topic Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche... in Alfresco Archive

Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

sam — Thu, 11 Jan 2007 16:41:11 GMT

Bonjour,Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche très bien, vive le SSO, plus besoin de se logger en arrivant sur Alfresco ;-)Cela crée bien les utilisateurs avec leurs espaces perso à la première connexion, mais (et oui, il y a un mais), cela n'importe pas leurs informations (nom, preno

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

lme — Fri, 12 Jan 2007 07:29:50 GMT

Bonjour,

Une petite réponse rapide pour te confirmer que tu as raison. On a d'un côté le NTLM qui permet de faire l'authentification (et uniquement l'authentification) et d'un autre côté la synchro LDAP qui permet de rapatrier les informations des utilisateurs (nom, prénom, email, etc.).

Laurent

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

sam — Fri, 12 Jan 2007 08:05:37 GMT

OK merci. Je vais donc m'y atteler.

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

sam — Fri, 12 Jan 2007 09:43:56 GMT

Après quelques tâtonnements, et recherches sur les postes de ce forum, l'import fonctionne très bien !
Merci à tous, et vive Alfresco

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

sam — Wed, 14 Feb 2007 10:47:32 GMT

Comme quelqu'un m'a demandé ma configuration par mail, je la poste ici.
Cela fonctionne sur un réseau microsoft avec un PDC et Active Directory.
Les endroits où j'ai fait des modifs sont taggés avec SAM

<?xml version='1.0' encoding='UTF-8'?>
<!DOCTYPE beans PUBLIC '-//SPRING//DTD BEAN//EN' 'http://www.springframework.org/dtd/spring-beans.dtd'>
<!– 
CONFIGURATION LDAP Active Directory.
ALFRESCO 1.4.0 Community Edition

Spécifie l'authentification via le LDAP (sauf si NTLM configuré)
Spécifie un batch qui importe les utilisateurs (avec leurs infos) spécifiés dans Active Directory.

–>
<beans>
    
    <!– DAO that rejects changes - LDAP is read only at the moment. It does allow users to be deleted with out warnings from the UI. –>
    
    <bean name="authenticationDao" class="org.alfresco.repo.security.authentication.DefaultMutableAuthenticationDao" >
        <property name="allowDeleteUser">
            <value>true</value>
        </property>
    </bean>    
   

    <!– LDAP authentication configuration –>
    
    <!– 
    
    You can also use JAAS authentication for Kerberos against Active Directory or NTLM if you also require single sign on from the
    web browser. You do not have to use LDAP authentication to synchronise groups and users from an LDAP store if it supports other
    authentication routes, like Active Directory.
    
    –>
    
    <bean id="authenticationComponentImpl" class="org.alfresco.repo.security.authentication.ldap.LDAPAuthenticationComponentImpl">
        <property name="LDAPInitialDirContextFactory">
            <ref bean="ldapInitialDirContextFactory"/>
        </property>
        <property name="userNameFormat">
            <!–
            
            This maps between what the user types in and what is passed through to the underlying LDAP authentication.
            
            "%s" - the user id is passed through without modification.
            Used for LDAP authentication such as DIGEST-MD5, anything that is not "simple".
            
            "cn=%s,ou=London,dc=company,dc=com" - If the user types in "Joe Bloggs" the authentricate as "cn=Joe Bloggs,ou=London,dc=company,dc=com" 
            Usually for simple authentication.
            
            –>
            <!– SAM avant : <value>%s</value> –>
            <!– SAM alternative : <value>cn=%s,dc=nomDomaine,dc=fr</value>–>
            <value>%s</value> 
        </property>
    </bean>
    
    <!–
    
    This bean is used to support general LDAP authentication. It is also used to provide read only access to users and groups
    to pull them out of the LDAP reopsitory
    
    –>
    
    <bean id="ldapInitialDirContextFactory" class="org.alfresco.repo.security.authentication.ldap.LDAPInitialDirContextFactoryImpl">
        <property name="initialDirContextEnvironment">
            <map>
                <!– The LDAP provider –>
                <entry key="java.naming.factory.initial">
                    <value>com.sun.jndi.ldap.LdapCtxFactory</value>
                </entry>
                
