<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
</head>
<body>
<p dir="ltr"><br>
Den 24 mars 2016 11:26 em skrev Ondra Machacek &lt;omachace@redhat.com&gt;:<br>
&gt;<br>
&gt; On 03/24/2016 11:14 PM, Karli Sjöberg wrote:<br>
&gt; &gt;<br>
&gt; &gt; Den 24 mars 2016 7:26 em skrev Ondra Machacek &lt;omachace@redhat.com&gt;:<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; On 03/24/2016 06:16 PM, Karli Sjöberg wrote:<br>
&gt; &gt;&nbsp; &gt; &gt; Hi!<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; Starting new thread instead of jacking someone else´s.<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; Managed to migrate from old 'engine-manage-domains' auth to<br>
&gt; &gt; aaa-ldap using:<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; #| ovirt-engine-kerbldap-migration-tool --domain baz.foo.bar --cacert<br>
&gt; &gt;&nbsp; &gt; &gt; /tmp/ca.crt --apply<br>
&gt; &gt;&nbsp; &gt; &gt; |<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; All OK, no errors, but cannot log in:<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; # ovirt-engine-extensions-tool aaa login-user --profile=baz.foo.bar-new<br>
&gt; &gt;&nbsp; &gt; &gt; --user-name=user:<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; If you want to login with user with different upn suffix, then just<br>
&gt; &gt;&nbsp; &gt; append that suffix<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; $ ovirt-engine-extensions-tool aaa login-user --profile=baz.foo.bar-new<br>
&gt; &gt;&nbsp; &gt; --user-name=user@foo.bar<br>
&gt; &gt;<br>
&gt; &gt; OK, some progress, that works!<br>
&gt; &gt;<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; If you have more suffixes and want to have some as default you can use<br>
&gt; &gt;&nbsp; &gt; following approach:<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; 1) install ovirt-engine-extension-aaa-misc<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; 2) create new mapping extension like this:<br>
&gt; &gt;&nbsp; &gt; /etc/ovirt-engine/extensions.d/mapping-suffix.properties<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; ovirt.engine.extension.name = mapping-suffix<br>
&gt; &gt;&nbsp; &gt; ovirt.engine.extension.bindings.method = jbossmodule<br>
&gt; &gt;&nbsp; &gt; ovirt.engine.extension.binding.jbossmodule.module =<br>
&gt; &gt;&nbsp; &gt; org.ovirt.engine-extensions.aaa.misc<br>
&gt; &gt;&nbsp; &gt; ovirt.engine.extension.binding.jbossmodule.class =<br>
&gt; &gt;&nbsp; &gt; org.ovirt.engineextensions.aaa.misc.mapping.MappingExtension<br>
&gt; &gt;&nbsp; &gt; ovirt.engine.extension.provides =<br>
&gt; &gt;&nbsp; &gt; org.ovirt.engine.api.extensions.aaa.Mapping<br>
&gt; &gt;&nbsp; &gt; config.mapUser.type = regex<br>
&gt; &gt;&nbsp; &gt; config.mapUser.pattern = ^(?&lt;user&gt;[^@]*)$<br>
&gt; &gt;<br>
&gt; &gt; Is that supposed to really say '&lt;user&gt;' or should it be changed to a<br>
&gt; &gt; real user name? Either way, it doesn't work, I tried it all.<br>
&gt;<br>
&gt; '?&lt;user&gt;' is just a named group in that regex so you can later use it in<br>
&gt; 'config.mapUser.replacement'&nbsp; option. It should take everything until <br>
&gt; first '@'.<br>
&gt;<br>
&gt; &gt;<br>
&gt; &gt;&nbsp; &gt; config.mapUser.replacement = ${user}@foo.bar<br>
&gt; &gt;&nbsp; &gt; config.mapUser.mustMatch = false<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; 3) select a mapping plugin in authn configuration:<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; ovirt.engine.aaa.authn.mapping.plugin = mapping-suffix<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; With above configuration in use, your user 'user' witll be mapped to<br>
&gt; &gt;&nbsp; &gt; user 'user@foo.bar'<br>
&gt; &gt;&nbsp; &gt; and users 'user@anotherdomain.foo.bar' will remain<br>
&gt; &gt;&nbsp; &gt; 'user@anotherdomain.foo.bar'.<br>
&gt; &gt;<br>
&gt; &gt; This however does not, it doesn't replace the suffix as it's supposed<br>
&gt; &gt; to. I tried with many different types of the 'mapUser.pattern' but it<br>
&gt; &gt; simply won't change it, even if I type in '= ^user@baz.foo.bar$', the<br>
&gt; &gt; error is the same:(<br>
&gt;<br>
&gt; Hmm, hard to say what's wrong, try to run:<br>
&gt; $ ovirt-engine-extensions-tool --log-level=FINEST aaa login-user <br>
&gt; --profile=baz.foo.bar-new --user-name=user<br>
&gt;<br>
&gt; and search for a mapping part in log.</p>
<p dir="ltr">Wow what a mouthfull:) Can you make anything out of it?</p>
<p dir="ltr">https://dropoff.slu.se/index.php/s/EMe2NPmOfsWCNTv/download</p>
<p dir="ltr">/K</p>
<p dir="ltr">&gt;<br>
&gt; &gt;<br>
&gt; &gt; /K<br>
&gt; &gt;<br>
&gt; &gt;&nbsp; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; API: &lt;--Authn.InvokeCommands.AUTHENTICATE_CREDENTIALS result=SUCCESS<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; but:<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; API: --&gt;Authz.InvokeCommands.FETCH_PRINCIPAL_RECORD<br>
&gt; &gt;&nbsp; &gt; &gt; principal='user@baz.foo.bar'<br>
&gt; &gt;&nbsp; &gt; &gt; SEVERE&nbsp; Cannot resolve principal 'user@baz.foo.bar'<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; So it fails.<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; # ldapsearch -x -H ldap://baz.foo.bar -D user@foo.bar -W -b<br>
&gt; &gt;&nbsp; &gt; &gt; DC=baz,DC=foo,DC=bar -s sub &quot;(samAccountName=user)&quot; userPrincipalName |<br>
&gt; &gt;&nbsp; &gt; &gt; grep 'userPrincipalName:'<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; userPrincipalName: user@foo.bar<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; |How do you configure AAA with base 'DC=baz,DC=foo,DC=bar' when<br>
&gt; &gt;&nbsp; &gt; &gt; userPrincipalName ends only on '@foo.bar'?<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; /K<br>
&gt; &gt;&nbsp; &gt; &gt; |<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;&nbsp; &gt; &gt; _______________________________________________<br>
&gt; &gt;&nbsp; &gt; &gt; Users mailing list<br>
&gt; &gt;&nbsp; &gt; &gt; Users@ovirt.org<br>
&gt; &gt;&nbsp; &gt; &gt; http://lists.ovirt.org/mailman/listinfo/users<br>
&gt; &gt;&nbsp; &gt; &gt;<br>
&gt; &gt;<br>
</p>
</body>
</html>