Php подключение к active directory

Содержание

Подключение к AD из PHP по протоколу LDAPS

Прочитав пост Создаем пользователя AD через веб-интерфейс, вспомнил, что около года назад занимался с аналогичной задачей. Проблема была в том, что не удавалось создать пользователя при соединении по протоколу LDAP, а получилось только по протоколу LDAPS. Выкладываю свои записи, вдруг кому пригодится.

Все действия проделывались в RHEL 5.5 и Windows Server 2003 R2 EE.

Сертификаты

Потребуется пакет OpenSSL

Сертификаты для контроллеров домена

При запросе **Common Name (eg, your name or your server’s hostname) []:** нужно обязательно ввести FQDN DC для которого создаем сертификат.

PHP должен быть с поддержкой ldap
Файл /etc/openldap/ldap.conf

Установка сертификатов на DC

1. Копируем на сервер файлы
* cert.p12 — The certificate
* cacert.pem — The Root Certificate

2 .Start, Run, MMC, File, Add/Remove Snap-in, Add, Certificates, Computer Account, Local Computer, My User Account, Next, Finish, Close, Ok

3. Разворачиваем Certificates

4. Импортируем cacert.pem в Trusted Root Certificates Authorities (правой кнопкой на Trusted Root Certificates Authorities, All Tasks, Import, Next, Browse, All files, выбираем наш cacert.pem . )

5. Импортируем cert.p12 в Personal (правой кнопкой на Personal, All Tasks, Import, Next, Browse, All files, находим наш cert.p12, если нужно вводим пароль . )

6. Проверяем сертифика на DC
* Разворачиваем папки Personal и Certificates
* Двойной щклчок по установленному сертификару
* Убеждаемся, что есть строка «You have a private key that corresponds to this certificate»

Источник

Подключение к AD из PHP по протоколу LDAPS

Все действия проделывались в RHEL 5.5 и Windows Server 2003 R2 EE.

Сертификаты

Потребуется пакет OpenSSL

Сертификаты для контроллеров домена

PHP должен быть с поддержкой ldap
Файл /etc/openldap/ldap.conf

Установка сертификатов на DC

1. Копируем на сервер файлы
* cert.p12 — The certificate
* cacert.pem — The Root Certificate

2 .Start, Run, MMC, File, Add/Remove Snap-in, Add, Certificates, Computer Account, Local Computer, My User Account, Next, Finish, Close, Ok

3. Разворачиваем Certificates

Источник

ldap_connect

(PHP 4, PHP 5, PHP 7, PHP 8)

ldap_connect — Подключиться к серверу LDAP

Описание

Следующий синтаксис всё ещё поддерживается для обеспечения обратной совместимости (кроме использования именованных аргументов), но он объявлен устаревшим и больше не должен использоваться!

Создаёт LDAP\Connection и проверяет правдоподобность заданного uri .

Замечание: Эта функция НЕ открывает соединение. Она проверяет, правдоподобны ли заданные параметры и могут ли они использоваться для подключения, когда в нем возникнет нужна.

Список параметров

Полный LDAP URI вида ldap://hostname:port или ldaps://hostname:port .

Также вы можете указать несколько LDAP-URI, разделённых пробелом.

Обратите внимание, что hostname:port — это неподдерживаемый LDAP URI, так как отсутствует схема.

Имя сервера для соединения.

Порт для соединения.

Возвращаемые значения

Возвращает экземпляр LDAP\Connection , если LDAP URI правдоподобен. Она производит синтаксический разбор и проверку переданных параметров, но соединения с сервером не происходит. Если проверка синтаксиса провалилась — возвращается false . ldap_connect() будет всегда возвращать экземпляр LDAP\Connection , поскольку она фактически не соединяется, а только инициализирует параметры соединения. Фактическое подключение происходит при последующих вызовах ldap_* функций, обычно при вызове ldap_bind() .

Если никакие параметры не будут определены, тогда будет возвращён экземпляр LDAP\Connection открытого соединения.

Список изменений

Версия	Описание
8.1.0	Возвращает экземпляр LDAP\Connection ; ранее возвращался ресурс (resource).

Примеры

Пример #1 Пример подключения к серверу LDAP.

