Directory Server Active directory Server mit ecoDMS

anlatana

Benutzer
Mitglied seit
07. Jun 2011
Beiträge
24
Punkte für Reaktionen
0
Punkte
7
Hallo,

ich versuche ecoDMS (im Docker) an die AD auf der Synology selber anzubinden. Ich bekomme immer einen 'LDAP error code 8'. Hat jemand das bereits mal probiert?

Wie ich den Fehler verstehe, verlangt der Server eine höhere Verschlüsselung und der Client kann sie nicht bieten.


Es geht sich um AD, nicht um LDAP (evtl. gehört das Thema woanders hin?)

Grüße
 
Zuletzt bearbeitet:

anlatana

Benutzer
Mitglied seit
07. Jun 2011
Beiträge
24
Punkte für Reaktionen
0
Punkte
7
Hallo Dojo,

leider nein. Habe das mit dem AD aufgegeben.

Grüße
 

dojo

Benutzer
Mitglied seit
14. Dez 2016
Beiträge
71
Punkte für Reaktionen
9
Punkte
8
Morgen,

bei mir hab ich's gestern Abend hinbekommen! ??

Ich hatte folgende Ausgangssituation:

Meine Domain: www_dominic-jonas_de
Meine Domäne: ad_dominic-jonas_de
(_ durch . ersetzen)

Meine Vermutung ist, das der ecoDMS Client versucht hat sich am Webspace anzumelden. Nachdem ich meine Domäne (auf der Synology) in "jonas.local" geändert hatte, konnte ich mich sofort mit dem AD Server auf der Synology verbinden!

Jedoch musste ich den Container neu aufsetzen, da intern sich irgendwo noch "ad_dominic-jonas_de" eingenistet hatte und die Anmeldung (mit einem AD Benutzer) noch nicht funktionierte.

Nachdem ich den Container neu aufgesetzt hatte konnte ich mich sofort mit der Domäne verbinden und im "ConnectionManager" einen "AD" Benutzer hinterlegen! ?

Grüße
 
  • Like
Reaktionen: Muert-Azul

svenc

Benutzer
Mitglied seit
06. Jan 2011
Beiträge
6
Punkte für Reaktionen
0
Punkte
1
Hi,
hättest Du da mal einen Screenshot, bzw. Infos, was Du bei dem AD auf der Synology eingestellt hast?

Ich erhalte immer noch die Fehlermeldung (siehe Anlage).

Vielen Dank im Voraus.

Bildschirmfoto 2019-08-29 um 13.37.34.jpg

LG
 
Zuletzt bearbeitet von einem Moderator:

Norman3l

Benutzer
Mitglied seit
17. Okt 2016
Beiträge
19
Punkte für Reaktionen
0
Punkte
1
Hallo,
folgende Eingabe hat bei mir zum Erfolg geführt. Das in Grossbuchstaben geschriebene muss entsprechend seiner eigenen Umgebung angepasst werden. Getestet wurde dies auf einer DS918+ mit einer installierten EcoDMS Version 18.09 (apu).


URL: ldap://IP-ADRESSE
Basis DN: dc=DOMAIN,dc=local
Benutzer: Administrator@DOMAIN.local
Passwort: PASSWORT
Such DN: Users
Filter: (&(objectcategory=user)(objectClass=person))
UID Feld: sAMAccountName
 

Norman3l

Benutzer
Mitglied seit
17. Okt 2016
Beiträge
19
Punkte für Reaktionen
0
Punkte
1
Habe ecoDMS nun nochmals neu aufgesetzt da der Login über Active Directory irgendwann nicht mehr funktioniert hat. Die AD Eingabemaske habe ich nach der Neuinstallation analog zum vorherigen Post ausgefüllt. Mit dem Ergebnis, dass es diesmal nicht funktioniert hat. Es kommt wieder die gleiche Fehlermeldung wie im ursprünglichen Post beschrieben.

