Bearbeitung LDAP Einträge

thomas:
Welche Config hast Du denn gewählt?
Interessant wäre sowohl Deine slapd.conf als auch Deine LDAPRW-Konfiguration. Hast Du denn die erste Fehlermeldung beseitigen können, so wie ich es Dir beschrieben hatte?

Peter: Mea culpa! Allerdings bin ich mittlerweile ganz zuversichtlich, alles richtig konfiguriert zu haben. Wie schon geschrieben: LDAP --> Lokal --> Editieren --> Zurückschreiben klappt tatsächlich fast immer. (Ein paar Felder mag das Plugin nicht, so wie z.B. WorkCountry - Wenn ich das befülle, bekomme ich einen
"Error: modquery 21
NO_SUCH_OBJECT
c: value #0 invalid per syntax" ).

Ich werde mal noch geduldig warten, bis das Plugin stabiler wird.

Schönen Gruß!

hssuhle

Hallo HS!

Zitat von "hssuhle"

thomas:
Welche Config hast Du denn gewählt?
Interessant wäre sowohl Deine slapd.conf als auch Deine LDAPRW-Konfiguration. Hast Du denn die erste Fehlermeldung beseitigen können, so wie ich es Dir beschrieben hatte?

Die Fehlermeldung geht nicht weg. Ich habe ldap_2.servers.DEIN_ADRESSBUCH_NAME.dirType auf integer=2 gesetzt, für das LDAP-Adressbuch von TB UND das lokale Adressbuch LdapRW (welches meintest DU eigentlich?) und für alle Fälle mal das Java-RTE auf Version 1.6.0 gebracht ... vergeblich.

Meine slapd.conf ist folgende:
ucdata-path ./ucdata
include ./schema/core.schema
include ./schema/cosine.schema
include ./schema/inetorgperson.schema
include ./schema/nis.schema
include ./schema/extension.schema
include ./schema/mozillaAbPersonAlpha.schema
# include ./schema/mozilla_op20.schema
# include ./schema/mozilla_btw.schema
pidfile ./run/slapd.pid
argsfile ./run/slapd.args
database bdb
suffix "dc=xxxxx,dc=de"
rootdn "cn=Manager,dc=xxxxx,dc=de"
rootpw yyyyyyyy
directory ./data
access to * by self write
by * write

Das LDAP-Adressbuch in TB hat die Parameter:

Name: LDAP_uuu
Server zzzzz.dyndns.org
Base-DN: dc=xxxxx,dc=de
Port: 389
Bind-DN: cn=Manager,dc=xxxxx,dc=de

und läuft prima.

LDAPRW hat folgende Parameter:

Adressbuch: LdapRW
URI: 'ldap://http://zzzzz.dyndns.org/dc=xxxxx,dc=de??sub?(objectclass=*)'
aber auch 'ldap://http://zzzzz.dyndns.org/ou=adressen,dc…(objectclass=*)' ist nicht besser (beides ohne quotes)
auth: cn=Manager,dc=xxxxx,dc=de
objektklassen inetorgperson, mozillaAbPersonAlpha, organizationalPerson,person
objektklassen für neue: groupOfNames
Max. Ergebnis: 100
Use LiveUpdate: Prompt

Hi,

"Einwurf" am Rande für

ta7h12: wenn du in deinen Forenbeiträgen BBCode nutzen möchtest, also z.B. dein Quote auch als solches umgesetzt werden soll, dann kannst du das unterhalb des Schreibfeldes mit dem Button tun, so wie ich es mal für dich in deinem Beitrag getan habe, oder es dauerhaft in den Foren-Einstellungen unter Persönlicher Bereich> Nachrichten erstellen aktivieren

thomas:
Du greifst also auf Deinen LDAP bei zzzzz.dyndns.org zu.
Nur mal blöd am Rande gefragt:
Hast Du in Deinem Router eine Portweiterleitung für Port 389 eingerichtet?