// LDAP переменные
$ldapuri = «ldap://ldap.example.com:389» ; // ldap-uri

// Соединение с LDAP
$ldapconn = ldap_connect ( $ldapuri )
or die( «LDAP-URI некорректен» );

Пример #2 Пример безопасного подключения к серверу LDAP.

// Убедитесь, что ваш хост корректный и
// что вы выдали ему сертификат безопасности
$ldaphost = «ldaps://ldap.example.com/» ;

// Соединение с LDAP
$ldapconn = ldap_connect ( $ldaphost )
or die( «LDAP-URI некорректен» );

Смотрите также

User Contributed Notes 28 notes

If you don’t want your PHP program to wait XXX seconds before giving up in a case when one of your corporate DC have failed, and since ldap_connect() does not have a mechanism to timeout on a user specified time, this is my workaround which shows excellent practical results.

===========================================================
function serviceping($host, $port=389, $timeout=1)
<
$op = fsockopen($host, $port, $errno, $errstr, $timeout);
if (!$op) return 0; //DC is N/A
else <
fclose($opanak); //explicitly close open socket connection
return 1; //DC is up & running, we can safely connect with ldap_connect
>
>

// ##### STATIC DC LIST, if your DNS round robin is not setup
//$dclist = array(‘10.111.222.111’, ‘10.111.222.100’, ‘10.111.222.200’);

// ##### DYNAMIC DC LIST, reverse DNS lookup sorted by round-robin result
$dclist = gethostbynamel(‘domain.name’);

foreach ($dclist as $k => $dc) if (serviceping($dc) == true) break; else $dc = 0;
//after this loop, either there will be at least one DC which is available at present, or $dc would return bool false while the next line stops program from further execution

if (!$dc) exit(«NO DOMAIN CONTROLLERS AVAILABLE AT PRESENT, PLEASE TRY AGAIN LATER!»); //user being notified

//now, ldap_connect would certainly connect succesfully to DC tested previously and no timeout will occur
$ldapconn = ldap_connect($dc) or die(«DC N/A, PLEASE TRY AGAIN LATER.»);
===========================================================

Also with this approach, you get a real nice failover functionality, take for an example a company with a dozen of DC-a distributed along distant places, this way your PHP program will always have high availability if at least one DC is active at present.

To be able to make modifications to Active Directory via the LDAP connector you must bind to the LDAP service over SSL. Otherwise Active Directory provides a mostly readonly connection. You cannot add objects or modify certain properties without LDAPS, e.g. passwords can only be changed using LDAPS connections to Active Directory.

Therefore, for those wishing to securely connect to Active Directory, from a Unix host using PHP+OpenLDAP+OpenSSL I spent some time getting this going myself, and came across a few gotcha’s. Hope this proves fruitfull for others like me when you couldn’t find answers out there.

Make sure you compile OpenLDAP with OpenSSL support, and that you compile PHP with OpenLDAP and OpenSSL.

This provides PHP with what it needs to make use of ldaps:// connections.

Extract your Root CA certificate from Active Directory, this is achived through the use of Certificate Services, a startard component of Windows 2000 Server, but may not be installed by default, (The usual Add/Remove Software method will work here). I extracted this in Base64 not DER format.

Place the extracted CAcert into the certs folder for openssl. (e.g. /usr/local/ssl/certs) and setup the hashed symlinks. This is easily done by simply running:

Once this is done you can test it is worked by running:

/usr/local/ssl/bin/openssl verify -verbose -CApath /usr/local/ssl/certs /tmp/exported_cacert.pem

(Should return: OK).

Add the following to your ldap.conf file.
(found as /usr/local/openldap/etc/openldap/ldap.conf)

# Instruct client to NOT request a server’s cert.
#
# WARNING: This will open up the server vor Man-in-the-middle
# attacs and should *not* be used on production systems or outside
# of test-scenarios!
#
# If you use this setting you will not need any other settings as
# no certificate is requested and therefore will not be validated
#
# For a proper solution check out https://andreas.heigl.org/2020/01/31/handle-self-signed-certificates-with-phps-ldap-extension/
TLS_REQCERT never

# Define location of CA Cert
TLS_CACERT /usr/local/ssl/certs/AD_CA_CERT.pem
TLS_CACERTDIR /usr/local/ssl/certs

You also need to place those same settings in a file within the Apache Web user homedir called .ldaprc

You can then test that you’re able to establish a LDAPS connection to Active Directory from the OpenLDAP command tools:

/usr/local/openldap/bin/ldapsearch -H «ldaps://adserver.ad.com»

This should return some output in extended LDIF format and will indicate no matching objects, but it proves the connection works.

