使用开放LDAP配置GitLab

Question

我正在尝试用OpenLDAP配置我的Gitlab，以便对用户进行身份验证。我已经配置了openldap，它在Jenkins中运行良好。但是对于gitlab，它给出的错误是无法从Ldapmain对您进行身份验证，因为“无效的凭据”。

以下是gitlab.rb配置：

gitlab_rails['ldap_enabled'] = true
 gitlab_rails['ldap_servers'] = YAML.load <<-'EOS' # remember to close this block with 'EOS' below
   main: # 'main' is the GitLab 'provider ID' of this LDAP server
     label: 'LDAP'
     host: 'localhost'
     port: 389
     uid: 'uid'
     method: 'plain' # "tls" or "ssl" or "plain"
     bind_dn: 'cn=admin,dc=ldap,dc=com'
     password: 'waqas'
     active_directory: false
     allow_username_or_email_login: true
    #block_auto_created_users: false
     base: 'cn=Appliance,dc=ldap,dc=com'
     user_filter: ''
# attributes:
#   username: ['uid', 'userid', 'sAMAccountName']
#   email:    ['mail', 'email', 'userPrincipalName']
#   name:       'cn'
#       first_name: 'givenName'
#       last_name:  'sn'
#     ## EE only
#    group_base: 'ou=W-Integrate,dc=ldap,dc=com'
     #admin_group: 'cn=admin,dc=ldap,dc=com'
#     sync_ssh_keys: false
#

 EOS

Answer 1

基本DN不应是用户（或inetorgPerson，用户组cn=appliance)，应将其限制为基本DN的DC项：

base: 'dc=ldap,dc=com'

这不同于绑定帐户bind_dn，后者引用用户:bind_dn:'cn=admin,dc=ldap,dc=com':那里有cn。

注意，自GitLab 13.7（2020年12月）以来：

GitLab使用统一的配置文件，例如Omnibus GitLab中的GitLab.rb，这使得所有捆绑服务之间的配置变得容易。

此配置文件中包括一些机密，例如要向LDAP服务器进行身份验证的凭据。
虽然访问此文件确实需要提升权限，但最佳做法是将机密与配置分开。

Omnibus GitLab和源代码安装现在支持加密凭据，支持的第一个凭据是LDAP。
这降低了GitLab配置文件的敏感性，还有助于实现客户遵从性要求。

参见文档和问题。