                <!– The url to the LDAP server –>
                <!– Note you can use space separated urls - they will be tried in turn until one works –>
                <!– This could be used to authenticate against one or more ldap servers (you will not know which one ….) –>
                <entry key="java.naming.provider.url">
                    <!– SAM avant : <value>ldap://openldap.domain.com:389</value> –>
                    <value>ldap://nomServeurAD:389</value>
                </entry>
                
                <!– The authentication mechanism to use      –>
                <!– Some sasl authentication mechanisms may require a realm to be set –>
                <!–                java.naming.security.sasl.realm –>
                <!– The available options will depend on your LDAP provider –>
                <entry key="java.naming.security.authentication">
                    <!– SAM avant :  <value>DIGEST-MD5</value> –>
                    <value>DIGEST-MD5</value>
                    <!– Ne fonctionne pas :  <value>simple</value> –>
                </entry>
                
                <!– The id of a user who can read group and user information –>
                <!– This does not go through the pattern substitution defined above and is used "as is" –>
                <!– A USERNAME THAT HAS READ ACCESS TO AD MUST NOT BE ADMINISTRATOR–>
                <entry key="java.naming.security.principal">
                    <!– SAM avant :  <value>reader</value>–>
                    <!– SAM : alternative qui n'a pas l'air de fonctionner : <value>cn=Administrateur,cn=users,dc=nomDomaine,dc=fr</value>–>
                    <value>alfresco</value> 
                    <!– <value>cn=Administrateur,cn=users,dc=nomDomainedc=fr</value> –>
                  <!– <value>Administrateur@nomDomaine.fr</value>–>
                </entry>
                <!– The password for the user defined above –>
                <entry key="java.naming.security.credentials">
                    <!– SAM avant :  <value>secret</value>–>
                    <!– Attention à l'encodage des caractaires spéciaux, doit être en utf-8 (cf. header xml)–>
                    <value>alfresco</value>
                </entry>
            </map>
        </property>
    </bean>
    
    <!– Ldap Syncronisation support –>
    
    <!– 
        
    There can be more than one stack of beans that import users or groups. For example, it may be easier
    to have a version of ldapPeopleExportSource, and associated beans, for each sub-tree of your ldap directory
    from which you want to import users. You could then limit users to be imported from two or more sub tress and ignore 
    users found else where. The same applies to the import of groups. 
         
    The defaults shown below are for OpenLDAP.    
        
    –>
        
   
    <!– Extract user information from LDAP and transform this to XML –>
     
    <bean id="ldapPeopleExportSource" class="org.alfresco.repo.security.authentication.ldap.LDAPPersonExportSource">
        <!– 
        The query to select objects that represent the users to import.
        
        For Open LDAP, using a basic schema, the following is probably what you want:
        (objectclass=inetOrgPerson)
        
        For Active Directory:
        (objectclass=user)
        –>
        <property name="personQuery">
            <!– SAM La requète qui va ramener les infos du LDAP–>
            <!–<value>(objectclass=inetOrgPerson)</value> uniquement les personnes de la classe inetOrgPerson. Ne fonctionne pas sur l'AD car les personnes sont de la classe user.–>
            <!– Tous les utilisateurs sans filtres : –>
             <value>(objectclass=user)</value>  
            <!– Uniquement les utilisateurs qui ont un displayName et un givenName  : –>
            <!– Ne fonctionne pas : <value>(&&#40;objectCategory=person)(objectClass=user)(displayName=*)(givenName=*))</value> –>
        </property>
        
        <!–
        The seach base restricts the LDAP query to a sub section of tree on the LDAP server.
        –>
        <property name="searchBase">
            <!– SAM avant :  <value>dc=alfresco,dc=org</value>–>
            <value>CN=Users,DC=nomDomaine,DC=fr</value>
        </property>
        
        <!–
        The unique identifier for the user.
        
        THIS MUST MATCH WHAT THE USER TYPES IN AT THE LOGIN PROMPT    
        
        For simple LDAP authentication this is likely to be "cn" or, less friendly, "distinguishedName"
        
        In OpenLDAP, using other authentication mechanisms "uid", but this depends on how you map
        from the id in the LDAP authentication request to search for the inetOrgPerson against which
        to authenticate.
        
        In Active Directory this is most likely to be "sAMAccountName" 
        
        This property is mandatory and must appear on all users found by the query defined above.
        
