Authentification OpenLDAP à travers Active Directory

[tophe59760]

Bonjour,

Notre boite utilise un OpenLDAP comme source d'authentification principale pour le mail, l'intranet, er la plupart des applis maisons CASsifié mais sur certains sites il existe des serveurs de fichiers sous Windows server avec un AD et une authentification AD.
Les users jonglent donc avec 2 mots de passe d'identification, un pour l'ouverture de session windows de leur poste via l'AD du site et un mot de passe OpenLDAP pour tout le reste.

Je souhaiterait faire en sorte que les users s'authentifient via leur compte OpenLDAP pour leur ouverture de session windows sur le domaine AD.
Il faudrait qu'AD puisse relayer la demande et interroger l'OpenLDAP.

Pourriez-vous me guider sur un tuto afin de voir comment procéder ?
Merci

[Timil]

Salut

As tu lu ceci?
https://blogs.msdn.microsoft.com/alextc ... directory/

[tophe59760]

Merci pour le lien, je suis en train de le lire..

Je lis page 1 : In order to secure authentification requests coming from OpenLDAP to ActiveDirectory ...

Mon anglais n'est pas parfait mais ne serait-ce pas l'inverse ?

L'user lorsqu'il tapera son mot de passe d'ouverture de session Windows à partir d'un poste faisant partie d'un domaine AD, n'est-ce pas plutôt AD qui va interroger OpenLDAP ?

[tophe59760]

J'ai retrouvé ce post dans lequel tu avais déjà répondu à l'époque Timil :
https://www.forum-microsoft.org/viewtop ... ap#p637031

J'ai les mêmes besoins, ce n'est toujours pas possible de déléguer l'authentification AD à OpenLDAP à ce jour ?

[Timil]

Non, mais l'inverse oui.

Sinon mettez en place un STS linux et lié le à l'ADFS de votre forêt.
Rien de "très" complexe mais pas non plus une partie de plaisir.

[tophe59760]

Alors là tu me parles chinois.

STS linux qu'est-ce que c'est ?
ADFS je n'y ai jamais touché ...

c'est quoi l'idée globalement ?

[Timil]

Mettre en place un partenaire de confiance (STS) entre les deux annuaires, chacun traduisant la demande dans le language de l'autre (d'ailleurs c'est vraiment TRES ouvert puisque on peut même s'authentifié avec un compte facebook ou google )

Si vous partez de zero, cela peut être long et fastidieux, mais je n'ai pas "plus simple" sous la main car je ne connais pas openldap.

[tophe59760]

Merci pour le tuyau je vais continuer à chercher