using parent key and filter

[fchapuis0101]

Hi, I want to do some filter on search ldap result. But it seams it does not work parent: "{memberOf.cn}" dn: "ou=APP,ou=DEV,ou=700_group,ou=20_group,ou=Other,ou=xxx,dc=test,dc=comp,dc=ch" This does not filter the memberOf.cn for the specific path

Any help will be very appreciate

Fabrice

version: 6

postgres:
  managed_roles_query: |
    select rolname from pg_roles where rolname ~ 'user_[12][0-9]{5}'
rules:
- description: "Synchronise admin users"
  ldapsearch:
    base: ou=org,ou=Users,dc=test,dc=comp,dc=ch
    filter: >
        (&
           (!(test))(memberOf=cn=*,ou=APP,ou=DEV,ou=700_group,ou=20_group,ou=Other,ou=xxx,dc=test,dc=comp,dc=ch)
        )
    scope: "sub"
  roles:
  - name: "{myid}"
    options:
      LOGIN: true
      CONNECTION LIMIT: 10
    parent: "{memberOf.cn}"
      dn: "ou=APP,ou=DEV,ou=700_group,ou=20_group,ou=Other,ou=xxx,dc=test,dc=comp,dc=ch"
    comment: "{myid}"

[bersace]

Bonjour,

À quoi correspond dn: "ou=APP... ? ça ne me semble même pas du YAML valide.

[fchapuis0101]

Merci pour ce retour. C'est en effet un essai de ma part, en vérifiant dans la doc ldap2pg la clé "parent" ne possède pas d'attributs. Je cherche à filtrer les memberOf.cn en fonction d'un chemin précis du ldap en l'occurence ici celui qui correspond à l'environnement de DEV et pas les autres. Comment effectuer cette configuration dans le ldap2pg.yml

[bersace]

C'est une question purement de recherche LDAP. Je retournerai la requête:

rules:
  - ldapsearch:
      base: ou=APP,ou=DEV,ou=700_group,ou=20_group,ou=Other,ou=xxx,dc=test,dc=comp,dc=ch
      scope: sub
    roles:
      - name: "{cn}"
      - name: "{member.cn}"
        options: LOGIN

C'est gênant si vous avez des groupes de groupes (nested groups).
Si vous utilisez member.sAMAccountName plutôt que member.cn, vous aurez une explosion du nombre de recherches.

Sinon, vous devrez lister explicitement chaque objet sous ou=APP.
Si vous avez besoin d'une configuration dynamique, générez là avec un script avant de la passer à ldap2pg avec --config=- par exemple. Ça se fait.

cf. https://ldap.com/ldap-filters/

[fchapuis0101]

Merci pour votre réponse
En fait la requête LDAP retourne l'ensemble des utilisateurs pour un environnement donnée (développement par exempale)
-> cette requête est ok
Ensuite il faut que pour chaque utilisateur, j'obtienne les groupes auxquel il appartient, c'est là que c'est plus compliqué
la clé parent permet d'affecter un groupe à l'utilisateur dans la base Postgres.
parent: "{memberOf.cn}"
Le problème est que memberOf.cn retourne l'ensemble des groupes pour tous les environnements.
Il faudrait pouvoir générer une sous-requête pour chaque utilisateur avec un nouveau filtre sur ou=DEV pour retourner les bons groupes.
Comment écrire cette sous-requête dans la configuration yaml du ldap2pg?

[bersace]

Il faut traiter le problème dans l'autre sens : lister les groupes dans un environnement et créer les membres de ces groupes uniquement.

[fchapuis0101]

Oui, c'est une bonne idée, j'ai essayé de prendre le problème par l'autre bout (code ci-dessous). Mais comment récupérer les attributs des utilisateurs qui se trouvent dans les feuilles d'une autre branche du ldap, il faut aussi une sous requête? Il n'y a pas moyen d'écrire une 2ème requête de recherche? (avec le mot clé joins peut-être)

version: 6

postgres:
  managed_roles_query: |
    select rolname from pg_roles where rolname ~ 'user_[12][0-9]{5}'
rules:
- description: "Synchronise admin users"
  ldapsearch:
    base: ou=APP,ou=DEV,ou=700_group,ou=20_group,ou=Other,ou=xxx,dc=test,dc=comp,dc=ch
    scope: "sub"
  roles:
  - name: "{uniqueMember.uid}"
    options:
      LOGIN: true
      CONNECTION LIMIT: 10

[bersace]

Quelles propriétés ?

À noter, on peut définir plusieurs fois un rôles, la parents sont aggrégés.

[fchapuis0101]

par exemple: son numéro d'employé, son nom complet etc... Ces informations ne sont pas dans la branche où se trouvent les groupes

[fchapuis0101]

Bonjour,
Je vais résumer ce que je souhaite obtenir avec ldap2pg

1. Une 1ère requête ldap permet d'obtenir la liste des identifiants des utilisateurs qui appartiennent aux groupes dev
   base: ou=APP,ou=DEV,ou=700_group,ou=20_group,ou=Other,ou=xxx,dc=test,dc=comp,dc=ch
2. Une 2ème requête ldap pour obtenir les propriétés pour chaque utilisateur
   base: ou=org,ou=Users,dc=test,dc=comp,dc=ch
   Est-ce qu'il est possible de construire ce type d'interrogation dans la configuration ldap2pg?

[bersace]

Bonjour @fchapuis: ça doit être possible.

À noter : vous pouvez définir des liens de parenté en plusieurs fois. La première règle définira les options. Les suivantes ajouteront des parents.

rules:
  - description: Créer les utilisateurs
    ldapsearch:
      base: ou=org,ou=Users,dc=test,dc=comp,dc=ch
     role: ...
  - description: Accorder l'accès dev
    ldapsearch:
      base: ou=APP,ou=DEV,ou=700_group,ou=20_group,ou=Other,ou=xxx,dc=test,dc=comp,dc=ch
       ...
     role:
       name: "{uniqueMember.uid}"
       parent: "{cn}"

Étienne

[fchapuis0101]

@bersace Merci pour votre réponse. En fait j'ai créé dynamiquement un section par groupe ( -description ...) ce qui permet de boucler sur l'ensemble des utilisateurs et de les affecter au groupe. Donc le fichier ldap2pg.yml configuré ainsi me permet de récupréer un ensemble de groupes et d'affecter les utilisateurs pour chacun de ces groupes.

• description: Accorder l'accès dev
  ldapsearch:
  base: ou=APP,ou=DEV,ou=700_group,ou=20_group,ou=Other,ou=xxx,dc=test,dc=comp,dc=ch
  ...
  role:
  name: "{uniqueMember.uid}"
  parent: "{cn}"
  Cdlt,

[bersace]

D'accord. Le problème est-il résolu ?

[fchapuis0101]

Oui la solution fonctionne très bien, merci pour votre aide.