jetzt den Code verändert und es klappt soweit. Um es natürlich dauerhaft zu machen müsste man nun die Regex Regeln anpassen die erwartet werden.


Pfad: /usr/share/perl5/PVE/LDAP.pm


So funktioniert es dann aber auch nur CLI und nicht per GUI, da steige ich noch nicht durch, wie es sich da wieder unterscheiden kann.

 

[k9user]

Hi,

vielen Dank! Das hat auf jeden fall dem Problem auf die Sprünge geholfen!

View attachment 37385

Soweit sehe ich jetzt das man cn=no-reply,dc=example nicht weit kommt aber dafür mit no-reply@example, mhm.

Hi @MrKampf,

dasselbe Problem mit dem "-D" Parameter in der DN-Form hatte ich auch. Bei mir lag es daran, dass ich nicht den kompletten DN angegeben hatte, was als falscher Benutzername interpretiert wurde.

Wie bei dir funktionierte ldapsearch in der UPN-Form (also mit dem @), über die ich nach meinem User suchen konnte, um die vollständige DN-Form darstellen zu lassen. In meinem Fall fehlten ein paar "ou"s.

Also z.B.:

cn=no-reply,ou=my-ou,dc=example,dc=de

Die vollständige DN-Form, die dann positiv über ldapsearch getestet wurde, kann man dann auch erfolgreich im PVE-WUI als "bind user" verwenden (insofern der User über die notwendigen Berechtigungen verfügt).

Viele Grüße