User aus AD kann sich nicht an Webmail oder per Outlook authentifizieren

codec

Hallo zusammen,
ich habe erst mit einem lokalen User getestet, da hat das webmail und auch Outlook funktioniert.
Nun habe ich LDAP mit unserem Windows 2016 AD Server verbunden über die folgende Einrichtung:
# Configuration automatically generated by grommunio-admin. ldap_disabled=False ldap_host=ldap://192.168.1.5:389 ldap_bind_user=CN=LDAP-USER,,OU=Users,OU=MyBusiness,DC=Dingens,DC=local ldap_bind_pass=TotalGeheim ldap_start_tls=True ldap_search_base=DC=Dingens,DC=local ldap_object_id=objectGUID ldap_mail_attr=mail ldap_user_displayname=displayName ldap_user_filter=(objectClass=user) ldap_user_search_attrs=mail ldap_user_search_attrs=givenName ldap_user_search_attrs=cn ldap_user_search_attrs=sn ldap_user_search_attrs=name ldap_user_search_attrs=displayName ldap_user_templates=common ldap_user_templates=ActiveDirectory ldap_user_aliases=proxyAddresses

Ich konnte Benutzerkonten über grommunio-admin ldap downsync --complete übernehmen.

Die Benutzer können sich aber nicht mit E-Mail-Adresse und Ihrem Domänen-Passwort anmelden.
Bei der Webmail kommt nur die Meldung "Logon-Failed please check your credentials"
In Outlook kommt immer wieder der Anmeldedialog.
Was mache ich falsch?

Gruß
Norbert

crpb

grommunio-admin mconf print ldap | grep username gibt dir "mail" zurück oder?
Ich habe in meiner Testumgebung auf "Only LDAP Auth" gestellt im Web-Admin. Vielleicht hilft das ja.

codec

crpb Ja, es gibt "mail" zurück. Ich hatte im Web-Admin schon auf Automatik gestellt.
WalterH Auch "Only LDAP Auth" hilft auch nicht. Weder in Outlook noch im Webmail kann ich mich anmelden.

Kann es sein, dass ein Passwort, das ein Leerzeichen enthält hier problematisch ist?

WalterH

Wie crpb sagt "Only LDAP Auth" oder "Automatik", dieser Fehler ist mir auch schon passiert.

WalterH

Habe noch nie ein Passwort mit Leerzeichen verwendet, das kannst aber einfach testen, Passwort ändern so das kein Leerzeichen enthalten ist und ausprobieren.

codec

Habe ich schnell ausprobiert, macht aber keinen Unterschied.

WalterH

Aktuelles Update installiert? Vor einigen Tagen gab es ein LDAP Problem, wenn ich mich richtig erinnere.

codec

WalterH Ja, gestern habe ich alles aktuell gezogen.

codec

Dumm gefragt, als Benutzername nehme ich aber auch die E-Mail Adresse der in grommunio angelegten Domäne und nicht die AD interne, die mit name@domäne.local ist.. Oder?

crpb

Ne die aus der AD :-). Deswegen ja auch das "mail" attribut bei der oben genannten abfrage.
Also eher so gesagt... was auch immer in dem Attribut "mail" in der AD bei dem Benutzer steht.
Alternativ umstellen auf 'sAMAccountName' oder so.

Also bei einer Ausführung von grommunio-admin ldap downsync --complete --auto sollten die Benutzernamen ausgespuckt werden normal.
Oder halt grommunio-admin user list da steht eigtl. was in dem Attribut "mail" auch eingetragen ist.

Und um einfach mal alles anzuschauen z.B. so

USERLIST=$(grommunio-admin user list | awk '{print $2}' |grep -v -E '^admin$|^users$')
for user in $USERLIST; do grommunio-admin user show $user; done

WalterH

Damit man bei der WebApp die Domain nicht eingeben muss, kann man in der Datei: /etc/grommunio-web/config.php die Variable DEFAULT_DOMAIN die Kunden Domain eintragen. Die User können dann nur mit dem Teil der Mail Adresse vor dem @ einloggen. Alternativ kann man noch immer die ganze Mail Adresse verwenden.

codec

OK, "grommunio-admin user list" gibt mir die Adressen der auf grommunio eingerichteten Maildomain aus, die ich im AD bei E-Mail Adresse eingetragen hatte.
Damit klappt der Login nicht.
Wenn ich im web-admin den aus dem AD gesyncten User lösche und mit gleichen Zugangsdaten lokal anlege, dann klappt der Login, aber das ist ja nicht das Ziel.

WalterH

Unbedingt updaten, so wie es aussieht, wurde vor kurzer Zeit ein recht großes Update freigegeben.

WalterH

Wie ist der Wert User authentication mechanism unter Admin - Directory gesetzt?

codec

WalterH Ich habe alle 3 Optionen des User authentication mechanism durchprobiert. Es macht leider keinen Unterschied.

sbrunner

ldap_bind_user=CN=LDAP-USER,,OU=Users,OU=MyBusiness,DC=Dingens,DC=local

Hast du dich hier vertippt oder hast du wirklich 2 Kommas nach einander?

codec

Nein, da waren keine 2 Komma, ich habe die eine OU raus genommen um den Bind-DN zu anonymisieren.

sbrunner

Ich habs mal mit meiner Konfiguration verglichen (Win AD 2019).
Port 389 und StartTLS? Ich hab mich zwar letztens zwar nicht bis ins letzte Detail damit befasst, aber ich meine zu wissen das der Windows DC für SSL auf dem Port 636 lauscht. Zudem müsste nicht auch der Protokollaufruf "LDAPS://" sein?
Versuchtsweise würde ich mal SSL deaktivieren und so testen.

codec

Wenn ich auf Port 636 umstelle oder/und auf ldaps:// dann kann ich die Konfiguration nicht speichern. Wenn ich aber jetzt STARTTLS deaktiviere, dann funktioniert es tatsächlich.
Du hast mich also in die richtige Richtung geschubst...
Danke

sbrunner

codec Keine Ursache.. Bin selber darüber gestolpert den Server ohne ldap:// anzugeben. Verursachte genau dasselbe Verhalten. Sync funktioniert, anmelden nicht.

@mwilliams Wäre es möglich beim speichern der LDAP-Konfiguration einen Check einzubauen? Bespw. das der Admin-Dienst versucht sich mit dem Bind-User am LDAP Server zu authentifizieren. So könnten solche einfachen Probleme aufgefangen werden.