Группы доступа - Настройка LDAP

[Gorfree]

Добрый день, подскажите, кто победил, поиск по форуму не дал искомого результата.

С настройкой LDAP проблем не возникло, а вот с сопоставлением групп доступа для пользователей - да.

Предложенная в руководстве конструкция вида
(memberOf=CN=отдел,OU=раздел4,OU=раздел3,OU=раздел2,OU=раздел1,DC=домен,DC=ru)
при отсутствии галочки "по-умолчанию для LDAP" приводит к сообщению - Группа доступа для пользователей LDAP не настроена. LDAP вход не разрешен. Если галочка стоит, то все созданные группы с фильтрами благополучно игнорируются и пользователь улетает в группу с галочкой.

При этом найденный на просторах вариант (|(description=должность1)(description=должность2)) сработал.

Вопросы.
1. Существует ли ограничение на вложенность разделов в конструкции из руководства? (все примеры, найденные на форуме с маленькой глубиной вложения)
2. Как понять что именно идет не так с первым вариантом при условии что второй работает?
3. Если второй вариант работает и является официальным может стоит его тоже добавить в руководство?
4. Есть ли еще не описанные варианты указания фильтров?

В силу большого количества должностей и отделов хочется реализовать работу именно по первому варианту, подскажите как?

[Gorfree]

Текущие настройки LDAP (не заполнено только поле Фильтр имени пользователя LDAP)

Имя сервера LDAP 1.2.3.4
Порт сервера LDAP 389
Основное имя LDAP [ dn ] DC=domen,DC=ru
Идентификационный номер LDAP [ uid ] sAMAccountName
E-mail атрибут LDAP mail
трибут "Имя" givenname
Атрибут "Фамилия" sn
Пользователь LDAP [ dn ] user@domen.ru
Пароль LDAP xxxxxxx

[support]

Посмотрите документацию https://docs.rukovoditel.net.ru/index.p ... py_dostupa
Там есть автоматической назначение группы по фильтру.

[Gorfree]

Сергей, так речь как раз и о том, что указанный способ не сработал, в отличии от найденного в интернете. Иначе, зачем мне просить помощи на форуме. Я как раз и хочу понять как заставить работать указанный фильтр в документации, а не использовать недокументированный вариант, который при следующем обновлении может "вдруг" сломаться.

[support]

Смотрите, галочка "по-умолчанию для LDAP" должна быть установлена, так как она используется, если другие настройки не сработали.

При этом найденный на просторах вариант

Если вы не вносили изменения в код, то вариант останется рабочий, так как это просто фильтр, который добавляется в проверку. Тут не принципиально как он должен быть, главное что работает.

[Gorfree]

То, что без группы в которой есть галочка "по-умолчанию для LDAP" не работает понятно. Мне не понятно почему не работает фильтр memberOf весь топик только ради этого и создавался. Одним из предположений было что слишком большая глубина вложений группы в дереве AD. Вы на этот вопрос так и не ответили.

[support]

Я не специалист по LDAP и немогу ответить на ваш вопрос. Со своей стороны, я просто предаю это фильтр в команду php, и если он не работает, то я не могу сказать почему он не работает.

[Gorfree]

Понял, остается надеяться на помощь форума, от того у кого это получилось

[Gorfree]

Сергей, кажется наткнулся на источник моей проблемы.
Проверил на учетной записи состоящей в разных группах, с одной из групп сработало с другой нет. Отличие в присутствии () в названии OU одной из вложенных групп. Там где скобок нет отрабатывает без вопросов.
Можно ли как-то экранировать скобки в названии OU?

[support]

Можно ли как-то экранировать скобки в названии OU?

Не совсем понятно что имеется в виду. Может указать несколько фильтров со скобками и без?