'LDAP error code 8'

Hat mittlerweile jemand herausgefunden was zu tun ist um den Fehler zu beseitigen?
 

haja

Benutzer
Mitglied seit
26. Jul 2014
Beiträge
3
Punkte für Reaktionen
1
Punkte
3
Vielen Dank für die schnelle Antwort.
Aber es müsste der Port 636 sein, oder?
 
  • Like
Reaktionen: blurrrr

Tomy

Benutzer
Mitglied seit
22. Feb 2012
Beiträge
21
Punkte für Reaktionen
0
Punkte
1
Bin am selben Punkt auf Grund gelaufen. Die Fehlermeldungen sind nicht sehr aufschlussreich und darum hoffe ich, dass ich ev. hier etwas schaluer werde ...
Meine Domäne hat allerdings einen etwas komplizierteren Namen: DOM01.mylan.abcdef.ch . Das NAS auf welchem der DC läuft hat einen DNS Namen nas02.mylan.abcdef.ch. Ebenfalls hat das NAS ein LetsEncrypt Zertifikat welches auf den DNS Namen passt installiert. Die Windows 10 Clients sind mit dem Synology Directory Server zufrieden und alles funzt bestens. Schwierig wird es erst, wenn ich nun den AD Server in Applikationen einbinden möchte. Also hier ecoDMS. Vermutlich nur eine Frage der richtigen Seetings ;)


URL: ldaps://nas02.mylan.abcdef.ch
Basis DN: dc=DOM01,dc=mylan,dc=abcdef,dc=ch
Benutzer: benutzerXY@DOM01.mylan.abcdef.ch
Passwort: PASSWORT
Such DN: Users
Filter: (&(objectcategory=user)(objectClass=person))
UID Feld: sAMAccountName

Der Fehler ist dann ...CommunicationException: nas02.mylan.abcdef.ch:636 [Root exception is java.net.ConnectionException: Connection refused (Connection refused)]

Die gleiche Meldung finde ich auch im Logfile auf dem Docker.

Wenn ich statt ldaps:// nur ldap:// verwende, gibt es einen "Transport encryption required" Fehler.

Leider habe ich noch kein Logfile auf der NAS vom Directory Server gefunden. Ev. dass man da etwas sehen würde.

Vielen Dank schon mal ....
 

win7x8664

Benutzer
Mitglied seit
16. Jun 2013
Beiträge
7
Punkte für Reaktionen
0
Punkte
1
Hallo.


Ich habe mir auch das EcoDMS Docker-Image (21.12 burns) auf einer Synology angeschaut, wollte die Benutzerverwaltung ebenso an den Directory Server (LDAP/AD) hängen und erhielt diverse/dieselben Fehlermeldungen. Hier habe ich meine Recherchen, Ansatzpunkte und Hilfestellungen dokumentiert - hoffentlich nützlich für andere.



Code:
"LDAP: error code 8 - BindSimple: Transport encryption required".
Grund: Ab Samba 4.4.1 wurde dem Server eine Option hinzugefügt, strikter mit Authentifizierung umzugehen: "ldap server require strong auth" - eingeschaltet im Standard. Siehe Doku und Release Notes


1. Lösungsansatz: Den Directory Server umkonfigurieren, so dass er auch unverschlüsselt authentifiziert.
Hierfür gibt es keine Option im DSM Gui und in DSM 7.1 ist dies anscheinend nicht vorgesehen. Zumindest wurde der Hinweis aus dem aktuellen Administratorhandbuch entfernt, ist jedoch im DSM 6.2 Handbuch noch vorhanden (siehe Kapitel 7 FAQ).
Hier beschreibt jemand in der Community die Schritte ein wenig genauer als unten zu sehen.

/etc/samba/smb.conf editieren und "ldap server require strong auth = no" in [global] eintragen.
1664064669214.png

Nach einem NAS Neustart hat die Verbindung dann wunderbar funktioniert - unverschlüsselt authentifiziert. Kann man mit anderen Tools, wie z.B. ldp.exe (enthalten in MS RSAT) auch ausprobieren.

