Użytkownik LDAP nie jest automatycznie umieszczany w grupie LDAP w jira

Question

Mam lokalną instalację Jira 5.x i serwer OpenLDAP z użytkownikami i grupami. Syncronization in Jira doskonale łączy wszystkich użytkowników i grupy, ale użytkownicy nie należą do żadnej grupy. Ustawiłem domyślne grupy, aby umożliwić użytkownikom LDAP zalogowanie się do Jira.

Co robię źle?

To schematu LDAP:

dn: uid=demo.user@domain.com,ou=intern,ou=people,dc=company,dc=local 
objectClass: posixAccount 
objectClass: account 
objectClass: ldapPublicKey 
homeDirectory: /home/demouser 
loginShell: /bin/bash 
cn: Demo User 
uidNumber: 10001 
gidNumber: 10001 
userPassword: {SSHA}xxxxxxxxxxx 
uid: demo.user@domain.com 


dn: cn=groupname,ou=project,ou=group,dc=company,dc=local 
objectClass: posixGroup 
description: a funny group for a project 
gidNumber: 10018 
cn: groupname 
memberUid: demo.user@domain.com 
memberUid: xyz 
memberUid: ... 

Gdybym uruchomić test w Jira, otrzymuję następujący błąd wiadomość:

testowy uzyskać członkostwa użytkownika z grupy 0 wyszukanych. : Nie

A oto Ustawienia w Jira:

Answer 1

Doświadczyliśmy podobny problem. Wygląda na to, że JIRA nalega na uwzględnienie atrybutu User Membership Attribute - który pochodzi ze schematu użytkownika - takiego jak "memberOf", niezależnie od tego, czy masz już atrybut Group Members. Powinna to być jednak opcja/lub - Atrybut członkostwa w grupie (np. MemberUid w schemacie grupy) LUB atrybut User Membership (np. MemberOf w schemacie użytkownika), ponieważ spełniają mniej więcej tę samą funkcję.

Problem został rozwiązany, gdy zauważyliśmy, że istnieją dwie ściśle powiązane opcje dla typu katalogu: "OpenLDAP" i "OpenLDAP (tylko schemat Posix" tylko do odczytu) ". Ponieważ używaliśmy schematu posixGroup (jak w twoim przykładzie), wybór schematu Posix tylko do odczytu rozwiązał problem. Jeśli przejdziesz do sekcji Ustawienia serwera u góry, powinieneś zobaczyć obie opcje z rozwijanej listy.

Ponadto, powinieneś mieć możliwość przełączenia z "Tylko do odczytu z grupami lokalnymi" na "Tylko do odczytu" w sekcji Uprawnienia LDAP (jeśli chcesz). Jedynym zastrzeżeniem jest to, że używaliśmy schematów inetOrgPerson i shadowAccount (a nie konta, jak w twoim przykładzie) w połączeniu z POSIXAccount dla schematów użytkownika.