Schönen Gruß!

hssuhle

Hi HS

Zitat von "hssuhle"

thomas:
Du greifst also auf Deinen LDAP bei zzzzz.dyndns.org zu.
Nur mal blöd am Rande gefragt:
Hast Du in Deinem Router eine Portweiterleitung für Port 389 eingerichtet?

Ich hab's grad nochmal geprüft: ja.
Logisch auch, denn die LDAP-Abfrage von Thunderbird funktionierte ja auch.
Aber da ich gerade dabei war - wie durch ein Wunder - lief so manches:
Änderungen an meinem einzigen Testeintrag funktionieren.
Ich komme zwar mit dieser Oberfläche noch überhaupt nicht zurecht (welches Adressbuch wird gerade verwendet usw.), aber immerhin.
Die Neuanlage von Einträgen dagegen macht immer wieder ein "Error: genrdn: basisRdn.length = 0".
Demnach müsste das ein Problem sein zwischen den EInstellungen in LdapRW ("Objektclassen neuer ...") und meinem LDAP-Server.
Ist da was in meiner slapd.conf?
Vielleicht ist was zu ändern bei
"access to * by self write
by * write" ???

Thomas

Hi Thomas,

ich kann ggw. leider nur ab und an reinschauen ... .

Gib mal folgende acl ein:
access to * by * write

Damit kann jeder lesen und schreiben. Alles andere an acl auskomplementieren!
Wenn alles läuft, kannst du dann richtige acl-Reihen aufbauen.

Wenn du gar keine acl einträgst, dann gilt die default-acl:
access to * by * read
(der Manager kann dann allein schreiben)

Zum Testen des slapd solltest du dir einen der üblichen ldap-Browser einrichten. Erst wenn damit das übliche lesen und schreiben vollständig funktioniert, ein ldap-Adressbuch im Thunderbird anlegen. Du kannst vorher dein komplettes Adressbuch als ldif exportieren und in den ldap importieren. Und wenn das richtig funktioniert, dann mit ldapRW anfangen.

MfG Peter

Hi Peter,

Danke für den Tipp!

Zitat von "Peter_Lehmann"

Gib mal folgende acl ein:
access to * by * write
...
Zum Testen des slapd solltest du dir einen der üblichen ldap-Browser einrichten. Erst wenn damit das übliche lesen und schreiben vollständig funktioniert, ein ldap-Adressbuch im Thunderbird anlegen. Du kannst vorher dein komplettes Adressbuch als ldif exportieren und in den ldap importieren. Und wenn das richtig funktioniert, dann mit ldapRW anfangen.

Die acl hab ich entsprechend geändert.

Vom LDAP-Browser ldapadmin kann ich prima arbeiten.
LdapRW allerdings antwortet grundsätzlich mit "Error: genrdn: basisRdn.length = 0"

Viele Grüsse
Thomas

Haaallloooo,
NIcht mehr los seit 14 Tagen? Liegt's an der WM?

Zitat von "ta7h12"

Vom LDAP-Browser ldapadmin kann ich prima arbeiten.
LdapRW allerdings antwortet grundsätzlich mit "Error: genrdn: basisRdn.length = 0"

Keine Einfälle?
Oder hat doch jemand eine Step-by-step-Anleitung?
Da könnte ich sogar meine als Grundlage anbieten, aber es funktioniert ja bei mir leider nicht.
Oder will mir jemand mit ner Fernwartung helfen?
Wie wär's mit 6 Flaschen Biorotwein für die Lösung des Problems?
Thomas

Zitat von "ta7h12"

Keine Einfälle?

Doch jetzt schon,

ich hatte den gleichen Fehler auch und habe es in den Kommentaren zu dem Plugin überlesen.
Bei mir tritt dieses Problem auf wenn in den Einstellungen zum Plugin unter RDN Basis nicht DisplayName steht!
Mann achte auf das "N" das muss groß geschrieben werden!!!

Danach trat bei mir noch der Fehler auf:
Error: modquery 21
NO_SUCH_OBJECT
c: value #0 invalid per syntax" ).
Das resultiert aus dem Attribut des Land unterhalb der Dienstadresse da dieses Feld im LDAP als "ISO 2 Letter Code" definiert ist man muss dort also für Deutschland "DE oder de" eingeben. Die Liste der Codes sind leicht auf Wikipedia zu finden.