        –>
        <property name="userIdAttributeName">
            <!– SAM avant :  <value>uid</value>–>
            <value>sAMAccountName</value>
        </property>
        
        <!– Services –>
        <property name="LDAPInitialDirContextFactory">
            <ref bean="ldapInitialDirContextFactory"/>
        </property>
        <property name="personService">
            <ref bean="personService"></ref>
        </property>
        <property name="namespaceService">
            <ref bean="namespaceService"/>
        </property>
        
        <!–
        This property defines a mapping between attributes held on LDAP user objects and
        the properties of user objects held in the repository. The key is the QName of an attribute in
        the repository, the value is the attribute name from the user/inetOrgPerson/.. object in the
        LDAP repository.     
        –>
        <property name="attributeMapping">
            <map>
                <entry key="cm:userName">
                    <!– Must match the same attribute as userIdAttributeName –>
                    <!– SAM avant :  <value>uid</value>–>
                    <value>sAMAccountName</value>
                </entry>
                <entry key="cm:firstName">
                    <!– OpenLDAP: "givenName" –>
                    <!– Active Directory: "givenName" –>
                    <value>givenName</value>
                </entry>
                <entry key="cm:lastName">
                    <!– OpenLDAP: "sn" –>
                    <!– Active Directory: "sn" –>
                    <value>sn</value>
                </entry>
                <entry key="cm:email">
                    <!– OpenLDAP: "mail" –>
                    <!– Active Directory: "???" –>
                    <value>mail</value>
                </entry>
                <!– <entry key="cm:organizationId">–>
                    <!– OpenLDAP: "o" –>
                    <!– Active Directory: "???" –>
                    <!– <value>o</value>–>
                <!– </entry>–>
                <entry key="cm:organizationId">
                       <value>company</value>
               </entry>
                <!– Always use the default –>
                <entry key="cm:homeFolderProvider">
                    <null/>
                </entry>
            </map>
        </property>
        <!– Set a default home folder provider –>
        <!– Defaults only apply for values above –>
        <property name="attributeDefaults">
            <map>
                <entry key="cm:homeFolderProvider">
                    <value>personalHomeFolderProvider</value>
                </entry>
            </map>
        </property>
    </bean>
    
    <!– Extract group information from LDAP and transform this to XML –>
    
    <bean id="ldapGroupExportSource" class="org.alfresco.repo.security.authentication.ldap.LDAPGroupExportSource">
        <!–
        The query to select objects that represent the groups to import.
        
        For Open LDAP, using a basic schema, the following is probably what you want:
        (objectclass=groupOfNames)
        
        For Active Directory:
        (objectclass=group)
        –>
        <property name="groupQuery">
            <!– SAM avant : <value>(objectclass=groupOfNames)</value>–>
            <value>(objectclass=group)</value>
        </property>
        
        <!–
        The seach base restricts the LDAP query to a sub section of tree on the LDAP server.
        –>
        <property name="searchBase">
            <!– SAM avant : <value>dc=alfresco,dc=org</value> –>
            <value>dc=nomDomaine,dc=fr</value>
            <!– SAM alternative a tester : <value>OU=Alfresco,OU=Groups,DC=***YOU DC HERE ***,DC=local</value> –>
        </property>
        
        <!–
        The unique identifier for the user. This must match the userIdAttributeName on the ldapPeopleExportSource bean above.
        –>
        <property name="userIdAttributeName">
            <!– SAM avant : <value>uid</value>–>
            <value>sAMAccountName</value>
        </property>
        
        <!–
        An attribute that is a unique identifier for each group found. 
        This is also the name of the group with the current group implementation.
        This is mandatory for any groups found.
        