The name of the server you’re connecting to is important. If they server name you specify in the «ldaps://» URI does not match the name of the server in it’s certificate, it will complain like so:

ldap_bind: Can’t contact LDAP server (81)
additional info: TLS: hostname does not match CN in peer certificate

Once you’ve gotten the ldapsearch tool working correctly PHP should work also.

One important gotcha however is that the Web user must be able to locate it’s HOME folder. You must check that Apache is providing a HOME variable set to the Web users home directory, so that php can locate the .ldaprc file and the settings contained within. This may well be different between Unix variants but it is such a simple and stupid thing if you miss it and it causes you grief. Simply use a SetEnv directive in Apache’s httpd.conf:

SetEnv HOME /usr/local/www

With all that done, you can now code up a simple connect function:

function connect_AD()
<
$ldap_server = «ldaps://adserver.ad.com» ;
$ldap_user = «CN=web service account,OU=Service Accounts,DC=ad,DC=com» ;
$ldap_pass = «password» ;

$ad = ldap_connect($ldap_server) ;
ldap_set_option($ad, LDAP_OPT_PROTOCOL_VERSION, 3) ;
$bound = ldap_bind($ad, $ldap_user, $ldap_pass);

Источник

ИТ решения, настройка серверов Linux, Asterisk

Настройка и администрирование Windows и Linux, телефония Asterisk, готовые решения и услуги аутсорсинга.

PHP авторизация LDAP через Active Directory для Asterisk CDR Viewer

В этой статье мы прикрутим авторизацию через Active Directory к Asterisk CDR Viewer используя PHP скрипт. Это решение актуально для авторизации корпоративных пользователей, которым нужно предоставить доступ к какому-то web ресурсу внутри сети на основе присутствия пользователя в группе в домене AD. Вы можете легко переделать скрипт под свои нужны и использовать для доступа к подобным сервисам или страничкам.

Для использования нужных функций нам понадобится установить модуль php-ldap.
Далее мы создадим группу в AD с именем Статистика Asterisk и включим в неё всех пользователей, которым необходим доступ.

Итак, сначала создадим файл ldap.php в папке Asterisk CDR Viewer. В нем опишем настройки доступа к AD серверу:
Чтобы при обновлении страницы не приходилось проходить авторизацию повторно мы сохраним данные в сессии пользователя. Для этого я использовал класс AuthClass который взял отсюда и внес свои изменения.

Для проверки авторизации используется функция login(), которая получает логин и пароль при заполнении формы. В случае ввода правильных данных происходит переадресация на основой файл index.php. За авторизацию у нас будет отвечать файл auth.php в той же папке:
В файл index.php (Asterisk CDR Viewer) вверху нужно добавить код, который будет проверять авторизован ли пользователь (смотреть переменную сессии) и отправлять на форму ввода имени и пароля в случае, если пользователь не авторизован (переменная сессии не установлена).
Ну и стили для формы авторизации у меня получились такие:
./img/auth.css
Осталось добавить ссылку для выхода из статистики вверху страницы. Для этого открываем файл ./templates/header.php и вписываем следующий код внизу перед последним закрывающим тегом

Следует добавить, что время активности сессии по умолчанию составляет 24 минуты. По прошествии этого времени пользователю нужно будет заново пройти авторизацию. В моём случае этого времени достаточно, но если вы хотите увеличить время, можете изменить настройки php.ini на вашем сервере, либо добавить в код такую функцию: ini_set(‘session.gc_maxlifetime’, 86400); Это увеличит время до 1 суток.

Безопасность

Для того, чтобы пароли не передавались в открытом виде, доступ к статистике нужно предоставить по HTTPS протоколу (сгенерировать SSL сертификат) и разрешить только нужную подсеть (или диапазона адресов) средствами web сервера и/или файрвола.

В идеале пустить трафик от сервера со статистикой до AD сервера через отдельную недоступную подсеть (или vpn) для того, чтобы имена и пароли для авторизации не смогли перехватить.