Code:
ld = ldap_open("diskstation.fritz.box", 389);
Established connection to diskstation.fritz.box.
Retrieving base DSA information...
Getting 1 entries:
Dn: (RootDSE)
[...]
res = ldap_simple_bind_s(ld, 'ecodms@fritz.box', <unavailable>); // v.3
Authenticated as: 'ecodms@fritz.box'.
Expanding base 'DC=fritz,DC=box'...
Getting 1 entries:
Dn: DC=fritz,DC=box
[...]

Unverschlüsselte Kommunikation ist aber allenfalls in privaten Netzen noch vertretbar meiner Meinung nach. Deswegen kommen wir zum nächsten Ansatz.


2. Lösungsansatz: EcoDMS auf verschlüsselte Kommunikation umschalten.

Beim Umstellen von LDAP auf LDAPS zeigt EcoDMS folgende Fehlermeldung:
Code:
[...] PKIX Path Building Failed [...]
Dies deutet auf Schwierigkeiten im Bereich Zertifikate hin (Public Key Infrastructure).
Der Client (in diesem Fall "EcoDMS Server") kann die Vertrauensstellung zum LDAP nicht herstellen, da das ausgelieferte Zertifikat nicht bekannt ist.

Da der EcoDMS Server jedoch in einem Docker Container läuft, ist es ein wenig schwieriger an die Konsole/Shell heranzukommen, die benötigt wird, um an den Zertifikatsspeicher heranzukommen. Das geht entweder über die Synology Docker Gui (Terminal - Erstellen - mit Befehl starten)

1664063627840.png



oder über die Docker CLI, sofern SSH im DSM eingeschaltet ist und eine Verbindung aufgebaut wurde zur Synology.
Code:
sudo docker exec -ti CONTAINERNAME /bin/bash
1664063836707.png

Die folgenden Schritte bauen die Verbindung zum LDAP Server auf, laden das entsprechende Zertifikat herunter, setzen ausreichende Berechtigungen und fügen es dem Zertifikatsspeicher des Betriebssystems hinzu (alternativ könnte man das Zertifikat auch über DSM herunterladen und in einen Ordner legen, der vom Container erreichbar ist denke ich).
Diese Vertrauensstellung kann der EcoDMS Server nutzen, um die LDAP Verbindung so aufzubauen, wie es der Directory Server im Standard erwartet.

Code:
openssl s_client -connect SERVER:636 <<<'' | openssl x509 -out /PATH/FILE
chmod 644 /PATH/FILE
cd /PATH
update-ca-certificates
1664065635367.png
Die Fehlermeldung kann ignoriert werden, da es sich um ein selbstsigniertes Zertifikat handelt, dessen Zertifikatskette nicht nachvollzogen werden kann. Bitte auch ignorieren, dass auf dem Screenshot "0 added" angezeigt wird. das Zertifikat wurde schon einmal hinzugefügt und liegt im Zertifikatsspeicher (hier unter dem Namen "cert.pem". Ich wollte die Doku aber so lückenlos wie möglich ersgtellen.
1664065968972.png

Nach einem NAS Neustart hat die Verbindung dann wunderbar funktioniert - dieses mal verschlüsselt authentifiziert.

Einstellungen in EcoDMS Client wie folgt:
URLldaps://SERVER
BasisDNDC=domain,DC=tld
BenutzerDNCN=benutzer,CN=Users,DC=domain,DC=tld
Passwortxxxxxxxxxx
SuchDNCN=Users
Filterentsprechender LDAP query filter
UUID Feldsamaccountname

Zu guter letzt ein Screenshot von EcoDMS Benutzereinstellungen:

1664067132235.png



Während der Konfiguration sind noch diverse weitere Fehlermeldungen aufgetaucht, die aber relativ einfach zu lösen waren - meistens beruhend auf Tippfehlern etc.