        OpenLDAP: "cn" as it is mandatory on groupOfNames
        Active Directory: "cn"
        
        –>
        <property name="groupIdAttributeName">
            <value>cn</value>
        </property>
        
        <!– 
        The objectClass attribute for group members.
        For each member of a group, the distinguished name is given.
        The object is looked up by its DN. If the object is of this class it is treated as a group. 
        –>
        <property name="groupType">
            <value>groupOfNames</value>
             <!– SAM alternative a tester : <value>group</value> –>
        </property>
        
        <!– 
        The objectClass attribute for person members.
        For each member of a group, the distinguished name is given.
        The object is looked up by its DN. If the object is of this class it is treated as a person. 
        –>
        <property name="personType">
            <value>inetOrgPerson</value>
            <!– SAM alternative a tester : <value>person</value> –>
        </property>
        <property name="LDAPInitialDirContextFactory">
            <ref bean="ldapInitialDirContextFactory"/>
        </property>
        <property name="namespaceService">
            <ref bean="namespaceService"/>
        </property>
        
        <!–
        The repeating attribute on group objects (found by query or as sub groups)
        used to define membership of the group. This is assumed to hold distinguished names of
        other groups or users/people; the above types are used to determine this.
        
        OpenLDAP: "member" as it is mandatory on groupOfNames
        Active Directory: "member"
        
        –>
        <property name="memberAttribute">
            <value>member</value>
        </property>
        
        <property name="authorityDAO">
            <ref bean="authorityDAO"/>
        </property>
    </bean>
    
    <!– Job definitions to import LDAP people and groups –>
    <!– The triggers register themselves with the scheduler –>
    <!– You may comment in the default scheduler to enable these triggers –>
    <!– If a cron base trigger is what you want seee scheduled-jobs-context.xml for examples. –>
    
    <!– Trigger to load poeple –>
    <!– Note you can have more than one initial (context, trigger, import job and export source) set –>
    <!– This would allow you to load people from more than one ldap store –>
    
    <bean id="ldapPeopleTrigger" class="org.alfresco.util.TriggerBean">
        <property name="jobDetail">
            <bean id="ldapPeopleJobDetail" class="org.springframework.scheduling.quartz.JobDetailBean">
                <property name="jobClass">
                    <value>org.alfresco.repo.importer.ImporterJob</value>
                </property>
                <property name="jobDataAsMap">
                    <map>
                        <entry key="bean">
                            <ref bean="ldapPeopleImport"/>
                        </entry>
                    </map>
                </property>
            </bean>
        </property>
        <!– SAM modif : Start after 60 secondes (60 minutes value=60000) of starting the repository –>
        <property name="startDelay">
            <value>60</value>
        </property>
        <!– Repeat every hour –>
        <property name="repeatInterval">
            <value>3600000</value>
        </property>
        <!– Commented out to disable–>
        <property name="scheduler">
            <ref bean="schedulerFactory" />
        </property>
        
    </bean>
    
    <bean id="ldapGroupTrigger" class="org.alfresco.util.TriggerBean">
        <property name="jobDetail">
            <bean id="ldapGroupJobDetail" class="org.springframework.scheduling.quartz.JobDetailBean">
                <property name="jobClass">
                    <value>org.alfresco.repo.importer.ImporterJob</value>
                </property>
                <property name="jobDataAsMap">
                    <map>
                        <entry key="bean">
                            <ref bean="ldapGroupImport"/>
                        </entry>
                    </map>
                </property>
            </bean>
        </property>
        <!– Start after 5 minutes of starting the repository –>
        <property name="startDelay">
            <value>300000</value>
        </property>
        <!– Repeat every hour –>
        <property name="repeatInterval">
            <value>3600000</value>
        </property>
        <!– Commented out to disable
        <property name="scheduler">
            <ref bean="schedulerFactory" />
        </property>
        –>
    </bean>
    
    <!– The bean that imports xml describing people –>
    
    <bean id="ldapPeopleImport" class="org.alfresco.repo.importer.ExportSourceImporter">
        <property name="importerService">
            <ref bean="importerComponentWithBehaviour"/>
        </property>
        <property name="transactionService">
            <ref bean="transactionComponent"/>
        </property>
        <property name="authenticationComponent">
            <ref bean="authenticationComponent"/>
        </property>
        <property name="exportSource">
            <ref bean="ldapPeopleExportSource"/>
        </property>

        <!– The store that contains people - this should not be changed –>
        <property name="storeRef">
            <value>${spaces.store}</value>
        </property>
        
        <!– The location of people nodes within the store defined above - this should not be changed –>
        <property name="path">
            <value>/${system.system_container.childname}/${system.people_container.childname}</value>
        </property>
        
