如何调试Gitlab LDAP身份验证?

时间:2013-09-24 14:20:11

标签: ldap gitlab

我正在尝试使用gitlab配置LDAP身份验证。我的配置有点像:

ldap:
    enabled: true
    host: 'ldap.example.com'
    base: 'ou=People,o=example.com'
    port: 636
    uid: 'uid'
    method: 'ssl' # "ssl" or "plain"
    bind_dn: 'cn=gitlab,ou=Apps,o=example.com'
    password: 'password'
    allow_username_or_email_login: true

我测试了以下内容:

ldapsearch  -b "ou=People,o=example.com" -s sub -D "cn=gitlab,ou=Apps,o=example.com" -H ldaps://ldap.example.com:636 -w "password" -x "(uid=myname@example.com)"

上面的行有效,但是当我尝试使用LDAP登录时,我总是得到“无效的凭据”。

如何解决此问题并缩小此问题的根本原因?

编辑26/09:

以下是我在production.log上找到的一些内容:

Started GET "/users/sign_in" for 127.0.0.1 at 2013-09-23 17:42:58 -0300
Processing by Devise::SessionsController#new as HTML
  Rendered devise/sessions/_new_ldap.html.haml (1.7ms)
  Rendered devise/sessions/_new_base.html.haml (1.8ms)
  Rendered devise/sessions/_oauth_providers.html.haml (0.0ms)
  Rendered devise/sessions/new.html.haml within layouts/devise (4.2ms)
  Rendered layouts/_head.html.haml (1.6ms)
  Rendered layouts/_flash.html.haml (0.1ms)
Completed 200 OK in 9ms (Views: 6.9ms | ActiveRecord: 0.0ms)
Started POST "/users/auth/ldap/callback" for 127.0.0.1 at 2013-09-23 17:43:00 -0300
Processing by OmniauthCallbacksController#failure as HTML
  Parameters: {"utf8"=>"â", "authenticity_token"=>"AwqZsVHRqOeZr+GLWWeGM7MyOAdk7cFl8/rZgbVRU+8=", "username"=>"name@example.com", "password"=>"[FILTERED]"}
Redirected to http://example.com/users/sign_in
Completed 302 Found in 3ms (ActiveRecord: 0.0ms)
Started GET "/users/sign_in" for 127.0.0.1 at 2013-09-23 17:43:00 -0300
Processing by Devise::SessionsController#new as HTML
  Rendered devise/sessions/_new_base.html.haml (2.8ms)
  Rendered devise/sessions/_oauth_providers.html.haml (0.1ms)
  Rendered devise/sessions/new.html.haml within layouts/devise (3.7ms)
  Rendered layouts/_head.html.haml (1.7ms)
  Rendered layouts/_flash.html.haml (0.1ms)
Completed 200 OK in 9ms (Views: 6.6ms | ActiveRecord: 0.0ms)
Started GET "/" for 127.0.0.1 at 2013-09-23 18:50:08 -0300
Processing by DashboardController#show as HTML
Completed 401 Unauthorized in 1ms

编辑:我终于得到了答案:设计上的配置在“@”之后剥离了每一个。我不记得确切的名字,但我可以在我访问机器后立即发布。我通过向ldap oauth登录添加日志来发现这一点。

3 个答案:

答案 0 :(得分:8)

OP kidbomb mentions

  

设计配置剥离“@后的所有内容。
  我通过向ldap oauth登录添加日志来发现这一点。


检查是否也可以通过ldap(不是ldaps://

访问LDAP服务器
ldapsearch  -b "ou=People,o=example.com" -s sub -D "cn=gitlab,ou=Apps,o=example.com" -H ldap://ldap.example.com:389 -w "password" -x "(uid=myname@example.com)"

如果是,请尝试将gitlab.yml设置文件ldap.method从'ssl'修改为“plain”。

目标是验证用于联系ldap服务器的证书是否是此处的问题。

如果您可以通过ldap://(无证书)联系服务器,那么至少可以为您提供一种解决方法。

如果没有(您必须通过ldaps://),您需要更详细地研究与LDAP服务器关联的证书。

openssl s_client -connect ldap.example.com:636  2>/dev/null < /dev/null

(我在这里没有使用-CAFile-CAPath,假设CA位于/etc/ssl/openssl.cnf中提及的默认位置

如果你在该命令的输出结尾处得到消息:

error:num=21:unable to verify the first certificate 

这意味着你需要从发行人那里获得证书 请参阅“How To Verify SSL Certificate From A Shell Prompt”。

答案 1 :(得分:1)

我们使用LDAP凭据配置了gitlabs,但每当有人登录时,我们都会收到&#34; 500内部服务器错误&#34;消息。然而,当我们正确格式化/etc/gitlab/gitlab.rb时,问题似乎消失了。似乎有不同的格式化ldap变量的方法,具体取决于您使用的gitlabs版本:7.3.2.omnibusmaster

答案 2 :(得分:1)

我发现您找到了针对您的方案的解决方案,但我认为我已经为其他遇到GitLab&amp; LDAP。

  • 运行GitLab的LDAP rake检查以本地化问题。 https://docs.gitlab.com/ce/administration/raketasks/ldap.html#check。在您正在使用的GitLab安装文档中列出了更全面的内容。
  • 如果使用SELinux,请将其设置为许可模式。
  • 如果将Apache与GitLab一起使用:安装LDAP - Apache Directory Studio 并尝试建立连接。如果你不能,那就是 你的config.yml文件可能有错。我开始看看 基。
  • 运行tcpdump并将.pcap文件导入WireShark进行检查。
  • 查看LDAP服务器和GitLab服务器上的日志