CT LDAP und Synology

christophEFG-GI

Hallo Johannes @eppjo,

würdest du euer Setup einmal genauer beschreiben? Das klingt sehr gut. Wir bauen gerade eine Dateiablage mit umständlichem separaten Rechtemanagement bei Hetzner auf.

Habt ihr eine eigene Chruchtools-Instanz oder nutzt ihr die gehostete?
Gibt es eine Doku, wie man CT mit Hetzner koppelt?
Welche Erfahrungen kannst du teilen, um andere vor Fehlern zu bewahren?

Viele Grüße,
Christoph

eppjo

@christophEFG-GI
Hallo Christoph,

Unsere Instanz ist von CT gehostet mit aktivierten LDAP Dienst.
Habe hier im Forum eine gute Beschreibung zur Konfiguration der Nextcloud Instanz gefunden:
https://forum.church.tools/topic/5651/churchtools-ldap-nextcloud

Vorbedingung ist aber ein funktionierender LDAP Dienst, den du gemeinsam mit dem CT Service konfigurierst.
Anschließend die Anleitung von @aschild folgen.

... oder alternativ unsere Einstellung versuchst:
site == eure CT Instanz

Tab: Server:
LDAP-Server: ldaps://ldap.church.tools:636
Basis-DN: dc=ldap,dc=church,dc=tools
Benutzer-DN: cn=root,ou=users,o=site
Passwort: das von dir vergebene Passwort für deinen CT LDAP Benutzer
LDAP-Filter manuell: aktiviert!

Tab: Benutzer:
Filter: (|(objectclass=CTPerson))

Tab: Anmelde-Attribute
Filter: (&(&(|(objectclass=CTPerson)))(|(uid=%uid)(|(mailPrimaryAddress=%uid)(mail=%uid))))

Tab: Gruppen
Filter: (&(|(objectclass=CTGroupDienst)(objectclass=CTGroupKleingruppe)))
(Damit können sich alle Mitglieder vom Gruppen-Typ Dienst und Kleingruppe anmelden)

Tab: Fortgeschritten
-> Ordnereinstellungen
Feld für den Anzeigenamen des Benutzers: displayname
Basis-Benutzerbaum: ou=users,o=site
Feld für den Anzeigenamen der Gruppe: cn
Basis-Gruppenbaum: ou=groups,o=site
Assoziation zw. Gruppe und Benutzer: uniqueMember

Vorbedingung für die Anmeldung bei Nextcloud ist die erfolgreiche Einladung der Mitglieder bei CT mitzuarbeiten. Erst dann existiert ein Benutzername.

Wir haben dann nach erfolgreicher Kopplung Ordner im Home des Admins angelegt mit den Gruppennamen und diese dann geshared mit der Gruppe selbst. Alle Mitglieder einer Dienstgruppe oder Kleingruppe sehen dann nur die Ordner zu denen sie Berechtigung haben.

Mit was ich gerade teste sind Ablaufpläne, die ich nach Songbeamer überspielen will. Da existiert bereits ein Tool: https://gitlab.com/PublicCode/churchtools-to-songbeamer
Leider ist das nicht ausreichend, da die Bibelstellen immer noch manuell eingetragen werden müssen.
Ich arbeite gerade an einer speziellen Anpassung des Migrations-Tools, das die Notiz in Spalte "Programm" des Ablaufplans nutzt, um die Bibelstellen der jeweiligen Predigt/Einleitung auch zum Songbeamer migriert.

Bei allem anderen sind wir selber noch auf der Suche nach einer guten Lösung

Ich hoffe dir damit helfen zu können. Viel Erfolg.
Johannes.

eppjo

Dieser Beitrag wurde gelöscht!

eppjo

Dieser Beitrag wurde gelöscht!

sitobias

@eppjo sagte in CT LDAP und Synology:

Nur, falls jemand nach Antworten auf dieselbe Frage sucht: wir haben es aufgegeben, die Synology per LDAP mit CT zu koppeln.
Nach dem Hinweis von Matthias Huber auf Nextcloud zu setzen (bei Hetzner: StorageShare - würde aber auch auf einer Synology laufen), sind wir mittlerweile sehr froh, da Zugangsberechtigung per LDAP und die Datenablage wirklich gut funktioniert.
An einer Chat-Funktion entwickelt CT auch gerade und soll demnächst auch verfügbar sein.