        <!– If true, clear all existing people before import, if false update/add people from the xml –>
        <property name="clearAllChildren">
            <value>false</value>
        </property>
        <property name="nodeService">
            <ref bean="nodeService"/>
        </property>
        <property name="searchService">
            <ref bean="searchService"/>
        </property>
        <property name="namespacePrefixResolver">
            <ref bean="namespaceService"/>
        </property>
        
        
        <property name="caches">
            <set>
                <ref bean="permissionsAccessCache"/>
            </set>
        </property>
    </bean>
    
    <!– The bean that imports xml descibing groups –>
    
    <bean id="ldapGroupImport" class="org.alfresco.repo.importer.ExportSourceImporter">
        <property name="importerService">
            <ref bean="importerComponentWithBehaviour"/>
        </property>
        <property name="transactionService">
            <ref bean="transactionComponent"/>
        </property>
        <property name="authenticationComponent">
            <ref bean="authenticationComponent"/>
        </property>
        <property name="exportSource">
            <ref bean="ldapGroupExportSource"/>
        </property>
        <!– The store that contains group information - this should not be changed –>
        <property name="storeRef">
            <value>${alfresco_user_store.store}</value>
        </property>
        
        <!– The location of group information in the store above - this should not be changed –>
        <property name="path">
            <value>/${alfresco_user_store.system_container.childname}/${alfresco_user_store.authorities_container.childname}</value>
        </property>
        
        <!– If true, clear all existing groups before import, if false update/add groups from the xml –>
        <property name="clearAllChildren">
            <value>true</value>
        </property>
        <property name="nodeService">
            <ref bean="nodeService"/>
        </property>
        <property name="searchService">
            <ref bean="searchService"/>
        </property>
        <property name="namespacePrefixResolver">
            <ref bean="namespaceService"/>
        </property>
        
        <!– caches to clear on import of groups –>
        <property name="caches">
            <set>
                <ref bean="userToAuthorityCache"/>
                <ref bean="permissionsAccessCache"/>
            </set>
        </property>
        
        <!– userToAuthorityCache –>
    </bean>
    
</beans>‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

sam — Wed, 14 Feb 2007 10:52:36 GMT

Voici quelques instructions supplémentaires pour le NTLM et l'import LDAP.

Edition des fichiers XML
Attention, le framework spring (utilisé par Alfresco) est très sensible aux encodages des fichiers. Avant d’éditer des fichiers de configuration (.xml ou autre), s’assurer que l’éditeur enregistre bien en UTF-8 la plupart du temps. Ultra-Edit peut parfois poser des problèmes. Le mieux est d’utiliser un éditeur spécialisé dans le XML (ex. XMLSpy).

SSO avec NTLM

NTLM permet le Single Sign On(SSO) sous Windows dans un réseau géré par un Windows Serveur/Domain Controler. Cela évite aux utilisateurs de rentrer leurs login/password dans le client web Alfresco ainsi que pour l’exploration des fichiers gérés par Alfresco en WebDAV.

Lien de référence : http://wiki.alfresco.com/wiki/Configuring_NTLM

Configuration côté client
Coté client, Internet Explorer le gère sans configuration complémentaire.
Pour activer le NTLM sous Firefox, il faut autoriser l’url du serveur Alfresco à utiliser NTLM :
-   entrer about:config dans la barre d’adresse
-   Puis filtrer les valeurs en tapant ntlm
-   Dans l’option network.automatic-ntlm-auth.trusted-uris, ajouter l’url du serveur Alfresco (ex : http://asterix:8080/alfresco)
Et voilà, cela devrait fonctionner.

Configuration côté serveur Alfresco

Dans [TOMCAT]/shared/classes/alfresco/extension/ :
·   Renommer ntlm-authentification-context.xml.template en ntlm-authentification-context.xml
Le fichier original contient :
<property name="useLocalServer">
           <value>true</value>
</property>
Qu’il faut supprimer si le serveur hote ne gère pas lui-même l’authentification NTLM (si il y a un Controleur de domaine, PDC, BDC ou samba).
A la place on peut mettre la propriété “servers” pour spécifier où se trouve le/les serveur(s) pour l’authentification.
<property name="servers">
   <value>adresseip,nomd'hoteduserveurNTLM</value>
</property>

(exemple : <value>192.168.1.10,asterix</value>)

