LDAP Import

mahescho

Open LDAP, ist ein UCS. Jetzt habe ich auch noch einen Benutzer, der gar nicht gefunden (search, dump) wird.

WalterH

Wenn ein User nicht gefunden wir, ist entweder der Kontext falsch, es ist kein User oder der hat keine Mailadresse usw.. Ich habe bis jetzt ca. 800 User über LDAP problemlos importiert.

mahescho

Freut mich ausserordentlich, dass es bei dir funktioniert 🙂 Bei mir aber nicht. Bleiben wir mal weg von dem nicht gefundenen Benutzer und konzentrieren uns auf den Fall:

An error occurred: IndexError('list index out of range',).

Was kann hier das Problem sein? Die User haben natürlich viele Adressen in verschiedenen Domain. Es gibt natürlich das Attribut "mailPrimaryAddress". Die Masse ist aber in "mailAlternativeAddress". Der UCS läuft so zusammen mit Kopano und da klappt das alles ...

Wo bei ein normaler "ldapsearch" den Benutzer per "uid" selbstverständlich findet ...

WalterH

'list index out of range' hatte ich soweit ich mich erinnere vor längerer Zeit, da war irgendein Fehler im LDAP Datensatz, habe aber vergessen was es war.

mahescho

Das mit dem nicht gefunden Benutzer habe ich gelöst. Bei den "ldap_user_search_attrs" einfach "uid" hinzugefügt.

Ein Fehler im LDAP? Eher nicht, wenn dann eher ein Fall den der Parser nicht kennt, also ein Bug.

Offen ist auch noch für mich, warum das "downsync" sagt:

Organization '(no organization)' has no domains - skipping.

WalterH

Bei mir und meinen Projekten wird die Organisation nicht verwendet. Die ist nur für große Installation gedacht, einfach alle Orgs. entfernen und nochmals testen.

mahescho

Hmmm ... nur gut dass das nicht so genau in der Doku steht 🙂 Die Meldung ist damit weg, allerdings wird "natürlich" nach wie vor nichts importiert.

test:~ # grommunio-admin ldap downsync
0 synchronized, 0 failed

WalterH

Da fehlt meiner Meinung nach ein Attribut im Mapping.
Sind schon User importiert?
Was meldet ein: grommunio-admin ldap search und ein grommunio-admin ldap info ?

mahescho

test:~ # grommunio-admin ldap search
An error occurred: IndexError('list index out of range',).
test:~ # grommunio-admin ldap info
Successfully connected to 192.168.100.200:7389 as uid=svcread,cn=users,dc=xxx,dc=xxx

Mir ist einigermassen unklar was wo hin gehört:

LDAP Username Attribute (username): Name of the attribute that corresponds to the username (e-mail address)

Was denn nun der "username" oder die "e-mail assress" ? Und was ist mit "LDAP aliases - LDAP alias mapping" gemeint? Kennt er mailPrimaryAddress und mailAlternativeAddress von alleine oder muss das auch irgend wie irgend wo gemappt werden. Die "Doku" ist leider wenig hilfreich 🙁

mahescho

Ich habe ein bisschen was herausgefunden. Je nach dem wie ich "ldap_object_id" und "ldap_user_search_attrs" in der "/etc/gromox/ldap_adaptor.cfg" gestalte werden mehr oder weniger Benutzer gefunden wenn ich "search" oder "dump" mache. Bei einigen Konstellationen kommt aber auch bei einigen Benutzern (nicht allen) auch wieder "An error occurred: IndexError('list index out of range',).". Egal wie ich das gestalte schlägt aber zuverlässig alles fehl was alle Benutzer betrifft, also "search" ohne Einschränkung und natürlich "downsync". Der Fehler ist immer der selbe: "An error occurred: IndexError('list index out of range',)."

Weiterhin habe ich Debug-Logs am LDAP aktiviert um zu sehen was gesucht und gefunden wird. Es wird immer ein mal eindeutig in "ldap_object_id" nach dem Name gesucht und in meinem Fall auch immer gefunden. Dann wird per Wildcard (Name) in allen "ldap_user_search_attrs" gesucht und auch gefunden.

Des weiteren habe ich den output von "slapcat" für die funktionierenden und nicht funktionierenden Konten angesehen. Bis auf wenige Attribute für Benno und Samba gibt es keinen Unterschiede, die für mich auf ein Problem zeigen.

Ausserdem habe ich mir den Python-Code angesehen. Das Problem tritt meiner Meinung nach nicht im Gromox-Code sondern direkt im Python-LDAP-Modul auf. Mehr dazu später.