Источник

PHP: почтовая книга на лету из LDAP или Active Directory

Ваша компания медленно, но верно выходит из кризиса, открываются новые офисы или магазины, появляются рабочие места — растет количество сотрудников. Вы, как системный администратор, уже позаботились об этом заранее и внедрили Active Directory или LDAP. Фух, проблем с учетками больше нет.
Но в нашем деле проблемы не заставляют себя долго ждать: вчера взяли пять бухгалтеров, троих продавцов и кладовщика. Всем нужна корпоративная электропочта. Отлично, если вы продумали достаточное количество ходов наперед и вместе с установкой AD перевели авторизацию почтосервера на домен. Тратим пять минут на добавление учеток, вписываем правильные данные, отдаем вашим помошникам — они настроят почтоклиенты этим сотрудникам. Но как теперь сообщить новые адреса всем остальным сотрудникам? Написать каждому письмо? Скинуть в чат? Слишком много работы для среднестатистического и вечно ленящегося сисадмина.

Я вижу два удобных пути решения: можно уговорить почтоклиенты бегать в AD за адресами, а можно показывать их на корпоративном сайте. Сегодня мы попробуем обеспечить корпоративный веб-сайт нужной информацией — будем выводить список сотрудников и их почтовые адреса, а за данными ходить ~~к участковому~~ прямо в Active Directory.

Познакомимся поближе с php-ldap

Условимся, что наш сайт написан на php, вебсервер имеет прямой доступ к серверу AD и на нем установлено расширение php-ldap.

Согласно мануалу, нам потребуется горстка функций. Это ldap_connect, ldap_bind, ldap_search, ldap_get_entries, ldap_unbind. Кроме того, для работы с AD нужно будет принудительно указать версию протокола, в этом нам поможет ldap_set_option.

Пишем фильтр

В каталоге у нас есть и группы, и служебные пользователи, и учетки сотрудников. Да и вообще, много лишнего. Нам предстоит написать фильтр, чтобы снять только сливки.

Раз. Мы строим онлайновую почтовую книгу, поэтому будем показывать только пользоваталей, другие объекты каталога нам не пригодятся.

(&
(mail=*)
(objectCategory=user)
(memberOf=cn=web_mail_catalog,ou=groups,dc=mycompany,dc=crimea,dc=ua)
(!(userAccountControl:1.2.840.113556.1.4.803:=2))
)

Определяемся с атрибутами

Теперь взглянем на каталог атрибутов (например, вот такой). Давайте прикинем, какие поля нам пригодятся. Я думаю, достаточно будет показать ФИО, почтоадрес, должность, отдел и название компании. Согласно таблице, это поля cn, mail, title, department и company.
Их чуть позже мы передадим как массив в качестве одного из аргументов функции ldap_search.

Начнем кодить

Нет, пожалуй, сначала включим индийскую музыку. Для мотивации. PHP — не мой конек, поэтому увлекаться с ООП и MVC я не буду. Желающие перепишут код так, как им заблагорассудится.

Обозначим пачку переменных, которые в дальнейшем будем использовать.

Да, чуть не забыл. Вам предстоит создать отдельную учетку без прав, под которой в AD будет стучаться php-ldap. Кроме того, вы можете использовать префиксы в $srv — ldap:// или ldaps:// для обычного и зашифрованного общения. Насколько я помню, для ldaps AD понадобится ssl-сертификат.

Шагаем дальше. Фильтр и набор атрибутов — в такие же красивые переменные.

Теперь неплохо бы подключиться к AD и выполнить вожделенный поиск.

Скомпонуем и добавим немного html-обвязочки. Должно получиться что-то вроде этого.

Настал момент истины: посмотрим, что у нас получилось.

На этом, думаю, можно завершить статью. К сожалению, для наглядности пришлось перегнать код в изображения, местами не все влезало, поэтому знайте — на месте символа «\» в коде — был вынужденный перенос строки, которого быть не должно. Разумеется, могут встречаться помарки — результат моей неаккуратности, пишите об этом в комментариях, я исправлю.
Целиком рабочий вариант кода я выкладываю вот тут, используйте его так, как посчитаете нужным :)
За сим разрешите откланяться.

Источник