Il faut ensuite spécifier quel Servlet d’authentification on va utiliser dans le fichier [TOMCAT]webapps/alfresco/WEB-INF/web.xml
(Ces réglages existent déjà dans les fichiers mais sont en commentaires)
Modifier :
<filter>
     <filter-name>Authentication Filter</filter-name>
     <filter-class>org.alfresco.web.app.servlet.AuthenticationFilter</filter-class>
</filter>
en :
<filter>
     <filter-name>Authentication Filter</filter-name>
     <filter-class>org.alfresco.web.app.servlet.NTLMAuthenticationFilter</filter-class>
</filter>
Et rajouter le servlet mapping suivant :
<filter-mapping>
     <filter-name>Authentication Filter</filter-name>
     <url-pattern>/navigate/*</url-pattern>
</filter-mapping>

Pour le WebDav, remplacer:

<filter>
     <filter-name>WebDAV Authentication Filter</filter-name>
     <filter-class>org.alfresco.repo.webdav.auth.AuthenticationFilter</filter-class>
</filter>
Par :
<filter>
     <filter-name>WebDAV Authentication Filter</filter-name>
     <filter-class>org.alfresco.repo.webdav.auth.NTLMAuthenticationFilter</filter-class>
</filter>

·   Il faut ensuite redémarrer Alfresco
·   Un utilisateurs inscrit dans la base AD pourra donc se connecter sur alfresco, mais il n’existera pas avant de se connecter une fois.
·   Cette méthode est donc à réserver à ceux qui ont peu d’utilisateurs a gérer.

Droits Administrateur pour un utilisateur
Lorsque l’on utilise un autre système d’authentification comme LDAP ou NTLM, on perd les utilisateurs Admin. Il faut spécifier les logins des utilisateurs qui auront les droits admin dans le fichier :
[TOMCAT]webappsalfrescoWEB-INFclassesalfresco authority-services-context.xml :
        <property name="adminUsers">
            <set>
             <value>admin</value>
             <value>administrator</value>
                                   <value>samuel.michelot</value>
       </set>
        </property>

Configuration de l’import LDAP
Alfresco, permet également d’authentifier les utilisateurs en interrogeant un annuaire LDAP (ex. OpenLDAP, Active Directory etc..). Si NTLM est configuré, cela vaut le coup de configurer le LDAP pour pouvoir importer les utilisateurs ainsi que leurs données (Nom, prénom, mail etc.) stockés dans l’annuaire LDAP. Une tâche (batch) permet d’importer régulièrement les utilisateurs, ainsi que leurs propriétés.

Liens de références :
http://wiki.alfresco.com/wiki/Enterprise_Security_and_Authentication_Configuration

http://forum.alfresco-fr.org/viewtopic.php?id=343

Avant de commencer la configuration, il est utile de regarder la constitution de l’annuaire LDAP, avec un logiciel comme LdapBrowser.

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

matdecalf — Fri, 23 Feb 2007 15:00:23 GMT

Merci pour ce post qui ma fortement aidé!!!

Par contre j'ai un petit problème, c'est à dire que depuis que j'ai configuré le SSO du NTLM les groupes ne sont plus importés de l'Active Directory.

De même les comptes des utilisateurs sont crées uniquement à la première connexion, mais je pense que c'est normal…

Est ce que c'est normal que mes groupes ne soient plus importés???

Merci d'avance,
Matthieu

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

lme — Fri, 23 Feb 2007 15:54:23 GMT

Si tes groupes ne sont plus importés et que les comptes sont créés à la première connexion des utilisateurs, cela signifie que la synchronisation Active Directory -> Alfresco ne fonctionne plus.

A toi de voir ce que tu as modifié dans le fichier ldap-authentication-context.xml qui fait que cette synchro est HS.

