CRM Руководитель - Форум

Добрый день, подскажите, кто победил, поиск по форуму не дал искомого результата.

С настройкой LDAP проблем не возникло, а вот с сопоставлением групп доступа для пользователей - да.

Предложенная в руководстве конструкция вида
(memberOf=CN=отдел,OU=раздел4,OU=раздел3,OU=раздел2,OU=раздел1,DC=домен,DC=ru)
при отсутствии галочки "по-умолчанию для LDAP" приводит к сообщению - Группа доступа для пользователей LDAP не настроена. LDAP вход не разрешен. Если галочка стоит, то все созданные группы с фильтрами благополучно игнорируются и пользователь улетает в группу с галочкой.

При этом найденный на просторах вариант (|(description=должность1)(description=должность2)) сработал.

Вопросы.
1. Существует ли ограничение на вложенность разделов в конструкции из руководства? (все примеры, найденные на форуме с маленькой глубиной вложения)
2. Как понять что именно идет не так с первым вариантом при условии что второй работает?
3. Если второй вариант работает и является официальным может стоит его тоже добавить в руководство?
4. Есть ли еще не описанные варианты указания фильтров?

В силу большого количества должностей и отделов хочется реализовать работу именно по первому варианту, подскажите как?

Текущие настройки LDAP (не заполнено только поле Фильтр имени пользователя LDAP)

Имя сервера LDAP 1.2.3.4
Порт сервера LDAP 389
Основное имя LDAP [ dn ] DC=domen,DC=ru
Идентификационный номер LDAP [ uid ] sAMAccountName
E-mail атрибут LDAP mail
трибут "Имя" givenname
Атрибут "Фамилия" sn
Пользователь LDAP [ dn ] user@domen.ru
Пароль LDAP xxxxxxx

Посмотрите документацию https://docs.rukovoditel.net.ru/index.p ... py_dostupa
Там есть автоматической назначение группы по фильтру.

Сергей, так речь как раз и о том, что указанный способ не сработал, в отличии от найденного в интернете. Иначе, зачем мне просить помощи на форуме. Я как раз и хочу понять как заставить работать указанный фильтр в документации, а не использовать недокументированный вариант, который при следующем обновлении может "вдруг" сломаться.

Смотрите, галочка "по-умолчанию для LDAP" должна быть установлена, так как она используется, если другие настройки не сработали.

При этом найденный на просторах вариант

Если вы не вносили изменения в код, то вариант останется рабочий, так как это просто фильтр, который добавляется в проверку. Тут не принципиально как он должен быть, главное что работает.

То, что без группы в которой есть галочка "по-умолчанию для LDAP" не работает понятно. Мне не понятно почему не работает фильтр memberOf весь топик только ради этого и создавался. Одним из предположений было что слишком большая глубина вложений группы в дереве AD. Вы на этот вопрос так и не ответили.

Я не специалист по LDAP и немогу ответить на ваш вопрос. Со своей стороны, я просто предаю это фильтр в команду php, и если он не работает, то я не могу сказать почему он не работает.

Понял, остается надеяться на помощь форума, от того у кого это получилось

Сергей, кажется наткнулся на источник моей проблемы.
Проверил на учетной записи состоящей в разных группах, с одной из групп сработало с другой нет. Отличие в присутствии () в названии OU одной из вложенных групп. Там где скобок нет отрабатывает без вопросов.
Можно ли как-то экранировать скобки в названии OU?

Можно ли как-то экранировать скобки в названии OU?

Не совсем понятно что имеется в виду. Может указать несколько фильтров со скобками и без?