Problem with ldap group sync in POC project

[offerlam]

Hi all,

We are trying to spread the joy of nextcloud in Denmark

I’m making a POC project with a Nextcloud setup that LDAP integrates with a Zentyal setup. Which is based on Samba LDAP.

I have full user sync enabled. So used made in Zentyal AD can access Nextcloud.
Now i want AD groups to sync, so i’m able to build my entire share access infrastructure from AD and implement it on the folders in nextcloud.

My problem is when i go to LDAP/AD integration in administration in nextcloud and chose groups i can’t get any dropdown from the “Only these object classes:” or “Only from these groups”

I am however able to make a LDAP query filter and have ALL groups sync to nextcloud. But that would involve me getting allot of groups in nextcloud i don’t need.

I have tried with a LDAP QUERY that singels out one group but that won’t sync either. It will only take the filter that takes all groups.

Any ideas of what is going on here? I need a push in the right direction

[Kerasit]

Hi. Is it okay to switch to Danish?

Hej.

Jeg bruger godt nok ikke et AD domain-like setup med SAMBA, men derimod OpenLDAP. Det ændrer ikke på at jeg også selv har været nødsaget til at angive min præcise query.

Her er hvad jeg selv har angivet i mine LDAP instillinger (mit interface er på dansk, så det bliver med dansk også i instillingerne). OBS! Jeg bruger dynamiske grupper, så se bort fra memberUrl:

Advanceret -> Mappe instillinger

Og jeg har ikke brugt opslags metoden for at finde de ønskede objectclasses, men har i stedet angivet et LDAP filter:

Du kan modificere din LDAP query. Det nemmeste du kan gøre er dog at bruge en decideret LDAP browser - jeg anbefaler og bruger stort kun Apache Directory Studio - og så lave et filter. Der er deri en advanceret LDAP query tool, som forstår det skema det er connected til. Når dit filter viser kun de grupper du er interesseret i, kan du kopiere dette filter direkte ind i det felt du ser ovenover.

[offerlam]

@Kerasit

Apache Directory Studio

uh a fellow dane

tak for dit svar.

jeg har sammet setup som dig men det virker bare ikke.
nu ligner det med dit ldap filter at du filtrer noget fra. Er det ikke det pipe gør?

men jeg har fx prøvet med en filter der kun tager en gruppe med over
(&(objectClass=groupOfNames)(cn=testGrp))

testGrp gruppen findes som en security group men nextcloud kan ikke finde den når jeg vælger “verify settings and count the groups”

Kan du se hvad jeg gør forkert?

[Kerasit]

Pipe er “eller”

& = og
| = eller
! = not

Jeg har både almindelige grupper og dynamiske grupper, hvorfor jeg både vil have groupOfNames og groupOfURIs

Har du husket at sætte dit basedn for dn search under advanceret → Mappe instillinger?

Og er det groupOfNames i SAMBA? Så vidt jeg husker er objectClass i AD og SAMBA “blot” group?

@offerlam

(&(objectClass=groupOfNames)(cn=testGrp))

prøv det her:
(&(objectClass=group)(cn=testGrp))

[Kerasit]

Et tip: Få sat den her “User Home Folder Naming Rule” INDEN du lader nogen som helst brugere ind. Ellers navngives brugernes foldere i dit fil system, med deres UID, medmindre det giver mening i forhold til GDPR, at deres folder er “anonymiseret” selvfølgelig. Det gør blot recovery en del sværre da du skal matche deres UID for at finde den rigtige fil folder at genskabe.

[offerlam]

Hej Igen,

Tak for tippet. Jeg tror lige jeg skal få det gjort på produktionen når det går i drift.

Base DN
Under advanced → directory settings har jeg udfyldt
Base group tree og Base user tree
begge med domain unc path fx dc=contorso, dc=dk
Er det ikke rigtigt?

Jeg har prøvet (&(objectClass=group)(cn=testGrp)) har jeg prøvet. Fandt syntaxen i en google søgning men den virkede ikke. DOG! virkede din!! Jeg må ha skrevet noget forkert eller et eller andet.

Jeg kan leve med den løsning. Så tilføjer jeg bare flere grupper til filteret i produktioenn. så mange er det heller ikke.

mange tak for hjælpen!

[Kerasit]

Hvis dine grupper er placeret i en specific OU, sætter du den den bare i base dn for grupper.

Hvis dine grupper har specifikke navne pre-fixes eller endelser, kan du bruge*

(&(object class=(group)(cn=myprefix*)(cn=*myending))