Vieleicht Hilfts ja

Grüße Marc

Zitat von "easy"

Bei mir tritt dieses Problem auf wenn in den Einstellungen zum Plugin unter RDN Basis nicht DisplayName steht!
Mann achte auf das "N" das muss groß geschrieben werden!!!

Super, vielen Dank für diesen Tipp. Dafür würde ich dir gerne 2 Flaschen von dem Biowein zukommen lassen, wenn du mir (per pm) deine Adresse und deine Weinpräferenzen mittteilst.
Und überhaupt ist es schön, dass wieder etwas Bewegung in das Thema kommt.
Inzwischen schreiben ich die Schritt-für-Schritt-Anleitung selbst, wenn alles klappt auch gerne hierher.

Zitat von "easy"

Danach trat bei mir noch der Fehler auf:
Error: modquery 21
NO_SUCH_OBJECT
c: value #0 invalid per syntax" ).
Das resultiert aus dem Attribut des Land unterhalb der Dienstadresse da dieses Feld im LDAP als "ISO 2 Letter Code" definiert ist man muss dort also für Deutschland "DE oder de" eingeben.

Das war der nächste gute Tipp.
Manchmal sieht man ja, welches Feld bemängelt wird, aber wie hast du denn gerochen, dass der obige Fehler das Land betrifft?
Gibt's ne Liste, ein Logfile, ein Protokoll?

Ich versuche, die Adressen durch Export und Reimport von einem Adressbuch auf den LDAP-Server zu kriegen.
NB: Warum tritt eigentlich das Feld "Anzeigename" beim Export 2 Mal auf?

Aber auch wenn ich's direkt mache, habe ich immer Probleme mit leerer "SecondEmail" (Weitere Email-Adresse).

Error: addquery 21
NO_SUCH_OBJECT
mail: value #1 invalid per syntax

Wenn man zunächst einen Buchstaben rein schreibt, kann man den hinterher auch wieder löschen und das Feld ist wieder leer.
Aber geht's nicht auch anders?

Danke für alle Tipps! Und: 4 Flaschen Wein sind noch übrig.

Hi Thomas,

OpenLDAP kann selbstverständlich Logfiles mehr oder weniger ausführlich schreiben.
Schau mal hier: http://blog.netzpiraten.ch/openldap-unter…u-installieren/
(Oder in einer anderen Quelle. gg hat mir diese an erster Stelle angezeigt.)

Ob ein Feld leer sein darf, oder was darinstehen kann/muss und wie es aussehen muss usw. wird von der Syntax des jeweiligen Schemas festgelegt. So ist eben der bereits erwähnte "ISO 2 Letter Code" ein Bestandteil eines Schemas. Mit einem guten ldap-Browser kannst du dir die "Forderungen" ansehen. Eine Änderung bestehender Schemen ist übrigens nicht zu empfehlen. Solltest du bestimmte Felder "anders" befüllen wollen, solltest du ein eigenes Schema konstruieren.
(=> Eine wirkliche Notwendigkeit dazu habe ich allerdings noch nie gehabt.)
LDAP ist eben eine pingelige Angelegenheit ... .

Anleitung:
Ich habe mal viel Geld in ein entsprechendes Buch investiert. Das hat mir sehr geholfen. Auch dann später bei einem einwöchigen ldap-Lehrgang ... . Aber wenn man nicht täglich damit umgeht, vergisst man doch einiges wieder.
Du kannst mir gern deine Anleitung zum Lesen geben, kannst aber auch gern Passagen aus meinen Ausführungen (hier und auch im Linux-Club) verwenden.

Du kannst dich auch zur weiteren Information mal hier einfinden: http://www.linux-club.de/viewtopic.php?f=59&t=110649

MfG Peter

Zitat von "ta7h12"

Das war der nächste gute Tipp.
Manchmal sieht man ja, welches Feld bemängelt wird, aber wie hast du denn gerochen, dass der obige Fehler das Land betrifft?