Mittlerweile ist ja bereits wieder etwas Zeit vergangen... Gibt es jemanden, der es unterdessen hingekriegt hat, die Benutzerdaten per LDAP mit Synology zu synchronisieren?
Oder ist es wirklich notwendig auf Nextcloud umzusteigen, ggf. auf unserer Synology (ist halt ein neues System, viel Aufwand alles einzurichten und hat ggf. nicht alle Funktionen, welche ich momentan bei Synology nutze, daher die Frage).

samu95

Ich bin auch gerade dabei, die Synology mit dem LDAP zu verbinden. Scheitere an der Konfiguration mit folgendem Fehler:

Selbst wenn ich als Filter "(|(objectclass=CTPerson))" eingebe, komme ich nicht weiter.
Über ldapsearch bekomme ich die Verbindung hin, auch die Nextcloud ist bereits verbunden.

samu95

Hat noch keiner eine Verbindung von Synology zum LDAP Dienst hinbekommen?
Woran könnte das liegen?

samu95

kleiner Erfolg: Nach mehreren Stunden ausprobieren und Dokumentationen lesen bin ich heute einen Schritt weiter gekommen. Ich habe die LDAP Verbindung erfolgreich hinbekommen, weiter unten meine Konfiguration.
Jetzt aber das nächste Problem:
Die Benutzer und Gruppen sind zwar alle vorhanden, ich kann aber keine davon bearbeiten. Wenn ich einen Benutzer bearbeiten möchte, erhalte ich die Fehlermeldung

Die Benutzerdaten konnten nicht geladen werden

Wenn ich eine Gruppe bearbeiten möchte, öffnet sich zwar kurz das Fenster zur Bearbeitung, schließt sich aber direkt wieder. Außerdem kann ich mich mit den Benutzern nicht anmelden, weder über Benutzername noch über die Mailadresse.

Ich bin nicht so gut mit dem System der Synology vertraut, komme hier nicht weiter. Aber vielleicht hilft der erste Schritt jemandem von euch, hier weiterzukommen. Evtl funktioniert es auch mit einer älteren Version vom DSM, bei uns ist die aktuelle version 7.0.1 installiert.

Hier meine Konfiguration des Profils:

Filter
passwd: (objectClass=CTPerson)
group: (objectClass=CTGroupDienst) // Dienst ist der Gruppentyp, kann ersetzt werden

Group
cn: cn
gidNumber: id
memberUid: uniqueMember

passwd
uidNumber: id
uid: uid
gidNumber: memberof

patrick

@samu95

Hallo samu95,

wir möchten das gleiche tun und sind leider ein Stückweiter auch gescheiter!
An bei unsere Konfiguration und Fehlermeldung:

Konfiguration:

Fehlermeldung:

Vielleicht hast du eine Idee oder hast eine Lösung gefunden.

VG Patrick

samu95

Ist mittlerweile schon ein Jahr her, aber ich habe mich in den letzten Wochen wieder mit dem Thema beschäftigt. Mit Hilfe vom Log und dem Synology Support habe ich festgestellt, dass die Verknüpfungen zwischen Benutzer und Gruppe zwingend eine Zahl sein muss. Der CT LDAP Server liefert aber den "Distinguished Name" (cn=user1,ou=users,o=xxx). Damit kann Synology nicht umgehen. Auch der Umweg über die HASH Funktion hilft da nicht weiter.

