# LDAP-Authentifikation mit DB-Autorisation möglich?

**URL:** <http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703>\
**Category:** eGW-german\
**Created:** [September 5, 2008, 1:24pm UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703 "2008-09-05T13:24:48Z")\
**Posts on this page:** 9\
**Page:** 1

<div class="post-metadata">

**Author:** ![Dirk\_Busche](http://discourse.egroupware.org/letter_avatar_proxy/v4/letter/d/8edcca/32.png) [@Dirk\_Busche](http://discourse.egroupware.org/u/Dirk_Busche)\
**Post date:** [September 5, 2008, 1:24pm UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703/1 "2008-09-05T13:24:48Z")

</div>

Moin,

wenn ich die LDAP-Anleitung richtig verstanden haben, ist das eine Ganz-oder-gar-nicht-Geschichte. Entweder ich nutze LDAP, dann muss ich aber auch alle Rechte darin verwalten und eGroupWare Schreibrecht auf das Direktory geben, oder ich verwalte meine User in der lokalen Datenbank, muss dann aber komplett auf LDAP verzichten. Ist das richtig?

Grund für die Frage: wir haben bei uns einen LDAP-Server, über den sich alle Nutzer des Konzerns authenifizieren (so 50.000 Leute), und ich habe keine Chance für meine eGroupware Schreibrecht darauf zu bekommen. Andererseits würde ich aber gerne meinen Nutzern die Möglichkeit geben sich mit dem Konzernpasswort anzumelden. Ich bräuchte also “Authentifikation per LDAP” und die Autorisierung wie Gruppenmitgliedschaften usw. lokal in eGW. Sowas wäre mit Mechanismen wie in PAM denkbar.  
Ist sowas möglich oder geplant?

viele Grüße,  
Dirk

---

<div class="post-metadata">

**Author:** ![htbt13](http://discourse.egroupware.org/letter_avatar_proxy/v4/letter/h/a8b319/32.png) [@htbt13](http://discourse.egroupware.org/u/htbt13)\
**Post date:** [October 1, 2008, 8:48am UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703/2 "2008-10-01T08:48:39Z")

</div>

Hallo,

ich habe ein ähnliches Problem wie folgt gelöst(sind ca. 2000 Nutzer):

- Die Nutzer authentifizieren sich über ldap an einem ldap-Server und werden automatisch mit  
Vorname, Nachname,email-Adresse und Benutzerkennung in eGroupware beim ersten login  
erzeugt  
und in der SQL-Datenbank gespeichert.  
Die Zuordnung zu Gruppen und Rechtevergabe erfolgt innerhalb von eGroupware.  
Die Anmeldung bleibt beim ldap-Server;  
d.h. es wird sich innerhalb von eGroupware kein Passwort, keine Benutzerkennung verwaltet, das obliegt der ldap-Verwaltung.

Gruss

Herbert

> [@](#):
>
> Moin,
> 
> wenn ich die LDAP-Anleitung richtig verstanden haben, ist das eine Ganz-oder-gar-nicht-Geschichte. Entweder ich nutze LDAP, dann muss ich aber auch alle Rechte darin verwalten und eGroupWare Schreibrecht auf das Direktory geben, oder ich verwalte meine User in der lokalen Datenbank, muss dann aber komplett auf LDAP verzichten. Ist das richtig?
> 
> Grund für die Frage: wir haben bei uns einen LDAP-Server, über den sich alle Nutzer des Konzerns authenifizieren (so 50.000 Leute), und ich habe keine Chance für meine eGroupware Schreibrecht darauf zu bekommen. Andererseits würde ich aber gerne meinen Nutzern die Möglichkeit geben sich mit dem Konzernpasswort anzumelden. Ich bräuchte also “Authentifikation per LDAP” und die Autorisierung wie Gruppenmitgliedschaften usw. lokal in eGW. Sowas wäre mit Mechanismen wie in PAM denkbar.  
> Ist sowas möglich oder geplant?
> 
> viele Grüße,  
> Dirk