Laurent

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

matdecalf — Wed, 28 Feb 2007 08:35:26 GMT

Bonjour,

Aprés avoir fait quelques modifs, les groupes de mon Active Directory sont correctements importés.
Par contre je n'arrive toujours pas à importer les utilisateurs.
Voici l'erreur qui revient a chaque déclenchement de l'import:

 05:22:11,459 ERROR [quartz.core.JobRunShell] Job DEFAULT.ldapPeopleJobDetail threw an unhandled Exception: 
org.alfresco.repo.importer.ExportSourceImporterException: Failed to import
   at org.alfresco.repo.importer.ExportSourceImporter.doImport(ExportSourceImporter.java:206)
   at org.alfresco.repo.importer.ImporterJob.execute(ImporterJob.java:36)
   at org.quartz.core.JobRunShell.run(JobRunShell.java:191)
   at org.quartz.simpl.SimpleThreadPool$WorkerThread.run(SimpleThreadPool.java:516)
Caused by: org.alfresco.service.cmr.view.ImporterException: Failed to import package at line 2512; column 16 due to error: Node without parents does not have root aspect: workspace://SpacesStore/40ee0c85-c6e3-11db-9106-33234b85eb4a
   at org.alfresco.repo.importer.view.ViewParser.parse(ViewParser.java:171)
   at org.alfresco.repo.importer.ImporterComponent.parserImport(ImporterComponent.java:344)
   at org.alfresco.repo.importer.ImporterComponent.importView(ImporterComponent.java:211)
   at org.alfresco.repo.importer.ExportSourceImporter.doImport(ExportSourceImporter.java:174)
   … 3 more
Caused by: java.lang.RuntimeException: Node without parents does not have root aspect: workspace://SpacesStore/40ee0c85-c6e3-11db-9106-33234b85eb4a
   at org.alfresco.repo.node.db.DbNodeServiceImpl.prependPaths(DbNodeServiceImpl.java:1278)
   at org.alfresco.repo.node.db.DbNodeServiceImpl.getPaths(DbNodeServiceImpl.java:1355)
   at sun.reflect.GeneratedMethodAccessor237.invoke(Unknown Source)
   at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)
   at java.lang.reflect.Method.invoke(Method.java:585)
   at org.alfresco.repo.service.StoreRedirectorProxyFactory$RedirectorInvocationHandler.invoke(StoreRedirectorProxyFactory.java:213)
   at $Proxy2.getPaths(Unknown Source)
   at org.alfresco.repo.search.impl.lucene.LuceneIndexerImpl2.createDocuments(LuceneIndexerImpl2.java:1230)
   at org.alfresco.repo.search.impl.lucene.LuceneIndexerImpl2.indexImpl(LuceneIndexerImpl2.java:1147)
   at org.alfresco.repo.search.impl.lucene.LuceneIndexerImpl2.indexImpl(LuceneIndexerImpl2.java:1135)
   at org.alfresco.repo.search.impl.lucene.LuceneIndexerImpl2.flushPending(LuceneIndexerImpl2.java:952)
   at org.alfresco.repo.search.impl.lucene.LuceneIndexerImpl2.addCommand(LuceneIndexerImpl2.java:859)
   at org.alfresco.repo.search.impl.lucene.LuceneIndexerImpl2.reindex(LuceneIndexerImpl2.java:836)
   at org.alfresco.repo.search.impl.lucene.LuceneIndexerImpl2.updateNode(LuceneIndexerImpl2.java:367)
   at org.alfresco.repo.search.IndexerComponent.updateNode(IndexerComponent.java:52)
   at sun.reflect.GeneratedMethodAccessor179.invoke(Unknown Source)
   at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)
   at java.lang.reflect.Method.invoke(Method.java:585)
   at org.springframework.aop.support.AopUtils.invokeJoinpointUsingReflection(AopUtils.java:335)
   at org.springframework.aop.framework.JdkDynamicAopProxy.invoke(JdkDynamicAopProxy.java:165)
   at $Proxy46.updateNode(Unknown Source)
   at org.alfresco.repo.node.index.NodeIndexer.onUpdateNode(NodeIndexer.java:96)
   at sun.reflect.GeneratedMethodAccessor178.invoke(Unknown Source)
   at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)
   at java.lang.reflect.Method.invoke(Method.java:585)
   at org.alfresco.repo.policy.JavaBehaviour$JavaMethodInvocationHandler.invoke(JavaBehaviour.java:243)
   at $Proxy49.onUpdateNode(Unknown Source)‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

Voila le debut de l'erreur qui reviens sans cesse…

Merci d'avance,
car je n'ai plus trop d'idées……….