Gibt's ne Liste, ein Logfile, ein Protokoll?

Also das Problem konnte ich lösen da ich selber eine Ldap-Anbindung für eine Anwenung geschrieben habe und dabei auch über diesen Fehler gestolpert bin. Ich habe mir angewöhnt mir bei Fehlern erst einmal die .schema Dateien anzuschauen und dann stolpert man zwangsläufig darüber.

Zitat von "ta7h12"

Ich versuche, die Adressen durch Export und Reimport von einem Adressbuch auf den LDAP-Server zu kriegen.
NB: Warum tritt eigentlich das Feld "Anzeigename" beim Export 2 Mal auf?

Aber auch wenn ich's direkt mache, habe ich immer Probleme mit leerer "SecondEmail" (Weitere Email-Adresse).

Error: addquery 21
NO_SUCH_OBJECT
mail: value #1 invalid per syntax

Wenn man zunächst einen Buchstaben rein schreibt, kann man den hinterher auch wieder löschen und das Feld ist wieder leer.
Aber geht's nicht auch anders?

Den Fehler hab ich auch an einigen anderen stellen gehabt, das passiert auch wenn man eine Telefonnummer mit Leerzeichen einträgt. Dann ist mir aufgefallen das er die ordentlich in den Ldap schreibt aber die dann nicht syncen kann. Wenn man dann die Adresse aus dem ABook löscht und die von Ldap neu importiert funktioniert alle einwandfrei. Ich suche aber noch nach einer Lösung sobald ich wieder zeit zum basteln habe. Ich poste die dann auch hier.

Grüße Marc

Hallo alle miteinander!

Ich interessiere mich auch für das Thema LDAP im Sinne von Adressbuchsynchronisation. Auf meinen beiden Rechnern (ein Laptop, ein Desktop an verschiedenen Standorten) nutze ich Thunderbird (momentan die aktuellste Version, also 3.1.2), unterwegs roundcube (auf einem eigenen mailing-server).
Mails werden also über IMAP abgerufen, nur mit den Adressen haperts. SyncKolab nervt mich, weil es nicht so richtig funktioniert und auch in Sachen roundcube inkompatibel ist. roundcube kann aber auf einen LDAP zugreifen, was die Sache für mich interessant macht, da ich dann überall auf meine Adressen zugreifen könnte. Erst durch dieses Forum wurde ich auf ldapRW aufmerksam; daraufhin habe ich mich hier und auf der Seite von dem Addon selbst kurz eingelesen.

Zur Probe des Addons habe ich mir bei entic.net einen kostenlosen LDAP-Account eingerichtet und mit ein paar neu angelegten Kontakten kurz getestet. Mit ldapRW (liveupdate) kann ich auch auf den Server schreiben, das Auslesen wiederum hat irgendwie noch nicht so ganz geklappt. Aber darum kann ich mich noch kümmern. Im Prinzip glaube ich jedenfalls, auf dem richtigen Weg zu sein.

Nun habe ich allerdings eine Frage, die mein Unternehmen unter Umständen in Frage stellt: So wie ich es bislang sehe, gibt es Schwierigkeiten bei der Zuordnung von Daten. Online kann ich beispielsweise kein Geburtsdatum sehen; es wird wohl nicht übertragen. Ferner wird nur die Dienstadresse (falls vorhanden) übertragen, aber die Privatadresse nicht. Kann LDAP überhaupt so viele Sachen abspeichern? Mir wäre es wichtig, dass alle meine eingegebenen Daten mitgenommen werden, das heisst unter Umständen auch mehrere Telefonnummern, mehrere Adressen und auf jeden Fall sollte auch die Übertragung des Geburstdatums möglich sein. Geht sowas überhaupt oder stoße ich hier bereits an die Grenzen von LDAP?

Hier im Thread ist öfter von einer Schritt-für-Schritt-Anleitung die Rede... Würde ich auch sehr begrüßen
Danke jedenfalls im Voraus an Euch alle, speziell an den Vorreiter Peter_Lehmann! Der Thread hier war und ist wirklich hilfreich!