---

<div class="post-metadata">

**Author:** ![Dirk\_Busche](http://discourse.egroupware.org/letter_avatar_proxy/v4/letter/d/8edcca/32.png) [@Dirk\_Busche](http://discourse.egroupware.org/u/Dirk_Busche)\
**Post date:** [October 2, 2008, 1:19pm UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703/3 "2008-10-02T13:19:20Z")

</div>

Hallo Herbert,

das klingt schon mal recht brauchbar.  
Funktioniert das in eGW einfach so aus der Box, oder musstest Du irgendwo etwas anpassen?  
Kommst Du ohne Schreibrecht auf den LDAP-Server aus? Das ist bei mir KO-Kriterium (leider).

viele Grüße,  
Dirk

---

<div class="post-metadata">

**Author:** ![htbt13](http://discourse.egroupware.org/letter_avatar_proxy/v4/letter/h/a8b319/32.png) [@htbt13](http://discourse.egroupware.org/u/htbt13)\
**Post date:** [October 6, 2008, 12:39pm UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703/4 "2008-10-06T12:39:17Z")

</div>

Hallo Dirk,

1. Auf dem LDAP-Server hab ich keine Schreibrechte - sind auch nicht nötig

2. Ich speicher die relevanten Nutzerdaten per SQL in der eGroupware (einstellbar im egw-setup)

Gruss

Herbert

> [@](#):
>
> Hallo Herbert,
> 
> das klingt schon mal recht brauchbar.  
> Funktioniert das in eGW einfach so aus der Box, oder musstest Du irgendwo etwas anpassen?  
> Kommst Du ohne Schreibrecht auf den LDAP-Server aus? Das ist bei mir KO-Kriterium (leider).
> 
> viele Grüße,  
> Dirk

---

<div class="post-metadata">

**Author:** ![nukleuz13](http://discourse.egroupware.org/letter_avatar_proxy/v4/letter/n/e5b9ba/32.png) [@nukleuz13](http://discourse.egroupware.org/u/nukleuz13)\
**Post date:** [October 12, 2008, 2:40pm UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703/5 "2008-10-12T14:40:20Z")

</div>

> [@](#):
>
> Hallo Dirk,
> 
> 1. Auf dem LDAP-Server hab ich keine Schreibrechte - sind auch nicht nötig
> 
> 2. Ich speicher die relevanten Nutzerdaten per SQL in der eGroupware (einstellbar im egw-setup)
> 
> Gruss
> 
> Herbert
> 
> > [@](#):
> >
> > Hallo Herbert,
> > 
> > das klingt schon mal recht brauchbar.  
> > Funktioniert das in eGW einfach so aus der Box, oder musstest Du irgendwo etwas anpassen?  
> > Kommst Du ohne Schreibrecht auf den LDAP-Server aus? Das ist bei mir KO-Kriterium (leider).
> > 
> > viele Grüße,  
> > Dirk

Hallo zusammen,

ich bin nun schon seit geraumer Zeit daran, die Anmeldung über LDAP einzurichten. Leider komme ich nicht weiter. Mein LDAP Server ist ein 2003er Server (Active Directory).

Könnt Ihr mir eure Konfigurationen mitteilen? Oder auch andere Verweise zu dem Thema posten.  
Für Hilfe wäre ich wirklich dankbar.

Gruß nukleuz

---

<div class="post-metadata">

**Author:** ![goido](http://discourse.egroupware.org/letter_avatar_proxy/v4/letter/g/d6d6ee/32.png) [@goido](http://discourse.egroupware.org/u/goido)\
**Post date:** [October 13, 2008, 6:24am UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703/6 "2008-10-13T06:24:14Z")

</div>

Moinsen Herbert,

genau so wie du es gemacht hätte ich es auch gern :-), nur leider bekomme ich das mit der LDAP Authentifizierung nicht hin. Ich hab das auch schon [hier](http://www.nabble.com/keine-Authentifizierung-gegen-LDAP-td19917042s3741.html) gepostet aber leider bisher noch keine Antwort bekommen. Vielleicht kannst du dir mein Problem ja mal anschauen und mir weiter helfen, hab im Moment echt keinen Plann was ich noch probieren kann und wäre für jeden Tipp dankbar.

