Configurare Active Directory

[ezio]

Nel valutare la possibilità di utilizzare alfresco all'interno dell'azienda, mi sono scontrato con il classico problema di autenticazione con il sistema centralizzato Active Directory.

Premessa
Sto provando la mia demo su un PC portatile con sistema Windows XP connesso alla rete aziendale
Ho la possibilità di utilizzare Tomcat 6.0
Ho installato la versione full Edition 3.2 di Alfresco
Non ho l'accesso diretto al server Active Directory
Ho provato ad utilizzare il client LDAP Jxeplorer per navigare nel repository dell'Active Directory aziendale con esito positivo

Problema
Autenticazione utenza del framework Alfresco tramite server Active Directory aziendale

Note
Ho visto che Tomcat prevede una sua configurazione verso Active Directory, si può utilizzare questa possibilità dal framework Alfresco ?
Ho visto che comunque è possibile configurare direttamente Alfresco per accedere direttamente al server Active Directory ma nonostante abbia seguito la documentazione a riguardo (in inglese) non ho ottenuto il risultato desiderato.
Esiste un modo per verificare lo stato della connessione verso il server Active Directory ?
Esiste documentazione a riguardo in italiano ?

Grazie del vostro aiuto

[openpj]

Ciao Ezio,

innanzitutto non esiste alcuna documentazione in italiano di Alfresco, tutta la documentazione è quella presente nella wiki ufficiale.

Credo che tu debba verificare il sistema di autenticazione supportato dalla tua istanza Active Directory.
Come hai configurato l'autenticazione?

Se hai abilitato l'utilizzo di DIGEST-MD5 è necessario che tu inserisca un corretto sAMA accountName.
Quindi la tua istanza Active Directory dovrà supportare correttamente sAMAmechanism, ed in questo caso lo usernameFormat dovrà essere valorizzato semplicemente con:

%s‍

Altrimenti se stai utilizzando la SIMPLE authentication è necessario inserire il DN, ovvero un usernameFormat valorizzato con un intero DN, ad esempio:

uid=%s,ou=users,dc=company,dc=com‍

Inoltre devi assicurarti che Active Directory memorizzi le password in modalità reversible encryption.
Ultima cosa importante è assicurarsi di utilizzare delle credenziali corrette per il principal e che l'url verso LDAP server sia corretta.

Spero possa aiutarti.

[ezio]

Grazie "OpenPj" per i tuoi consigli ,
comunque per il momento ho deciso di fare una presentazione di Alfresco senza l'autenticazione con Active Directory.

Ho comunque visto che è stata configurata una macchina virtuale (utilizzabile tramite vmware) che utilizza il sistema operativo linux "Centos" con preinstallato alfresco il quale utilizza un active directory per l'autenticazione (configurabile) vedi il seguente sito:

http://www.enspeed.com/products_alfresco3.html

Ho provato a fare l'autenticazione usando un browser Ldap (Jxplorer) con esito positivo, ma nonostante il semplice wizard previsto dalla predetta installazione non sono riuscito a fare l'autenticazione da Alfresco.
Ritengo comunque che tale problema è dovuto ad una configurazione della rete aziendale che devo risolvere con i sistemisti.

Spero vivamente di poter contribuire alla diffusione di Alfresco che ritengo un framework molto ben fatto e utile, per il momento vi ringrazio e vi auguro un buon lavoro.

[ezio]

Ho risolto il problema sulla versione 3.2 di Alfresco nella quale la configurazione di active directory è stata notevolmente semplificata.

Premessa
Ho installato la versione full Edition 3.2 di Alfresco
Ho utilizzato il client LDAP Jxeplorer per navigare nel repository dell'Active Directory aziendale

Problema
Autenticazione utenza del framework Alfresco tramite server Active Directory aziendale

Risoluzione
a) Innanzitutto utilizzando il client LDAP Jxeplorer accedere al'Active Directory aziendale per visionarlo, quindi  posizionarsi nel nodo ove sono definiti gli utente e copiare il DN relativo (utilizzando il tasto destro del mouse "copy DN")

b) Assicurarsi che il server Alfresco non sia in esecuzione.

c) Spostarsi nella seguente directory dove sono memorizzati i file di configurazione per Active Direcotry:
  
   C:\Alfresco\tomcat\webapps\alfresco\WEB-INF\classes\alfresco\subsystems\Authentication\ldap-ad

d) modificare il file properties "ldap-ad-authentication.properties" inserendo come DN il valore copiano in precedenza e i relativi parametri necessari.

e) Spostarsi nella seguente directory dove è memorizzato il file di configurazione globale:
 
   C:\Alfresco\tomcat\shared\classes

f) modificare il file properties "alfresco-global.properties" cambiando il valore della proprietà "authentication.chain" come di seguito:

   authentication.chain=alfrescoNtlm1:alfrescoNtlm,ldap1:ldap-ad

g) Eseguire lo start del server Alfresco

h) Eseguire il client web eseguendo il login con un utente dell'active directory

Note
Durante la sincronizzazione degli utenti vengono creati per ogni utente uno space nel repository come figli dello space "Company Home" e non "User Homes" come dovrebbe essere.
Qualcuno è in grado di dirmi se è possibile configurare nel modo corretto lo spazio dove creare gli utenti ?

[openpj]

Per fare in modo di creare gli utenti all'interno della User Homes devi impostare come provider nella sincronizzazione utenti lo userHomesHomeFolderProvider, in questo modo:

ldap.synchronisation.defaultHomeFolderProvider=userHomesHomeFolderProvider
‍‍‍

all'interno del file nel classpath condiviso nel tuo application server:

/alfresco/extension/ldap-synchronisation.properties
‍‍‍

[ezio]

OK grazie.

Una piccola curiosità quando parli del seguente file di configurazione
"/alfresco/extension/ldap-synchronisation.properties", ti riferisci al file definito nella directory 
" [tomcat-home]\webapps\alfresco\WEB-INF\classes\alfresco\subsystems\Authentication\ldap-ad"
o
"[tomcat-home]\shared\classes\alfresco\extension".

Perchè nella versione 3.2 l'installazione crea il file "ldap-ad-authentication.properties" nella directory 
" [tomcat-home]\webapps\alfresco\WEB-INF\classes\alfresco\subsystems\Authentication\ldap-ad" che contiene sia le proprietà di autenticazione che di sincronizzazione.
Nonostante tale file sia definito all'interno delll'applicazione "alfresco", viene comunque visto anche da altre applicazioni come "share", è corretto lasciare le cose così come sono oppure bisognerebbe copiare (o muovere) il file "ldap-ad-authentication.properties" nella directory  "[tomcat-home]\shared\classes\alfresco\extension" ?

[openpj]

Tipicamente è consigliabile modificare solamente i file presenti nel classloader condiviso dell'application server (nel caso di Tomcat è la cartella shared), questo perché nel caso si voglia aggiornare l'applicazione, in questo caso Alfresco, non è necessario modificare altri file.