Grüße vom Peter aus Köln.

Zitat von "fossil_fuel"

Hallo alle miteinander!
Nun habe ich allerdings eine Frage, die mein Unternehmen unter Umständen in Frage stellt: So wie ich es bislang sehe, gibt es Schwierigkeiten bei der Zuordnung von Daten. Online kann ich beispielsweise kein Geburtsdatum sehen; es wird wohl nicht übertragen. Ferner wird nur die Dienstadresse (falls vorhanden) übertragen, aber die Privatadresse nicht. Kann LDAP überhaupt so viele Sachen abspeichern? Mir wäre es wichtig, dass alle meine eingegebenen Daten mitgenommen werden, das heisst unter Umständen auch mehrere Telefonnummern, mehrere Adressen und auf jeden Fall sollte auch die Übertragung des Geburstdatums möglich sein. Geht sowas überhaupt oder stoße ich hier bereits an die Grenzen von LDAP?

Also das Addon kann nur die Daten in den LDap schieben die auch von den Schemata unterstützt werden, das Geburtsdatum gehört leider noch nicht dazu. Es gibt zwar ein Schema das man dafür benutzen könnte dies wird aber noch nicht benutzt.

Die Adressen (Privat und Geschäftlich) mit den Telefonnummern sollte aber funktionieren, nur weiß ich nicht welche Schemata von dem Dienst den du benutzt unterstützt werden. So wie sich das anhört werden nur: inetorgperson, organizationalPerson, person unterstützt. Das wichtigste fehlt also : mozillaAbPersonAlpha.

Ich glaube du wirst nicht um einen eigenen LDap herum kommen.

Grüße Marc

Bevor ein eigener LDAP aufgesetzt wird, wollte ich es zunächst einmal nur grundsätzlich ausprobieren, ob es funktioniert; andernfalls wäre es ja unverhältnismäßig viel Arbeit nur zum Testen gewesen. Ich danke für die schnelle Antwort. Ich hatte schon verstanden, dass es mit den Schemata zu tun haben muss.
Folgende Schemata sind ja bei ldapRW standardmäßig angegeben:
"inetorgperson, mozillaAbPersonAlpha, organizationalPerson,person"
Ich kann leider nicht einsehen, welche Schemata der Server unterstützt. Aber insbesondere bei mozillaAbPersonAlpha scheint das nicht der Fall zu sein.
Arbeitet denn irgendjemand an der Einbindung eines Schematas mit Geburtstdatum? Bei ldapRW in den FAQ steht, dass es nicht geht.

Zitat von "fossil_fuel"

Arbeitet denn irgendjemand an der Einbindung eines Schematas mit Geburtstdatum? Bei ldapRW in den FAQ steht, dass es nicht geht.

Bis jetzt glaube ich nicht, wenn ich mal Zeit finde wollte ich mal selber schauen ob ich das hinbekomme, aber im Moment bin ich beruflich stark eingebunden so das dieses Vorhaben erstmal auf der Langzeit-Todo-Liste gelandet ist.

Da ich das Geburtsdatum nur an meinem Hauptrechner benötige kann ich damit leben das das erstmal nur da verfügbar ist. Schöner wäre es natürlich wenn es auch im LDap wäre.

Grüße Marc

Hallo fossil_fuel,

alles, was hier bezüglich "Schemata" gesagt wurde, war grundsätzlich richtig.
Ein Verzeichnisdienst ist erst einmal "fast grenzenlos", was seine Inhalte betrifft. Vom Bild des Nutzers (wer´s denn braucht und wer´s denn freiwillig dafür bereitstellt ...) über Zimmer-Nummer, Stellung in der Firma und Konfektionsgröße bis hin zu Benutzerpasswort zur Anmeldung an der Domäne und die X.509-Zertifikate der Nutzer zur E-Mail-Verschlüsselung. All das und noch viel mehr geht.