Gruß, Guido.

> [@](#):
>
> Hallo,
> 
> ich habe ein ähnliches Problem wie folgt gelöst(sind ca. 2000 Nutzer):
> 
> - Die Nutzer authentifizieren sich über ldap an einem ldap-Server und werden automatisch mit  
> Vorname, Nachname,email-Adresse und Benutzerkennung in eGroupware beim ersten login  
> erzeugt  
> und in der SQL-Datenbank gespeichert.  
> Die Zuordnung zu Gruppen und Rechtevergabe erfolgt innerhalb von eGroupware.  
> Die Anmeldung bleibt beim ldap-Server;  
> d.h. es wird sich innerhalb von eGroupware kein Passwort, keine Benutzerkennung verwaltet, das obliegt der ldap-Verwaltung.
> 
> Gruss
> 
> Herbert
> 
> > [@](#):
> >
> > Moin,
> > 
> > wenn ich die LDAP-Anleitung richtig verstanden haben, ist das eine Ganz-oder-gar-nicht-Geschichte. Entweder ich nutze LDAP, dann muss ich aber auch alle Rechte darin verwalten und eGroupWare Schreibrecht auf das Direktory geben, oder ich verwalte meine User in der lokalen Datenbank, muss dann aber komplett auf LDAP verzichten. Ist das richtig?
> > 
> > Grund für die Frage: wir haben bei uns einen LDAP-Server, über den sich alle Nutzer des Konzerns authenifizieren (so 50.000 Leute), und ich habe keine Chance für meine eGroupware Schreibrecht darauf zu bekommen. Andererseits würde ich aber gerne meinen Nutzern die Möglichkeit geben sich mit dem Konzernpasswort anzumelden. Ich bräuchte also “Authentifikation per LDAP” und die Autorisierung wie Gruppenmitgliedschaften usw. lokal in eGW. Sowas wäre mit Mechanismen wie in PAM denkbar.  
> > Ist sowas möglich oder geplant?
> > 
> > viele Grüße,  
> > Dirk

---

<div class="post-metadata">

**Author:** ![Ralf\_Becker\_6](http://discourse.egroupware.org/user_avatar/discourse.egroupware.org/ralf_becker_6/32/1306_2.png) [@Ralf\_Becker\_6](http://discourse.egroupware.org/u/Ralf_Becker_6)\
**Post date:** [October 13, 2008, 6:24am UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703/7 "2008-10-13T06:24:25Z")

</div>

Geht problemlos und ist auf diversen Installationen im Einsatz:

- Accounts in SQL (oder _locales_ LDAP - geht beides)
- Active Directory Authentifizierung (plus Domain und Host eintragen bei  
AD Authentifizierung)
- evtl. auto-create für Authentifizierte User einschalten

Ralf

nukleuz13 schrieb:

> htbt13 wrote:
> 
> > Hallo Dirk,
> > 
> > 1. Auf dem LDAP-Server hab ich keine Schreibrechte - sind auch nicht nötig
> > 
> > 2. Ich speicher die relevanten Nutzerdaten per SQL in der eGroupware  
> > (einstellbar im egw-setup)
> > 
> > Gruss
> > 
> > Herbert
> > 
> > Dirk Busche wrote:
> > 
> > > Hallo Herbert,
> > > 
> > > das klingt schon mal recht brauchbar.  
> > > Funktioniert das in eGW einfach so aus der Box, oder musstest Du irgendwo  
> > > etwas anpassen?  
> > > Kommst Du ohne Schreibrecht auf den LDAP-Server aus? Das ist bei mir  
> > > KO-Kriterium (leider).
> > > 
> > > viele Grüße,  
> > > Dirk
> 
> Hallo zusammen,
> 
> ich bin nun schon seit geraumer Zeit daran, die Anmeldung über LDAP  
> einzurichten. Leider komme ich nicht weiter. Mein LDAP Server ist ein 2003er  
> Server (Active Directory).
> 
> Könnt Ihr mir eure Konfigurationen mitteilen? Oder auch andere Verweise zu  
> dem Thema posten.  
> Für Hilfe wäre ich wirklich dankbar.
> 
> Gruß nukleuz

