Ungelöst CT LDAP, MFA und Nextcloud

[joe24]

Hallo zusammen,

ich setze gerade eine Nextcloud für unsere Gemeinde auf. In diese sollen sich Nutzer über LDAP mit ihren CT Credentials einloggen können.
Das funktioniert auch wunderbar. Nun bin ich aber auf einen Stolperstein gestoßen: Bei aktivierter 2FA wird man standardmäßig alle 10 Minuten aus der Nextcloud ausgeloggt. Meine Vermutung ist, dass dies an der Time-To-Live der LDAP Daten in Nextcloud liegt, da 2FA im CT LDAP Service so implementiert ist, dass das Token an das Passwort angehängt wird. Läuft die TTL des Caches ab, holt sich der LDAP Client neue Daten vom Server und vergleicht die Credentials, die dann aufgrund des sich laufend aktualisierenden Tokens natürlich nicht mehr übereinstimmen. Ich habe schon versucht die TTL auf 2 Stunden hochzustellen, was ein Kompromiss ist, wurde aber trotzdem nach ca. 1 Stunde augeloggt. Deswegen bin ich mir nicht sicher, ob ich mit meiner Vermutung falsch liege, oder ob es vielleicht eine maximale TTL gibt.

Hat jemand Erfahrungen mit CT LDAP in Kombination mit 2FA und Nextcloud? Gibt es einen Workaround der besser funktioniert als meine Idee?

[Andrej]

@joe24 ich habe selber damit (noch) keine Erfahrung. Wir nutzen separate Logins für ChurchTools und Nextcloud.

Aber vielleicht hilft dir dieser Hilfe Artikel weiter, insbesondere die zweite vorgeschlagene Option
https://hilfe.church.tools/wiki/0/LDAP mit Zwei-Faktor-Authentifizierung

[patrick]

@joe24

Wir nutzen die Kombination ohne 2FA.
Ich hab folgenden Thread im Nextcloud Forum mit Lösung gefunden:

https://help.nextcloud.com/t/ldap-2-fa-auth-users-logged-out-after-5-minutes-app-passwords-destroyed/38218/5

Ich hab es nicht getestet.

Viele +Grüße Patrick

[joe24]

@patrick Danke dieser Thread hilft mir sehr weiter, das werde ich so schnell wie möglich mal ausprobieren. Das Nutzen ohne MFA wäre nervig, da wir für Leute mit Zugriff auf sensible Daten 2FA in CT forcieren. Diese Personen haben ein großes Potential auch in der Cloud auf sensible Daten Zugriff zu haben, also müsste man dort dann einen separaten MFA Workflow nutzen. Das widerspricht jedoch dem, warum wir LDAP nutzen: Eben nicht für alles einen separaten Loginprozess haben...