Авторизация через LDAP

[Inoyat.Kayumov]

Zabbix 5.0.27
Настроен LDAP, работает корректно - но ровно до тех пор пока не появляется ситуация:
- [email protected] и [email protected] - т.е. одинаковый пользователь в разных поддоменах
- авторизация не работает
В настройках все стандартно

Какой аттрибут использовать для поиска в этой ситуации?

[Kos]

Начиная с Zabbix 6.2, можно в настройках LDAP указывать: а) несколько серверов, б) дополнительный фильтр при поиске.
До этого можно играться, разве что, правами пользователя в AD, от имени которого делается привязка (binding) к LDAP, ограничивая ему видимость той или иной частью дерева.
Но правильнее всего, наверное, было бы подобрать вместо имени пользователя такой атрибут, который был бы уникален в пределах всего дерева - например, mail или userPrincipalName (но тогда и в Zabbix-е его надо заводить с таким именем, и при логине указывать именно его).

[Alex_UUU]

Одинаковый, в смысле имя одинаково? Пользователи же разные. И пароли у них - разные.
А если в атрибуте поиска указать uid ?

[Inoyat.Kayumov]

Одинаковое имя - [email protected], [email protected]
Пароли конечно разные - но в zabbix пользователь-то заведен просто как petrov_pp - как их идентифицировать по разным поддоменам?

[Kos]

У вас один LDAP сервер возвращает информацию о пользователях из разных поддоменов?
Судя по имени атрибута SaMAccountName, речь идёт про MS Active Directory. Я не шибко большой специалист в AD, но разве он позволяет заводить в одном дереве пользователей с одинаковым значением этого атрибута? А если позволяет, то постарайтесь сформулировать - как бы вы сами хотели решать проблему аутентификации: если при логине пользователь указывает неуникальный атрибут, как должен проходить поиск нужного пользователя?

[Inoyat.Kayumov]

Да, это MS AD.
Пока тестирую варианты:
- в zabbix заводить пользователя используя "полное" имя
- изменить аттрибут поиска

[Kos]

Начиная с Zabbix 6.2, можно в настройках LDAP указывать: а) несколько серверов, б) дополнительный фильтр при поиске.
До этого можно играться, разве что, правами пользователя в AD, от имени которого делается привязка (binding) к LDAP, ограничивая ему видимость той или иной частью дерева.
Но правильнее всего, наверное, было бы подобрать вместо имени пользователя такой атрибут, который был бы уникален в пределах всего дерева - например, mail или userPrincipalName (но тогда и в Zabbix-е его надо заводить с таким именем, и при логине указывать именно его).