–  
Ralf Becker  
Director Software Development

Stylite GmbH  
[open style of IT]

Morschheimer Strasse 15  
67292 Kirchheimbolanden

fon +49 (0) 6352 70629-0  
fax +49 (0) 6352 70629-30  
cell +49 (0) 170 7815917  
mailto: [rb@stylite.de](mailto:rb@stylite.de)

[www.stylite.de](http://www.stylite.de)  
[www.egroupware.org](http://www.egroupware.org)

* * *

Geschäftsführer Andre Keller, Nigel John Vickers,  
Gudrun K. Müller und Ralf Becker  
Registergericht Kaiserslautern HRB 12087

* * *

This [SF.Net](http://SF.Net) email is sponsored by the Moblin Your Move Developer’s challenge  
Build the coolest Linux based applications with Moblin SDK & win great prizes  
Grand prize is a trip for two to an Open Source event anywhere in the world  
[http://moblin-contest.org/redirect.php?banner\_id=100&url=/](http://moblin-contest.org/redirect.php?banner_id=100&url=/)

* * *

egroupware-german mailing list  
[egroupware-german@lists.sourceforge.net](mailto:egroupware-german@lists.sourceforge.net)  
[https://lists.sourceforge.net/lists/listinfo/egroupware-german](https://lists.sourceforge.net/lists/listinfo/egroupware-german)

---

<div class="post-metadata">

**Author:** ![maik3](http://discourse.egroupware.org/letter_avatar_proxy/v4/letter/m/e95f7d/32.png) [@maik3](http://discourse.egroupware.org/u/maik3)\
**Post date:** [October 13, 2008, 7:18am UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703/8 "2008-10-13T07:18:00Z")

</div>

Hallo Herbert,

ich habe unseren Win2000 Server mit AD mit folgender Konfiguration am Laufen:

Authentifizierung / Benutzerkonten:  
Welche Art der Authentifizierung wollen Sie benutzen: ADS

Automatisch erzeugte Benutzer zu dieser Grupper hinzufügen (“Default” wird versucht wenn nichts angegeben.): deine Default-Benutzergruppe

Wenn Sie LDAP verwenden:  
LDAP-Host: Dein Server

LDAP Suchfilter für Benutzerkonten, Vorgabe “(uid=%user)”, %domain=eGW Domain: (OU=…)  
LDAP rootdn Benutzerkonten suchen und Passwörter ändern): [Administrator@deinedomain.de](mailto:Administrator@deinedomain.de)

Wenn Sie ADS (Active Directory) Authentifizierung benutzen:  
Hostname / IP des Domain Controler: Dein Server  
Name der Domain: Deine Domain

Grüße  
Maik

> [@](#):
>
> > [@](#):
> >
> > Hallo Dirk,
> > 
> > 1. Auf dem LDAP-Server hab ich keine Schreibrechte - sind auch nicht nötig
> > 
> > 2. Ich speicher die relevanten Nutzerdaten per SQL in der eGroupware (einstellbar im egw-setup)
> > 
> > Gruss
> > 
> > Herbert
> > 
> > > [@](#):
> > >
> > > Hallo Herbert,
> > > 
> > > das klingt schon mal recht brauchbar.  
> > > Funktioniert das in eGW einfach so aus der Box, oder musstest Du irgendwo etwas anpassen?  
> > > Kommst Du ohne Schreibrecht auf den LDAP-Server aus? Das ist bei mir KO-Kriterium (leider).
> > > 
> > > viele Grüße,  
> > > Dirk
> 
> Hallo zusammen,
> 
> ich bin nun schon seit geraumer Zeit daran, die Anmeldung über LDAP einzurichten. Leider komme ich nicht weiter. Mein LDAP Server ist ein 2003er Server (Active Directory).
> 
> Könnt Ihr mir eure Konfigurationen mitteilen? Oder auch andere Verweise zu dem Thema posten.  
> Für Hilfe wäre ich wirklich dankbar.
> 
> Gruß nukleuz