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

lme — Wed, 28 Feb 2007 09:51:09 GMT

Alfresco crée un fichier XML à partir des données du LDAP. Ce fichier est présent dans le répertoire temp de Tomcat (par ex: ExportSourceImporter-23799.xml). Regarde dans ce fichier ce qui a pu causer l'erreur suivante :

Caused by: org.alfresco.service.cmr.view.ImporterException: Failed to import package at line 2512; column 16 due to error: Node without parents does not have root aspect: workspace://SpacesStore/40ee0c85-c6e3-11db-9106-33234b85eb4a

Laurent

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

matdecalf — Thu, 01 Mar 2007 09:34:51 GMT

Merci encore pour ces infos…

En fait mon problème était que la requête de création des groupes et utilisateurs étaient trop longue à s'executer, ce qui fait qu'elle dépassée le timeout de mysql.

Pour corriger cela, j'ai rajouté la variable "innodb_lock_wait_timeout" dans le fichier my.ini de mysql avec une valeur plus importante.

Autre chose, normalement mes groupes contiennent d'autres groupes au niveau de l'AD.
Mais au niveau d'alfresco les sous groupes ne sont pas présents dans les groupes…

Est-ce normal???

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

lme — Thu, 01 Mar 2007 11:13:04 GMT

En fait mon problème était que la requête de création des groupes et utilisateurs étaient trop longue à s'executer, ce qui fait qu'elle dépassée le timeout de mysql.

Pour corriger cela, j'ai rajouté la variable "innodb_lock_wait_timeout" dans le fichier my.ini de mysql avec une valeur plus importante.

Content de voir que tu as pu résoudre ton problème
Pour information, tu as combien de personnes et de groupes dans ton annuaire ?

Autre chose, normalement mes groupes contiennent d'autres groupes au niveau de l'AD.
Mais au niveau d'alfresco les sous groupes ne sont pas présents dans les groupes…

Est-ce normal???

Non, ce n'est pas normal. Vérifie que la propriété groupType définie dans le fichier ldap-authentication-context.xml correpond bien à l'objectClass de ton annuaire (de mémoire pour AD, il s'agit de 'group').

Laurent

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

matdecalf — Thu, 08 Mar 2007 08:25:42 GMT

Bonjour,

L'annuaire comporte plus de 1500 users et 250 groupes ….

Par contre, j'ai un autre problème avec le CIFS il me plante de temps en temps avec comme erreur dans le log:

09:09:52,994 ERROR [smb.protocol.mailslot] Host announce error  (LANA 3)
09:10:02,993 ERROR [smb.protocol.mailslot] Host announce error  (LANA 3)
09:10:22,993 ERROR [smb.protocol.mailslot] Host announce error  (LANA 3)
09:10:22,993 ERROR [smb.protocol.mailslot] Marked LANA as unavailable due to send errors‍‍‍‍

Je me demande si cela ne vient pas d'un problème de version du runtime JAVA, mais je ne suis pas certain.

Quelqu'un aurait il une idée????

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

michaelh — Thu, 08 Mar 2007 12:16:04 GMT

Oui j'ai une idée : préciser la version d'Alfresco … de la JVM … du système d'exploitation … à minima

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

matdecalf — Thu, 08 Mar 2007 12:38:09 GMT

La version d'Alfresco est la 1.4.0
Le systeme d'exploitation: Windows 2003 Pro
La jvm: 1.5
Tomcat 5.5

Merci d'avance,
Matthieu

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

michaelh — Thu, 08 Mar 2007 12:55:45 GMT

Merci.

Deux possibilités pour commencer :
- Il y a un antivirus actif sur le poste, qui scanne les fichiers à la volée, et cause un timeout (vu avec bitdefender et AVG de mémoire)
- L'O.S fonctionne sur une architecture 64 bits … et il y a aussi des moyens de contournement …

Que te retourne la commande "java -version" ,

A voir en fonction de ta réponse.

Re: Alors j'ai configuré Alfresco 1.4 en NTLM, ça marche...

matdecalf — Thu, 08 Mar 2007 13:09:04 GMT

Voici ma version de java:
java version "1.5.0_06"
Java(TM) 2 Runtime Environment, Standard Edition (build 1.5.0_06-b05)
Java HotSpot(TM) Client VM (build 1.5.0_06-b05, mixed mode, sharing)

Sinon il y a bien un antivirus sur le serveur, il s'agit d'officescan, mais j'avais deja essayé de le décharger.
Et le windows 2003 est une version 32 bits.