Аутентификация по Active Directory в Laravel, какой пакет посоветуете, если нет админов в ldap?

Question

[ettychel]

Добрый день!
Пробовал использовать
https://github.com/krenor/ldap-auth - там внутренняя какая то ошибка, потому что функция count не может посчитать
count(): Parameter must be an array or an object that implements Countable

https://github.com/jotaelesalinas/laravel-simple-l... - тут просто страница перезапускается без ошибок, при помощи dd() понял что он даже не задействует метод attemptLogin() хотя по идее она основная

Что можете посоветовать с нормальной документацией и чтобы без учётки админа
На ldap любой пользователь может почитать данные о другом, мне же надо просто проверить логин и пароль, если вернет true то всё прекрасно пускаю, false ну я думаю понятно

Answer 1

[Иван Шумов]

А почему бы не поднять нормальный отдельный Identity Server (например, Keycloak) и работать в Laravel с всем уже привычным OpenId?

PS уже не помню кого благодарил за этот софт, но этот человек тут же находится. Спасибо ему, удобно

Comments

[ettychel]

Active Directory в компании, я над ним не властен и мне надо к нему привязаться
Поэтому имеем то, что имеем
или это какая то прослойка?

[Иван Шумов]

ettychel, это прослойка - https://www.keycloak.org/. У нас все точно так же и мы переводим сейчас на него системы с другого продукта. Все что нужно - подсоединить ldaps и настроить openID клиент для приложения

[ettychel]

Иван Шумов, Спасибо, почитал документацию, вроде это то что мне нужно, но я думаю потом возникнет вопрос как это всё связать с laravel)) ну ожидайте в ближайшем будущем, хотя я сначала попробую сам разобраться)

[Иван Шумов]

ettychel, обычным Single Sign-on) потом спасибо скажете когда систем будет больше одной)

[Иван Шумов]

ettychel, ну и сразу цельтесь в OpenId + jwt

[ettychel]

Иван Шумов, систем не ожидается больше одной, та и не будет так то корпоративная сеть и все сидят на одной, безопасники не позволят)) а вот с настройкой федерации пока проблема и проблема не в keycloak, а в том, что нет админа на ldap(( keycloak говорит что 0 пользователей синхронизировано когда bind type ставлю none, а когда выставляю на simple выдает ошибку, хотя ввожу свои логин и пароль верно, потом гуглил, оказалось надо логин писать в формате uid=user,dc=corp,dc=company,dc=ru но это породило другую ошибку

[Иван Шумов]

ettychel, если напишешь в личку то можем хоть созвониться и я дам нормальные конфиги и расскажу нюансы. Free, не бойся)

[Виталий Богряшов]

Всем спасибо за интересный продукт keycloack (клоака для ключей?). Давно искал подобное, вижу - должно и мне помочь. Иван Шумов, можно если что тоже в личку? :)

[Виталий Богряшов]

Пока не тестировал keyscloack, но сразу хочу вопрос - я правильно понимаю, что при перенаправлении на сервер keycloack доменный пароль не понадобится вводить т.к. он использует текущую учетную запись системы. Правильно? Ведь смысл именно в запрете ввода доменных паролей где-либо, кроме как при входе в систему, где его перехватить почти невозможно.

[Иван Шумов]

Виталий Богряшов, не правильно. Такие истории закончились примерно в то время когда умер ActiveX в IE. Браузер это всегда отдельная жизнь, но зато пароль будет общий и менять его можно будет и из браузера тоже

[Иван Шумов]

Виталий Богряшов, смотря для чего

[ettychel]

Виталий Богряшов, Когда я читал документацию, я наткнулся на Kerberos, на сколько я понял это то, что вам необходимо. В случае с windows системами у вас должен быть внедрен Kerberos в домен, после аутентификации в системе, Kerberos может аутентифицировать вас и в другом сервисе. В Keycloak доступен данный функционал во вкладке Аутентификация

⇑ это админка keycloak (После публикации увидел качество, в общем там написано Kerberos)

Доки майка

Всё по kerberos из доков keycloak

[Виталий Богряшов]

ettychel, спасибо, хоть и через год, но вопрос еще актуален, т.к. эту клоаку все еще не удалось попробовать.

[ettychel]

Виталий Богряшов, пробуйте, вещь отличная)

[Иван Шумов]

Виталий Богряшов, если за год не удалось осилить keycloak то у меня большой вопрос вашей квалификации. Я его настроил с AD как первый опыт настройки подобных систем и сделал это за часик, спокойно куря мануалы. Проще инструмента на рынке просто нет, ну из self-hosted