IT-блог Жаконды

Разберем как интегрировать MediaWiki с Active Directory.

Исходные данные:

• Развернутая система MediaWiki 1.30.0 (по этой статье) (mediawiki) на Debian 8 Jessie
• Домен контроллер Windows Server 2012 R2 (JAKONDA.LOCAL)

Для интеграции MediaWiki с Active Directory, необходимо создать пользователя с помощью которого будет осуществляться чтение LDAP, для авторизации всех остальных пользователей системы MediaWiki.

Создание пользователя в Active Directory

Создаем служебного пользователя (прим. admin.mediawiki), снимаем галочку «Требовать смены пароля при следующем входе в систему», выставляем галочки «Запретить смену пароля пользователем», «Срок действия пароля не ограничен».

Интеграция MediaWiki с Active Directory

LdapAuthentication. Переходим по ссылке, выбираем версию MediaWiki, для которой нам необходимо расширение (1.30.0).

https://www.mediawiki.org/wiki/Special:ExtensionDistributor/LdapAuthentication

Распаковываем скачанный архив в папку расположения MediaWiki (прим. /var/www/mediawiki/extensions):

tar -xzf LdapAuthentication-REL1_30-907953e.tar.gz -C /var/www/mediawiki/extensions

Вносим исправления в параметры доступа в файле конфигурации (/var/www/mediawiki//LocalSettings.php):

$wgGroupPermissions['*']['autocreateaccount'] = true;
$wgGroupPermissions['*']['createaccount'] = false;
if ( !isset( $_SERVER['REMOTE_ADDR'] ) OR $_SERVER['REMOTE_ADDR'] == '192.168.7.30') {
 $wgGroupPermissions['*']['read'] = true;
 $wgGroupPermissions['*']['edit'] = true;
}

Дописываем в конец файла конфигурации (/var/www/mediawiki//LocalSettings.php):

# LDAP ---------------------------------------------------------------------------------------
require_once('extensions/LdapAuthentication/LdapAuthentication.php');
require_once ('includes/AuthPlugin.php');
$wgAuth = new LdapAuthenticationPlugin();

$wgLDAPDomainNames = array('JAKONDA.LOCAL');
$wgLDAPServerNames = array('JAKONDA.LOCAL' => 'dc1.jakonda.local');
$wgLDAPPort = array('JAKONDA.LOCAL' => 389);
$wgLDAPEncryptionType = array('JAKONDA.LOCAL' => 'false');

$wgLDAPUseLocal = true;

$wgLDAPSearchStrings = array('JAKONDA.LOCAL' => 'USER-NAME@JAKONDA.LOCAL',);
$wgLDAPProxyAgent = array('JAKONDA.LOCAL' => 'admin.mediawiki');
$wgLDAPProxyAgentPassword = array('JAKONDA.LOCAL' => 'Aa1234567');
$wgLDAPSearchAttributes = array('JAKONDA.LOCAL' => 'sAMAccountName');
$wgLDAPBaseDNs = array('JAKONDA.LOCAL' => 'dc=jakonda,dc=local');
$wgLDAPGroupBaseDNs = array('JAKONDA.LOCAL' => 'dc=jakonda,dc=local');
$wgLDAPUserBaseDNs = array('JAKONDA.LOCAL' => 'dc=jakonda,dc=local');

$wgLDAPRetrievePrefs = array('JAKONDA.LOCAL' => 'true');
$wgLDAPPreferences = array('JAKONDA.LOCAL' => array('email' => 'mail','realname' => 'displayname'));

$wgLDAPDisableAutoCreate = array('JAKONDA.LOCAL' => true);

$wgLDAPGroupUseFullDN = array('JAKONDA.LOCAL' => true);
$wgLDAPLowerCaseUsername = array('JAKONDA.LOCAL' => true);
$wgLDAPGroupObjectclass = array('JAKONDA.LOCAL' => 'group');
$wgLDAPGroupAttribute = array('JAKONDA.LOCAL' => 'member');
$wgLDAPGroupNameAttribute = array('JAKONDA.LOCAL' => 'cn');
$wgLDAPGroupsUseMemberOf = array('JAKONDA.LOCAL' => true);

# Можно задать члены групп AD, каким разрешать доступ к MediaWiki 
$wgLDAPRequiredGroups = array('JAKONDA.LOCAL' => array('cn=evilgroup,ou=groups,dc=AD,dc=jakonda,dc=local'));

# Можно задать члены групп AD, каким запрещать доступ к MediaWiki 
#$wgLDAPExcludedGroups = array('JAKONDA.LOCAL' => array('cn=evilgroup,ou=groups,dc=AD,dc=jakonda,dc=local'));
$wgLDAPGroupSearchNestedGroups = array('JAKONDA.LOCAL' => true);
$wgLDAPActiveDirectory = array('JAKONDA.LOCAL' => true);

$wgLDAPDebug = 99;
$wgDebugLogGroups["ldap"] = "/tmp/ldap.log";
#-----------------------------------------------------------------------------------------------------

[stextbox id=’warning’]Соответственно не забываем изменить название домена, служебного пользователя под себя. Так же более подробно по LDAP авторизации можно почитать на оф. сайте[/stextbox]

Запускаем скрипт обновления данных в MediaWiki (после подключения любых расширений в MediaWiki, необходимо выполнять данное действие, иначе подключенные расширения в LocalSettings.php будут проигнорированы). Так же перезапускаем службу apache:

php /var/www/mediawiki/maintenance/update.php
service apache2 restart

Теперь на форме авторизации MediaWiki, будет возможность авторизации как в Active Directory, так и с помощью локальной базы пользователей MediaWiki

Понравилась или оказалась полезной статья, поблагодари автора