如何读取连接到 Keycloak 的 OpenLdap 中的嵌套组

Question

我有一个带有 openLDAP 用户联合会的 Keycloak。在LDAP中，我有一个属于多个组的用户'someUser'，即：

dn: cn=developers,ou=groups,dc=example,dc=com
changetype: add
objectclass: groupOfNames
member: cn=architects,ou=groups,dc=example,dc=com

dn: cn=architects,ou=groups,dc=example,dc=com
changetype: add
objectclass: groupOfNames
member: uid=someUser,ou=People,dc=example,dc=com

在我的 Keycloak 上，我为 LDAP 创建了一个 LDAP 映射器，如下所示

映射器类型：角色-ldap-映射器
LDAP 角色 DN：ou=groups,dc=example,dc=com
角色名称 LDAP 属性：cn
角色对象类：groupOfNames
成员身份 LDAP 属性：成员身份
属性类型：DN 成员资格
用户 LDAP 属性：uid
LDAP 过滤器:
模式：READ_ONLY
用户角色检索策略：LOAD_ROLES_BY_MEMBER_ATTRIBUTE
LDAP 属性成员 : memberOf
使用领域角色映射：开启

问题是，当我尝试代表用户 'someUser' 获取令牌时，只有角色 'architects' 出现在令牌上。基于 LDAP 嵌套分组，我预计 'architects' 和 'developer' 角色都会出现在令牌上。

基于其他 answers 类似主题，我尝试将以下内容添加到 LDAP 过滤器：

memberOf:1.2.840.113556.1.4.1941

但这似乎只适用于 Microsoft Active Directory。

我的问题是，我需要做什么才能在 token 中同时拥有 'architects' 和 'developer' 角色？（除了必须对它们进行硬编码）。

Answer 1

尝试替换成员和对象类：

dn: cn=developers,ou=groups,dc=example,dc=com
changetype: add
objectclass: groupOfURLs
memberURL: ldap:///cn=architects,ou=groups,dc=example,dc=com?sub?(objectclass=*)

这种组定义称为动态组，您应该在您的 openldap 中尝试 ldapsearch 以查看目录是否发送正确的对象，例如：

  ./ldapsearch -h localhost--port 1389 -D "cn=Directory Manager" -w "password" -b "uid=someUser,ou=People,dc=example,dc=com" -s sub "(objectclass=*)" member

更多信息：https://www.zytrax.com/books/ldap/ch11/dynamic.html

如何读取连接到 Keycloak 的 OpenLdap 中的嵌套组

How to read nested groups in OpenLdap connected to Keycloak

ldap

keycloak

openldap

nested-groups