Size: a a a

ClickHouse не тормозит

2021 February 10

D

Dj in ClickHouse не тормозит
Denis Glazachev
ок, если байндюсь к DOMAIN\firstname.lastname и могу получить DN оттуда реальный, то bind_dn:DN будет ссылаться именно на него
вы не можете получить DN в результате bind-a (на самом деле  LDAP должен вернуть matched Dn , но это так себе предположение), вам надо пользователя искать.
источник

AS

Alexey Shcherbakov in ClickHouse не тормозит
Denis Glazachev
можно весь список аттрибутов?
mailNickname
sAMAccountName
userPrincipalName
mail
источник

AS

Alexey Shcherbakov in ClickHouse не тормозит
проверил DN, да имеет нужный вид
источник

DG

Denis Glazachev in ClickHouse не тормозит
Dj
вы не можете получить DN в результате bind-a (на самом деле  LDAP должен вернуть matched Dn , но это так себе предположение), вам надо пользователя искать.
я могу искать по месту байнда аттрибут DN?
источник

DG

Denis Glazachev in ClickHouse не тормозит
Alexey Shcherbakov
mailNickname
sAMAccountName
userPrincipalName
mail
значит записано как:
sAMAccountName=s.v.petrov,OU=users_l0.2,OU=users_l0,DC=domain,DC=tld
?
источник

AS

Alexey Shcherbakov in ClickHouse не тормозит
Denis Glazachev
значит записано как:
sAMAccountName=s.v.petrov,OU=users_l0.2,OU=users_l0,DC=domain,DC=tld
?
вот так там: sAMAccountName=s.v.petrov
источник

DG

Denis Glazachev in ClickHouse не тормозит
Denis Glazachev
если на это будет полочжительный ответ, то все решается элементарно:
bind_dn - как раньше
search base_dn: DC=domain,DC=tld
search filter: <all nodes that have sAMAccountName={user_name} nested inside>
attribute: OU
Значит это должно сработать с текущим кодом.
источник

D

Dj in ClickHouse не тормозит
Denis Glazachev
я могу искать по месту байнда аттрибут DN?
из того что я знаю, нет
   For certain result codes (typically, but not restricted to
  noSuchObject, aliasProblem, invalidDNSyntax, and
  aliasDereferencingProblem), the matchedDN field is set (subject to
  access controls) to the name of the last entry (object or alias) used
  in finding the target (or base) object.  This will be a truncated
  form of the provided name or, if an alias was dereferenced while
  attempting to locate the entry, of the resulting name.  Otherwise,
  the matchedDN field is empty.
источник

D

Dj in ClickHouse не тормозит
Denis Glazachev
Значит это должно сработать с текущим кодом.
да не будет оно работать в АД, а судя по всему у Алексея АД, просто что-то не то проверяется...
источник

DG

Denis Glazachev in ClickHouse не тормозит
У меня нет идей о том, как кратко и гибко задавать параметры поиска пользовательского DN. Для этого изначально предназначен bind_dn. Если админу по каким-то причинам не хочется туда указвать настоящий DN, зачем кликхаусу напрягаться?
источник

AS

Alexey Shcherbakov in ClickHouse не тормозит
Dj
да не будет оно работать в АД, а судя по всему у Алексея АД, просто что-то не то проверяется...
да, AD
источник

DG

Denis Glazachev in ClickHouse не тормозит
Dj
да не будет оно работать в АД, а судя по всему у Алексея АД, просто что-то не то проверяется...
почему не будет работать?
источник

DG

Denis Glazachev in ClickHouse не тормозит
надо только попробовать
источник

D

Dj in ClickHouse не тормозит
Denis Glazachev
У меня нет идей о том, как кратко и гибко задавать параметры поиска пользовательского DN. Для этого изначально предназначен bind_dn. Если админу по каким-то причинам не хочется туда указвать настоящий DN, зачем кликхаусу напрягаться?
куда что админу указать?
дайте конфиг на этот пример https://t.me/clickhouse_ru/203621
источник

DG

Denis Glazachev in ClickHouse не тормозит
Байндится у него все нормально, search filter не правильный.
источник

DG

Denis Glazachev in ClickHouse не тормозит
<bind_dn>attr={user_name},a=b,c=d</bind_dn>

….

<base_dn>dc=domain,dc=tld</base_dn>
<search_filter>(&amp;(objectClass=groupOfNames)(member=CN={bind_dn:CN}))<search_filter>
источник

D

Dj in ClickHouse не тормозит
Denis Glazachev
Байндится у него все нормально, search filter не правильный.
конечно нормально, он в bind_dn написал
DOMAIN\{user_name}

но он не сможет написать нормальный фильтр не имея возможность использовать {user_dn}
источник

DG

Denis Glazachev in ClickHouse не тормозит
он должен заменить DOMAIN\{user_name} на DN
источник

DG

Denis Glazachev in ClickHouse не тормозит
> но он не сможет написать нормальный фильтр не имея возможность использовать {user_dn}
нет, ему это не нужно
источник

D

Dj in ClickHouse не тормозит
Denis Glazachev
<bind_dn>attr={user_name},a=b,c=d</bind_dn>

….

<base_dn>dc=domain,dc=tld</base_dn>
<search_filter>(&amp;(objectClass=groupOfNames)(member=CN={bind_dn:CN}))<search_filter>
не байндится с таким DN =) можно bindится одним из нижеследующих методов:
#1 DOMAIN\{user_name}
#2 {user_name}@domain.com
#3 CN=FirstName LastName,OU=RU-Users,OU=USERS,OU=DOMAIN,DC=LOCAL
источник