基于memberOf属性的ldap Spring Security认证

Question

我使用的是针对LDAP的spring身份验证。如果提供的用户id和密码存在于ldap中，那么我就能够获得用户登录名。我希望根据用户在LDAP中的memberOf属性对此进行限制。如果用户的memberOf属性具有特定的CN值(CN=AdminAccess或CN=SuperAdminAccess)，则身份验证/授权应通过，否则身份验证/授权应失败。

<security:http auto-config="true" use-expressions="true" access-denied-page="/admin/auth/denied">
    <security:intercept-url pattern="/admin/auth/login" access="permitAll" />
    <security:intercept-url pattern="/admin/dashboard/*" access="hasAnyRole('ROLE_ADMINACCESS','ROLE_SUPERADMINACCESS')"/>
</security:http>

<security:authentication-manager>   
  <security:ldap-authentication-provider   user-dn-pattern="CN={0},CN=Users" group-search-base="CN=adminaccess,CN=Users" />  
</security:authentication-manager>

<bean id="ldapContext"
        class="org.springframework.security.ldap.DefaultSpringSecurityContextSource">
    <constructor-arg value="ldap://xxx.ds.yyy.com:389/DC=xxx,DC=ds,DC=yyy,DC=com"/>
    <property name="userDn" value="CN=aaa,CN=Users,DC=xxx,DC=ds,DC=yyy,DC=com"/>
    <property name="password" value="thepassword"/>
</bean>

我总是使用上面的配置转到拒绝访问页面。如果我从security：intercept-URL中删除access=“hasanyrole('role_adminaccess','role_superadminaccess')”，我就能够始终使用有效的用户/密码进行访问，即使该用户不是adminaccess的一部分（我希望这会受到限制，因为我的group-search-base指定了cn=adminaccess)。想知道配置应该是什么：

1. 将访问权限限制为cn=adminaccess和/或cn=superadminaccess成员的用户
2. 指定正确的组搜索库。如果我只指定cn=users，我将得到一个超时，因为这与我们的公司LDAP背道而驰。当我在LDAP浏览器上查找用户时，我找不到一个有帮助的“ou”。使用上面的配置组--search-base=“cn=adminaccess,cn=users”，我没有得到超时，但我认为这也不正确

Answer 1

不确定是否有更好的方法，但我使用DefaultLdapAuthoritiesPopulator并更新到以下配置成功地实现了这一点：

<security:http auto-config="true" use-expressions="true" access-denied-page="/admin/auth/denied">
<security:intercept-url pattern="/admin/auth/login" access="permitAll" />
<security:intercept-url pattern="/admin/dashboard/*" access="hasAnyRole('ROLE_ADMINACCESS','ROLE_SUPERADMINACCESS')"/>
</security:http>

<security:authentication-manager>
    <security:authentication-provider
        ref="ldapAuthProvider"></security:authentication-provider>
</security:authentication-manager>

<bean id="ldapContext"
    class="org.springframework.security.ldap.DefaultSpringSecurityContextSource">
 <constructor-arg value="ldap://xxx.ds.yyy.com:389/DC=xxx,DC=ds,DC=yyy,DC=com"/>
 <property name="userDn" value="CN=aaa,CN=Users,DC=xxx,DC=ds,DC=yyy,DC=com"/>
 <property name="password" value="thepassword"/>
</bean>

<bean id="ldapAuthProvider"
     class="org.springframework.security.ldap.authentication.LdapAuthenticationProvider">
    <constructor-arg>
        <bean
            class="org.springframework.security.ldap.authentication.BindAuthenticator">
            <constructor-arg ref="ldapContext" />
            <property name="userDnPatterns">
                <list>
                    <value>CN={0},CN=Users</value>
                </list>
            </property>
        </bean>
    </constructor-arg>
    <constructor-arg>
        <bean
            class="org.springframework.security.ldap.userdetails.DefaultLdapAuthoritiesPopulator">
            <constructor-arg ref="ldapContext" />
            <constructor-arg value="CN=Users" />
            <property name="groupRoleAttribute" value="CN" />
        </bean>
    </constructor-arg>
</bean>

在此配置中，如果提供的登录用户名/密码是正确的，则用户为“memberof”（模式为CN=users,dc=xxx,dc=ds,dc=yyy,dc=com)的所有组将作为他的“roles”（前缀为ROLE_)加载，并且我能够使用安全性管理对这些角色的访问：intercept-url