Аутентификация в суб-домене (ad)

[Burmuley]

Приветствую!
Народ, кто-нибудь имел дело с аутентификацией в Zabbix-frontend в двух доверенных доменах?
Имеем:
1. домен corp.loc
2. поддомен sub.corp.loc
Zabbix настроен на аутентификацию в домене corp.loc и успешно с этим справляется. Однако, хотелось бы еще пускать туда пользователей из домена sub.corp.loc.

Я так понимаю должна быть возможность указать разные base-DN для этих доменов для успешной аутентификации?

Возможно ли это в текущей версии Zabbix - 1.8.3?

[zalex_ua]

Приветствую!
Народ, кто-нибудь имел дело с аутентификацией в Zabbix-frontend в двух доверенных доменах?
Имеем:
1. домен corp.loc
2. поддомен sub.corp.loc
Zabbix настроен на аутентификацию в домене corp.loc и успешно с этим справляется. Однако, хотелось бы еще пускать туда пользователей из домена sub.corp.loc.

Я так понимаю должна быть возможность указать разные base-DN для этих доменов для успешной аутентификации?

Возможно ли это в текущей версии Zabbix - 1.8.3?

Боюсь ошибиться, так как у меня просто один домен, но где то читал что когда имеем дело с доверительными отношениями между доменами, то нужно использовать Глобальный каталог и соответственно другой порт 3268 вместо 389. Там кажется хранится вся информация и о других доменах. Почитайте - я не помню.
Вам нужно обратить внимание не на сам заббикс а на то как работает Ldap если имеем несколько доменов. Вам же нужно не просто переключить на другой домен, а дополнительно добавить доступ от другого.

[Burmuley]

Добрый день.
Да, так и следовало поступить, использовать в настройках порт 3268 (и DC=corp,DC=loc).
Вчера добился работы этого, но еще не успел на форум отписать.
Спасибо!

[marakshin]

Может кому пригодится:
У данного метода есть один минус - это проблемы с одинаковыми именами пользователя в суб-доменах (Например [email protected] и [email protected]). В таком случае, авторизоваться не получится.
Для себя решил проблему путем использования поля mail вместо samaccountname в настройках аутентификации в Zabbix. Метод не совсем красивый, но зато работает, в случае, если у вас у разных доменов разная почта и она прописана в Active Directory (Например, если используется Exchange сервер).