WalterH

mahescho Ich habe noch nie in der Datei /etc/gromox/ldap_adaptor.cfg manuell Änderungen gemacht. Die Datei wird vom Admin-UI - Configuration - LDAP Directory geschrieben. Da muss man die Werte richtig setzen.

mahescho

WalterH

Natürlich mache ich da (fast ... Ausnahme war: ldap_disabled=False) keine Änderungen, sondern im Web-UI. Aber wenn man genau sagen möchte welche Parameter das betrifft, dann ist es da insbesondere eindeutig und einfacher als die teils mehrdeutigen Bezeichnungen im Web-UI zu verwenden 🙂

WalterH

Habe es versucht nachzustellen, da dürfte es ein Problem geben, habe gerade ein Ticket aufgemacht.

crpb

+1 "Ticket#81663" 🫣

WalterH

Ticket#81662

mahescho

Habe eine neuer Erkenntnis:

Wie ich schon geschrieben hatte werden zwei Suchen ausgelöst. Das Problem macht die zweite, die Wildcard-Suche. Die erste liefert ordentliche Daten und macht keine Probleme. Ich ermittle weiter ...

mahescho

So, ich hätte eine "Lösung". Das Problem ist ja "die zweite Suche". Das ist die, die dann "Contacts" leifern würde. Wo zu das auch immer gut sein soll 🙂 Das Workaround ist "LDAP Contact Filter" (Web-UI) aka ldap_contact_filter (/etc/gromox/ldap_adaptor.cfg) leer zu lassen. Damit wird die Zweite Suche nicht durchgeführt und alles ist gut. Sieht dann bei mir so aus:

test:~ # cat /etc/gromox/ldap_adaptor.cfg ldap_disabled=False ldap_host=ldap://192.168.100.200:7389 ldap_bind_user=uid=svcread,cn=users,dc=xxx,dc=loc ldap_bind_pass=Read4UCS ldap_start_tls=True ldap_search_base=cn=users,dc=xxx,dc=loc ldap_object_id=entryUUID ldap_mail_attr=mail ldap_user_displayname=displayName ldap_user_filter=(objectClass=posixAccount) ldap_contact_filter= ldap_user_search_attrs=mail ldap_user_search_attrs=givenName ldap_user_search_attrs=cn ldap_user_search_attrs=sn ldap_user_search_attrs=displayName ldap_user_search_attrs=gecos ldap_user_search_attrs=uid ldap_user_templates=common ldap_user_templates=OpenLDAP ldap_user_aliases=mailAlternativeAddress

So weit so gut. Jetzt muss ich nur noch herausfinden warum nur 5 statt 7 Benutzern geliefert werden und warum ein direkter "search" nach bestimmten Usernamen nichts liefert OBWOHL der LDAP-Server im Log sagt er hätte etwas gefunden und geliefert ...

mahescho

Der Import und Sync funktioniert jetzt mit den oben genannten Parametern. Es gab zunächst noch Fehler, da bei einigen das LDAP-Attribut "mail" nicht korrekt gesetzt war. Für Kopano war das offenbar irrelevant. Jetzt fehlt mir nur noch eine Lizenz für mehr als 5 Benutzer ...

crpb

Ja Kopano hat ja seine eigenen LDAP-Attribute verwendet. Grommunio geht da nach MS-Standard mittels mail sowie proxyAddresses für Aliase und so. Macht den wechsel auch einfacher.

PS: Danke für die INFO, probier ich später mal aus. / Ahh das ist bei mir eh leer....

crpb

Also mein und auch der Fehler vom Anfang von @mahescho.

Organization '(no organization)' has no domains - skipping.
0 synchronized, 0 failed

Ging nun hiermit

#Einzeiler
DOM=$(grommunio-admin query domain domainname); ID=$(mysql -N grommunio <<< "select org_id from domains where domainname=\"$domain\";"); grommunio-admin ldap downsync -o $ID --complete

Und grad noch mal ein query gemacht... da geht ja auch orgID mit g-admin

grommunio-admin ldap downsync -o $(grommunio-admin query domain orgID) --complete

oder halt ne schleife bauen bei mehreren Domains oder einfach per hand...

Das war hier nun mit

gromi:~ # rpm -qa gromox grommunio-admin*
gromox-1.37.82.4a94326-lp153.1.1.x86_64
grommunio-admin-common-6.cb985db-lp153.14.1.noarch
grommunio-admin-api-1.9.19.ffb31e8-lp153.9.1.noarch
grommunio-admin-web-2.6.0.30.3a13674-lp153.5.1.noarch