Как импортировать .ldif в Active Directory?

Question

[WSGlebKavash]

На сайте Apache Guacamole лежит .ldif файл для OpenLDAP. При импорте в Active Directory возникает ошибка:

ldap_add: No such attribute (16)
	additional info: 0000200A: objectclass olcSchemaConfig is not a valid objectClass in schema

Как импортировать .ldif от Guacamole? Как настроить работу Guacamole с ActiveDirectory?

Answer 1

[CityCat4]

Глеб, а с чего ты решил, что LDIF-файл для openLDAP вообще должен импортироваться в AD? Только потому что там внутри LDAP? Ну так так схема совсем другая...

Comments

[WSGlebKavash]

CityCat4, Документация Apache Guacamole утверждает, что их статья подходит для OpenLDAP. Для Active Directory они отправляют к разработчикам, т.е. к Microsoft.
В файле.ldif содержит olc, про которые Active Directory ничего не знает (по крайней мере в интернете нет ни одной статьи, где olc используется в AD, только в slapd OpenLDAP).
И как быть?

[CityCat4]

WSGlebKavash, Схема AD - она совершенно другая, нежели openLDAP. Хотя если есть AD, которую не жалко, можно попробовать вручную создать все необходимое - но есть очень немалый риск угробить AD такими действиями.

[WSGlebKavash]

CityCat4,

очень немалый риск угробить AD

Именно поэтому для редактирования схемы нужно создать параметр в реестре.

Схема AD - она совершенно другая, нежели openLDAP.

Как вариант, попробовать подогнать ldif под Active Directory. В AD используется entry attributSchema. В том файле 1 класс и два атрибута. Можно попробовать разбить на 3 отдельных entry.

[WSGlebKavash]

CityCat4, Хоть и не с первой попытки, но всё заработало. Встроенный режим администрирования конечно не работает, но через .ldif добавлять записи можно.

Answer 2

[Роман Безруков]

Первое - на сайте Guacamole человеческим языком написано:

The instructions given for applying the Guacamole LDAP schema changes are specific to OpenLDAP, but other LDAP implementations, including Active Directory, will have their own methods for updating the schema.

If you are not using OpenLDAP, a standards-compliant schema file is provided that can be used to update the schema of any LDAP directory supporting RFC-2252. Please consult the documentation of your LDAP directory to determine how such schema changes can be applied.

Второе - изменение схемы есть опциональный и необязательный шаг, нужный лишь для того, чтобы добавить в службу каталогов атрибуты для хранения параметров подключений.

Третье - Google у нас пока работает: Setup LDAP/AD authentication for Guacamole 1.1.0

Четвертое - поддержу CityCat4 - один класс и два атрибута можно создать руками

Comments

[WSGlebKavash]

Роман Безруков,

чтобы добавить в службу каталогов атрибуты для хранения параметров подключений.

Ну так как добавлять параметры подключений, если нет атрибутов? Если мы сейчас пропустим, то потом всё сломается. Так что модифицировать схему надо.

[Роман Безруков]

WSGlebKavash, а зачем их вообще в службу каталогов добавлять - в чем цель? чем собственная база Guacamole хуже?
Хотите добавить атрибуты - лучше создавайте руками. Инструменты для этого у МС есть, и документации в сети достаточно.
Ссылку по настройке AD-аутентификации без расширения схемы я дал...

[WSGlebKavash]

Роман Безруков,

чем собственная база Guacamole хуже?

Хранить пароль в открытом виде в xml. Насколько это безопасно, судите сами. Хотя в схеме с AD в открытом виде хранится вообще пароль администратора домена. Так что надо ограничивать доступ к guacamole.properties.

Хотите добавить атрибуты - лучше создавайте руками.

Хоть и не с первой попытки, но всё заработало. Встроенный режим администрирования конечно не работает, но через .ldif добавлять записи можно.
Спасибо за помощь и ответ.

[Роман Безруков]

WSGlebKavash,

Хотя в схеме с AD в открытом виде хранится вообще пароль администратора домена

- серьезно?