Moodle in Italiano: Usare Active Directory per accedere a Moodle

Usare Active Directory per accedere a Moodle

di Gabriele Popescu - venerdì, 26 luglio 2019, 18:14

Buongiorno, ho una questione inerente l'accesso a Moodle scavalcando la normale login.

Principalmente ho questa necessità: dopo essermi autenticato su un DC Active Directory con le mie credenziali WIndows, dovrei poter accedere a Moodle senza che mi chieda login/pwd, dal momento che sono già autenticato sul Domain Controller.

E' possibile farlo? Qualcuno ha già risolto questo problema?

Purtroppo sono poco più che principiante per quanto riguarda AD, l'argomento per me è ostico.

Grazie a chi vorrà rispondermi.

Gabriele

Re: Usare Active Directory per accedere a Moodle

di Domenico Recchia - sabato, 27 luglio 2019, 17:40

Ciao Gabriele,
in attesa che qualche esperto si senta di prestare un contributo (io non mi occupo di amministrazione) .. hai già dato un'occhiata alla documentazione ufficiale? https://docs.moodle.org/37/en/Active_Directory

Re: Usare Active Directory per accedere a Moodle

di Gabriele Popescu - martedì, 30 luglio 2019, 18:22

Buongiorno Domenico,
sì, ci ho dato un'occhiata ma non ho risolto, mi è oscuro (sono tutt'altro che esperto di AD, purtroppo) come far interagire Moodle in modo che prenda il token assegnato alla WS dopo l'autenticazione fatta sul DC.

Continuo ad indagare... magari qualcuno nel frattempo m'illumina.

Re: Usare Active Directory per accedere a Moodle

di Matteo Scaramuccia - mercoledì, 31 luglio 2019, 04:43

Ciao Gabriele,
si è possibile a patto di soddisfare i requisiti:

Moodle deve poter accedere al (Global) Catalog di AD via LDAP(S) perché possa accedere agli attributi necessari come ad esempio la email dell'utente
Moodle deve essere installato su un server registrato nel dominio AD: non importa il suo sistema operatvo, è sufficiente sia registrato a dominio
Devi attivare esplicitamente l'SSO come indicato in https://docs.moodle.org/37/en/LDAP_authentication#NTLM_SSO e seguire le indicazioni di cui al https://docs.moodle.org/37/en/NTLM_authentication

Se ci racconti qualcosa di più del tuo setup (versione di Moodle, versione di PHP, OS, ...), possiamo essere più precisi nel caso.

HTH,
Matteo

Re: Usare Active Directory per accedere a Moodle

di Gabriele Popescu - mercoledì, 31 luglio 2019, 16:45

Buongiorno Matteo, grazie delle delucidazioni.

Per quanto riguarda la registrazione del server nel dominio AD, già avviene tramite il comando realm;

# realm -v join svil.local

ed ottengo un output abbastanza lungo che termina così

* Successfully enrolled machine in realm

Il server registrato nel dominio AD è Linux Debian 9 con PHP 7.0.33, Moodle 3.6.3, Apache 2.4.25.

Il DC è Windows Server 2012R2.

Per quanto riguarda LDAP, debbo verificare il DC, non l'ho configurato io...

per giunta, Active Directory per me è ancora un oggetto ostico.

Intanto mi sarebbe utile sapere se sono aulla buona strada.

Gabriele

Re: Usare Active Directory per accedere a Moodle

di Matteo Scaramuccia - giovedì, 1 agosto 2019, 05:13

Ciao Gabriele,

Successfully enrolled machine in realm

Controlla se su AD lo vedi listato tra le macchine di dominio, così chiudi il cerchio.

LDAP è vivo e vegeto in AD senza che tu debba fare nulla : devi solo decidere se usare il Global Catalog utile quando il setup di AD è una foresta, se hai un dominio unico allora usa la TCP/389 (successivamente la TCP/636).
In https://support.microsoft.com/it-it/help/179442/how-to-configure-a-firewall-for-domains-and-trusts trovi indicazioni delle porte TCP: inizia a lavorare senza SSL per essere certo di non avere problemi di certificato non valido poi quando funzionerà tutto preoccupati di trustare il certificato esposto da AD così da rendere possibile la comunicazione criptata tra server che ospita Moodle e AD.

ldp.exe, https://support.microsoft.com/it-it/help/2693643/remote-server-administration-tools-rsat-for-windows-operating-systems, ti aiuterà molto nel debuggare su client Windows prima di passare a provare su Linux. Personalmente preferisco https://docs.microsoft.com/en-us/sysinternals/downloads/adexplorer.

