使用DEX(LDAP)进行身份验证时组为空

Question

我一直在尝试使用DEX for LDAP来验证OIDC。我已经成功地进行了身份验证，但问题是，LDAP搜索没有返回组。下面是我的DEX配置和LDAP数据。请帮帮我

截图：登录成功，群为空

我的Dex配置

# User search maps a username and password entered by a user to a LDAP entry.
userSearch:
# BaseDN to start the search from. It will translate to the query
# "(&(objectClass=person)(uid=<username>))".
baseDN: ou=People,dc=ec2-54-185-211-121,dc=us-west-2,dc=compute,dc=amazonaws,dc=com
# Optional filter to apply when searching the directory.
#filter: "(objectClass=posixAccount)"
# username attribute used for comparing user entries. This will be translated
# and combine with the other filter as "(<attr>=<username>)".
username: mail
# The following three fields are direct mappings of attributes on the user entry.
# String representation of the user.
idAttr: uid
# Required. Attribute to map to Email.
emailAttr: mail
# Maps to display name of users. No default value.
nameAttr: uid

# Group search queries for groups given a user entry.
groupSearch:
# BaseDN to start the search from. It will translate to the query
# "(&(objectClass=group)(member=<user uid>))".
baseDN: dc=ec2-54-185-211-121,dc=us-west-2,dc=compute,dc=amazonaws,dc=com
# Optional filter to apply when searching the directory.
#filter: "(objectClass=posixGroup)"
# Following two fields are used to match a user to a group. It adds an additional
# requirement to the filter that an attribute in the group must match the user's
# attribute value.
userAttr: uid
groupAttr: memberUid
# Represents group name.
nameAttr: cn

dn:uid=janedoe,ou=people,dc=ec2-54-185-211-121,dc=us-west-2,dc=compute,dc=amazonaws,dc=com gecos：janedoe uid：janedoe loginshell：/bin/bash mail：[e-mail] homedirectory：/home/jdoe cn：Jane Doe sn：Doe uid number：10001 objectclass：posixAccount objectclass：inetOrgPerson objectclass：top userpassword：foo

dn:ou=Groups,dc=ec2-54-185-211-121,dc=us-west-2,dc=compute,dc=amazonaws,dc=com ou:Groups objectclass：organizationalUnit

dn:cn=admins,ou=groups,dc=ec2-54-185-211-121,dc=us-west-2,dc=compute,dc=amazonaws,dc=com cn:admins objectclass：posixGroup objectclass：top gidnumber：20001 memberuid：janedoe memberuid：johndoe

dn:cn=developers,ou=groups,dc=ec2-54-185-211-121,dc=us-west-2,dc=compute,dc=amazonaws,dc=com cn:developers objectclass：posixGroup objectclass：top gidnumber：20002 memberuid：janedoe

Answer 1

很抱歉重播晚了，但直到现在我还不知道答案：）

我也遇到了同样的问题，在我的设置中，我使用dex(quay.io/dexidp/dex:v2.16.0)来使用MS AD。我在测试中使用了Kubernetes1.13。

为了生成kubeconfig，我使用了Heptiolabs/Gangway(gcr.io/Heptio-images/Gangway:v3.0.0)，为了处理仪表板登录，我使用了pusher/oauth2_proxy(quay.io/pusher/oauth2_proxy)。

我花了很多时间在dex中尝试不同的ldap设置，但没有让广告组显示在dex日志中，也没有让他们在kubernetes中工作，而且我读到的每个示例都只使用用户。

我的问题和解决方案不在dex配置中，如果您告诉dex这样做，dex将从ldap请求组。都在客户身上。OIDC有一个作用域的“概念”，我猜最（所有？）oidc客户机实现了它，至少gangway和oauth2-proxy都实现了它。所以我的解决方案是配置客户机（在我的例子中是gangway和oauth2-proxy)，以便他们也向dex请求组。

在gangway中，我使用了以下配置（包括注释）

# Used to specify the scope of the requested Oauth authorization.
# scopes: ["openid", "profile", "email", "offline_access"]
scopes: ["openid", "profile", "email", "offline_access", "groups"]

- args:
        - --scope=openid profile email groups

希望有帮助

--罗伯特