Mit dieser Information habe ich mir jetzt eine Zwischenlösung gebaut, die fürs erste funktioniert. Aber nur, weil wir in der Synology nur eine CT Gruppe nutzen wollen.
Daher habe ich den Filter so gesetzt, dass nur die User einer bestimmten Gruppe geladen werden. den Gruppenfilter habe ich komplett freigelassen. Die verknüpfte Gruppen habe ich gezwungenermaßen auf "postalCode" gesetzt, weil anscheinend eine Eingabe Pflicht ist und es die einzige Nummer neben der UserID ist. Am Ende noch ein Screenshot.
Bei einigen Benutzern hatte ich noch ein Problem mit dem Benutzernamen, das konnte ich beheben, indem ich bei CT den Benutzernamen geändert habe. Anscheinend werden zahlen im Benutzernamen nicht akzeptiert. Jetzt läuft alles so wie es soll. Wie gesagt, die Gruppen kann man damit nicht nutzen, aber die brauchen wir aktuell auch nicht.
Hier nochmal der vollständige Inhalt der passwd Zeile, damit wird nur diese Gruppe gefiltert:

(&(objectClass=CTPerson)(memberof=cn=gruppenname,ou=groups,o=xxx))

Vielleicht hilft das ja dem ein oder anderen weiter. Und könnte bei Gelegenheit jemand von den @ChurchToolsMitarbeiter sich das mal anschauen und entsprechend anpassen, damit die Gruppenverknüpfung funktioniert.

davidschilling

@samu95 Die Frage ist ob das was der CT LDAP macht hier laut LDAP Spezifikation falsch ist oder Synology die Spezifikation nicht richtig implementiert hat.

simsa

Gibt es hier inzwischen Neuigkeiten bzw. eine Beispielkonfiguration, wie man ein Synology NAS mit Churchtools per LDAP verbinden kann?

patrick

@davidschilling

Ich vermute das
https://github.com/zentyal/samba/blob/master/examples/LDAP/samba.schema

patrick

@samu95
Hattest du diesen Fehler auch?

Wenn Ja, Wie hast du diesen Fehler behoben ?

smhr

UPDATE 22.04.2024: Die Benutzer/Gruppen funktionieren nun mit der unten genannten Konfiguration - ein Fehler bleibt (s.u.).

Ich habe es mit der folgenden Konfiguration zum Laufen bekommen:

5bf2c703-433f-4d3e-a212-7a728846836c-00_ldap_einstellungen_überblick.png

1150e380-55df-48d1-9b6c-58354b287c84-01_ldap_einstellungen_allgemein.png

Anstelle von leuchtturm die eigene Churchtools-Subdomain eintragen.

d8ac12c5-527e-454e-8557-c22b2d891c9e-02_ldap_einstellungen_erweitert.png

Unter Benutzerdefiniert die folgenden Einstellungen vornehmen:

objectClass=CTGroupDienst heißt, dass nur die Gruppen vom Typ Dienst angezeigt werden. Wenn alle angezeigt werden sollen, dann objectClass=group

Damit werden Personen & Gruppen in Synology angezeigt.

Es gibt leider immer noch einen Bug (Beim Suchen von Gruppen wird fälschlicherweise zwischen Groß- und Kleinschreibung unterschieden), sodass man Benutzer oder Gruppen nicht zuweisen kann. Das liegt an einer fehlerhaften Implementierung des LDAP Servers. Zumindest mit dem selbst gehosteten LDAP Service von https://github.com/milux/ctldap sollte es aber funktionieren - da ist der Bug behoben.

simsa

@samu95 sagte in CT LDAP und Synology:

Ist mittlerweile schon ein Jahr her, aber ich habe mich in den letzten Wochen wieder mit dem Thema beschäftigt. Mit Hilfe vom Log und dem Synology Support habe ich festgestellt, dass die Verknüpfungen zwischen Benutzer und Gruppe zwingend eine Zahl sein muss. Der CT LDAP Server liefert aber den "Distinguished Name" (cn=user1,ou=users,o=xxx). Damit kann Synology nicht umgehen. Auch der Umweg über die HASH Funktion hilft da nicht weiter.

Gibt es hier vom Church Tools Support schon eine Information, ob man hier den CT LDAP Wrapper passend anpassen kann?

Das zukünftige OpenID Connect wird Synology leider nichts bringen, sofern man den Synology Drive Clienten nutzen will. Der unterstützt nach meinem aktuellen Stand kein SSO. SSO geht nur im Browser bei Synology.

Insofern wäre man hier dann doch wieder von der LDAP Integration abhängig.