Zwei Wermutstropfen bleiben:
1) Das Zertifikat, welches im Standard von der DSM für den Directory Server ausgestellt wird, hat nur eine Laufzeit von 1 Jahr. Somit müssten die oben genannten Schritte quasi jährlich wiederholt werden. Vielleicht kann man die Laufzeit noch beeinflussen - muss ich demnächst mal reinschauen.
2) Den Connection Manager kriege ich leider immer noch nicht dazu, eine Verbindung mit einem LDAP Benutzer aufzubauen. ..... Vielleicht mach ich da mal ein Ticket bei EcoDMS auf .... Oder ich hab hier ein Brett vorm Kopf ....

1664069181283.png

Gruß
win7x8664
 

Anhänge

  • 1664064535892.png
    1664064535892.png
    13,5 KB · Aufrufe: 0
  • 1664063933190.png
    1664063933190.png
    3 KB · Aufrufe: 0
Zuletzt bearbeitet:

win7x8664

Benutzer
Mitglied seit
16. Jun 2013
Beiträge
7
Punkte für Reaktionen
0
Punkte
1
Zwei Wermutstropfen bleiben:
1) Das Zertifikat, welches im Standard von der DSM für den Directory Server ausgestellt wird, hat nur eine Laufzeit von 1 Jahr. Somit müssten die oben genannten Schritte quasi jährlich wiederholt werden. Vielleicht kann man die Laufzeit noch beeinflussen - muss ich demnächst mal reinschauen.
2) Den Connection Manager kriege ich leider immer noch nicht dazu, eine Verbindung mit einem LDAP Benutzer aufzubauen. ..... Vielleicht mach ich da mal ein Ticket bei EcoDMS auf .... Oder ich hab hier ein Brett vorm Kopf ....

Zu 1: Was mir noch eingefallen ist: Das könnte auch zu Problemen führen bei einem Update des Synology Directory Servers sofern der Aktualisierungsprozess die smb.conf komplett überschreibt oder aber bei manueller Zertifikatserneuerung im DSM für den Directory Server ...

Zu 2: Der Samba Server akzeptiert generell verschiedene Schreibweisen des Benutzers (user DN // user@domain.tld // domain\user). Es schein im Connection Manager mit dem vollen DN aber nicht zu funktionieren. Zum Laufen gebracht habe ich es erst mit der zweiten Schreibweise:
Also so funktioniert es jetzt:

Zwei Gruppen im AD eingerichtet: Eine für die EcoDMS Administratoren, eine zweite für normale Benutzer
Danach in EcoDMS folgende Konfiguration:

1664101001200.png

1664101023337.png


1664101039920.png



1664100960516.png


1664100945149.png


Das Standardpasswort des internen Standardbenutzers "ecodms" habe ich auf ein komplexes geändert. Den Benutzer plane ich nicht mehr zu verwenden im laufenden Betrieb, erhalte ihn aber als Notfallbenutzer, falls das Active Directory mal ausfallen sollte.


So, und zu guter Letzt habe ich noch eine sehr gute Anleitung der Firma MHC gefunden, die dasselbe Thema bearbeitet hat. Zwar mit einem AD auf UCS statt einer Synology, aber die Problemstellung war die gleiche. Ich bin jetzt aber zu faul (;-)), um deren Anleitung nachzuvollziehen und zu schauen, ob die Kommandos im EcoDMS Container installiert sind und auch zum Ergebnis führen.
https://wiki.mhcsoftware.de/ecodms
https://wiki.mhcsoftware.de/ucs_ldap


Würde mich über Rückmeldung freuen, ob auch andere mit oben genannten Punkten ihr EcoDMS an den Synology Directory Server angeschlossen kriegen.


Gruß
win7x8664
 


 

Kaffeautomat

Wenn du das Forum hilfreich findest oder uns unterstützen möchtest, dann gib uns doch einfach einen Kaffee aus.

Als Dankeschön schalten wir deinen Account werbefrei.

:coffee:

Hier gehts zum Kaffeeautomat