---

<div class="post-metadata">

**Author:** ![htbt13](http://discourse.egroupware.org/letter_avatar_proxy/v4/letter/h/a8b319/32.png) [@htbt13](http://discourse.egroupware.org/u/htbt13)\
**Post date:** [October 13, 2008, 10:33am UTC](http://discourse.egroupware.org/t/ldap-authentifikation-mit-db-autorisation-moglich/26703/9 "2008-10-13T10:33:50Z")

</div>

Hallo,

hier mal kurz meine Einstellungen:  
egw-version 1.5.010  
ldapserver: openldap

Im egw/setup habe ich unter Authentifizierung/ Benutzerkonten folgende Einstellungen:  
Art der Authentifizierung: LDAP  
Wo wollen Sie Benutzerkonten speichern: SQL  
Benutzerauthentifizierung über ein Cookie: JA  
Benutzerkonten für authentifizierte Nutzer automatisch anlegen: Ja

LDAP-Host: meinldapserver.domain  
Ldap-kontext für Benutzerkonten: ou=nutzerkontext, o=organistationskontext

andere Parameter sind meines Erachtens in diesem Zusammenhang von eher untergeordneter Bedeutung

Gruss

Herbert

> [@](#):
>
> Moinsen Herbert,
> 
> genau so wie du es gemacht hätte ich es auch gern :-), nur leider bekomme ich das mit der LDAP Authentifizierung nicht hin. Ich hab das auch schon [hier](http://www.nabble.com/keine-Authentifizierung-gegen-LDAP-td19917042s3741.html) gepostet aber leider bisher noch keine Antwort bekommen. Vielleicht kannst du dir mein Problem ja mal anschauen und mir weiter helfen, hab im Moment echt keinen Plann was ich noch probieren kann und wäre für jeden Tipp dankbar.
> 
> Gruß, Guido.
> 
> > [@](#):
> >
> > Hallo,
> > 
> > ich habe ein ähnliches Problem wie folgt gelöst(sind ca. 2000 Nutzer):
> > 
> > - Die Nutzer authentifizieren sich über ldap an einem ldap-Server und werden automatisch mit  
> > Vorname, Nachname,email-Adresse und Benutzerkennung in eGroupware beim ersten login  
> > erzeugt  
> > und in der SQL-Datenbank gespeichert.  
> > Die Zuordnung zu Gruppen und Rechtevergabe erfolgt innerhalb von eGroupware.  
> > Die Anmeldung bleibt beim ldap-Server;  
> > d.h. es wird sich innerhalb von eGroupware kein Passwort, keine Benutzerkennung verwaltet, das obliegt der ldap-Verwaltung.
> > 
> > Gruss
> > 
> > Herbert
> > 
> > > [@](#):
> > >
> > > Moin,
> > > 
> > > wenn ich die LDAP-Anleitung richtig verstanden haben, ist das eine Ganz-oder-gar-nicht-Geschichte. Entweder ich nutze LDAP, dann muss ich aber auch alle Rechte darin verwalten und eGroupWare Schreibrecht auf das Direktory geben, oder ich verwalte meine User in der lokalen Datenbank, muss dann aber komplett auf LDAP verzichten. Ist das richtig?
> > > 
> > > Grund für die Frage: wir haben bei uns einen LDAP-Server, über den sich alle Nutzer des Konzerns authenifizieren (so 50.000 Leute), und ich habe keine Chance für meine eGroupware Schreibrecht darauf zu bekommen. Andererseits würde ich aber gerne meinen Nutzern die Möglichkeit geben sich mit dem Konzernpasswort anzumelden. Ich bräuchte also “Authentifikation per LDAP” und die Autorisierung wie Gruppenmitgliedschaften usw. lokal in eGW. Sowas wäre mit Mechanismen wie in PAM denkbar.  
> > > Ist sowas möglich oder geplant?
> > > 
> > > viele Grüße,  
> > > Dirk