Active Directory per me è ancora un oggetto ostico.

Puoi provare ad usare qualcosa come https://www.geekshangout.com/php-example-get-data-active-directory-via-ldap/ (o altri esempi in rete) per lavorare con un semplice script PHP e verificare se ottieni qualche risultato, prima di configurare Moodle verso LDAP: in questo esempio devi mettere i tuoi dati alle righe 4,5,6, 20.

Superato lo scoglio della corretta configurazione di rete e di PHP come moduli, prima di passare a Moodle devi esercitarti cone le query LDAP per poter selezionare dove/come cercare gli utenti.
Innanzitutto devi capire cosa sia il Distinguished Name (DN): ad esempio https://stackoverflow.com/questions/18756688/what-are-cn-ou-dc-in-an-ldap-search può aiutarti (cmq su Internet troverai un sacco di materiale).

Puoi leggere poi https://social.technet.microsoft.com/wiki/contents/articles/5392.active-directory-ldap-syntax-filters.aspx?Sort=MostRecent per impratichirti inclusa la Note 1 che è alla base poi della modifica introdotta in MDL-47004.
Dai una letta anche a https://moodle.org/mod/forum/discuss.php?d=267729 (e http://www.selfadsi.org/ads-attributes/user-userAccountControl.htm).

HTH,
Matteo

Re: Usare Active Directory per accedere a Moodle

di Gabriele Popescu - mercoledì, 7 agosto 2019, 18:02

Ciao Matteo,
grazie innanzi tutto e scusa per il ritardo nella risposta.

Su AD la macchina collegata è nell'elenco, almeno questo è fatto.

Con LDAP invece ho parecchi problemi:

# ldapsearch -vNxs base -H ldap://DC.svil.local

funziona

# ldapsearch -vNxs one -H ldap://DC.svil.local

restituisce un errore.

Temporanemente non posso mandarti l'output completo, il DC è in manutenzione.

Appena sarà riavviato completerò la descrizione.

Gabriele

Re: Usare Active Directory per accedere a Moodle

di Gabriele Popescu - mercoledì, 7 agosto 2019, 20:32

Back in action, il DC è attivo.

Dicevo:

lanciando ldapsearch così

# ldapsearch -v -N -x -s base -d 7 -h DC.svil.local

ottengo un copioso output che finisce così

# search result
search: 2
ldap_parse_result
ber_scanf fmt ({iAA) ber:
ber_scanf fmt (}) ber:
ldap_err2string
result: 0 Success
ldap_msgfree

# numResponses: 2
# numEntries: 1
ldap_free_connection 1 1
ldap_send_unbind
ber_flush2: 7 bytes to sd 3
ldap_write: want=7, written=7
0000: 30 05 02 01 03 42 00 0....B.
ldap_free_connection: actually freed

senza alcun errore, mentre se lo lancio così

# ldapsearch -v -N -x -s one -d 7 -h DC.svil.local

ottengo alla fine dell'output

# search result
search: 2
ldap_parse_result
ber_scanf fmt ({iAA) ber:
ber_scanf fmt (}) ber:
ldap_err2string
result: 1 Operations error
text: 000004DC: LdapErr: DSID-0C090728, comment: In order to perform this opera
tion a successful bind must be completed on the connection., data 0, v2580
ldap_msgfree

# numResponses: 1
ldap_free_connection 1 1
ldap_send_unbind
ber_flush2: 7 bytes to sd 3
ldap_write: want=7, written=7
0000: 30 05 02 01 03 42 00 0....B.
ldap_free_connection: actually freed

c'è qualcosa che non so o non capisco.

Re: Usare Active Directory per accedere a Moodle

di Matteo Scaramuccia - sabato, 10 agosto 2019, 06:09

Ciao Gabriele,
ti sta chiedendo di autenticarti (bind) per eseguire quella ricerca.

Prova, ad esempio, a leggere https://tylersguides.com/guides/search-active-directory-ldapsearch/, in particolare la sezione in fondo dal titolo "Search Active Directory with Ldapsearch".

HTH,
Matteo

Re: Usare Active Directory per accedere a Moodle

di Gabriele Popescu - lunedì, 19 agosto 2019, 22:41

Buongiorno,
ringrazio tutti cioloro che mi hanno risposto, ma non sono più coinvolto in questa attività.
Per quanto mi riguarda, l'intera attività è cancellata.
Grazie ancora.
Gabriele

Piazzale Italia

Usare Active Directory per accedere a Moodle