Bevor du allerdings den TB als Frontend nutzt, solltest du besser zuerst einmal mit einem ganz normalen ldap-Browser die Möglichkeiten des Servers austesten. Mit dem Browser bekommst du alles angezeigt, was es an Feldern gibt. Mit einem guten Browser kannst du auch die installierten Schemen und auch die dafür geltenden Regeln anzeigen lassen. Und erst dann, wenn der Server alles macht, was du willst, dann "bringe die Daten auf den TB". An zwei Fronten gleichzeitig zu kämpfen, verschleißt deine Kräfte!
Leider kann ich dir zu dem von dir genutzten Server und seinen Möglichkeiten nichts sagen.

Nebenbei: Du bist dir aber auch bewusst, dass du bei der Nutzung eines (eigenen oder gar fremden) ldap-Servers eine gewisse Verantwortung für den Datenschutz übernimmst? Also ich würde sehr heftig reagieren, sollte jemand meine Daten über einen frei zugänglichen Server (also ohne Auth. mit zumindest Benutzername + PW) und auch ohne SSL/TLS-Verschlüsselung benutzen.
(Ja, ich weiß, dass es heutzutage üblich ist, persönliche Daten der Datenkrake freiwillig zu geben. Aber bitte nicht meine ... .)

MfG Peter

Zitat von "Peter_Lehmann"

Nebenbei: Du bist dir aber auch bewusst, dass du bei der Nutzung eines (eigenen oder gar fremden) ldap-Servers eine gewisse Verantwortung für den Datenschutz übernimmst? Also ich würde sehr heftig reagieren, sollte jemand meine Daten über einen frei zugänglichen Server (also ohne Auth. mit zumindest Benutzername + PW) und auch ohne SSL/TLS-Verschlüsselung benutzen.
(Ja, ich weiß, dass es heutzutage üblich ist, persönliche Daten der Datenkrake freiwillig zu geben. Aber bitte nicht meine ... .)

MfG Peter

Also ich benutze deshalb immer eigene Server die ich per TLS sichere. Sprich die liegen in einem Rechnen-Cluster der in einem Rechenzentrum steht. Die Platten sind verschlüsselt und man kann nur aus dem VPN heraus auf die Server per TLS zugreifen. Von Verzeichnis-Diensten die kostenlos sind und auch so Google-Accounts zum austauschen halte ich nichts da diese Dienste kostenlos sind und sich über andere Wege finanzieren müssen wie zum Beispiel den Verkauf der eingestellten Adressen. Auch wenn die Daten nicht direkt verkauft werden, so werden doch die Profile die diese Dienste besitzen vervollständigt.

Grüße Marc

Na, da kann man nix mehr dazu sagen
Wenn das mal alle so machen würden.
Aber bei der Generation "Ich habe doch nichts zu verbergen" beißen wir mit derartigen Ansichten auf Granit. Leider. Oder zumindest, bis sie es kapieren.

MfG Peter

Danke für die Infos, Peter. Hast Du eine Empfehlung für einen ldap-browser? Was nutzt Du da so?
Wie gesagt: ich habe diesen Service da erst mal nur eingerichtet um es zu testen ob es grundsätzlich funktioniert. Mit drei neu erstellten Phantasie-Adressen (also nicht mit meinem Adressbuch) habe ich dann rumprobiert.
Wenn alles so funktioniert, ist das Ziel natürlich der eigene ldap-Server, eben gerade wegen der Sicherheit. Und angesprochen wird dieser ldap den ich da momentan nutze übrigens über SSL. Insofern sollte das sicher sein - wenn man wüsste, ob man dem Host vertrauen kann. Aber wie gesagt: wenn es auf dem eigenen Server laufen würde, wüsste ich ja, woran ich bin. Oder sind dann da noch weitere Bedenken?
Andernfalls könnte ich auch mit Adressbuch und E-Mail-Postfach natürlich auch zu google gehen, damit wäre mein komplettes Problem behoben - es gibt nämlich sogar Addons zum Auslesen des googleAdressbuchs mit TB. Aber ich will nicht in den "Datenschutz-ist-mir-egal"-Teich springen. Ich denke ich lege da ähnlich großen Wert auf die Sicherheit meiner Daten Deswegen erkundige ich mich hier...