4
« Letzter Beitrag von Dominique am 23.08.26 - 12:37:58 »
Hallo zusammen,
ich komme bei einem Problem mit Domino 14.5.1, IMAP und Directory Assistance gegen Active Directory (Samba AD) nicht weiter und hoffe, dass jemand den entscheidenden Hinweis hat.
Ziel
Unsere Domino-Benutzer sollen sich an Verse und IMAP mit ihrer Internet-Mailadresse und ihrem AD-Passwort anmelden können.
Die Benutzer und Maildatenbanken bleiben ganz normal im Domino Directory (names.nsf). Das AD soll ausschließlich für die Passwortprüfung verwendet werden.
Beispiel:
Internetadresse: user1@domäne.de
Notes-DN: CN=user1/O=domäne/C=DE
MailFile in names.nsf: mail\user1
MailServer: CN=domino1/O=Domäne/C=DE
Directory Assistance
Wir haben ein Secondary LDAP Directory DomäneAD eingerichtet:
LDAP Vendor: Active Directory
LDAPS Port 636
Trusted for Credentials: Yes
Use exclusively for group authorization or credential authentication: Yes
Enable name mapping: Yes
Attribute to be used as Notes distinguished name: altSecurityIdentities
Im AD steht beim Benutzer:
altSecurityIdentities: CN=Dominique User1,O=Domäne,C=DE
Die Zuordnung funktioniert laut Directory-Assistance-/NameLookup-Debug grundsätzlich. Domino findet sowohl das Personendokument in names.nsf als auch den Benutzer im AD.
Die Anmeldung an Verse mit dem AD Username und Paswort funktioniert ebenfalls ohne Probleme wenn der Eintrag "Internet Passwort" im PersonenDokument leer ist.
Die AD-Passwortprüfung funktioniert ebenfalls.
Das lässt sich sehr schön am IMAP-Ergebnis unterscheiden.
Mit dem korrekten AD-Passwort:
a1 NO LOGIN failure, cannot locate mail file or mail file not specified
Mit einem absichtlich falschen AD-Passwort:
a1 NO LOGIN invalid user name or password
Domino kommt mit dem richtigen AD-Passwort also offensichtlich über die Credential-Prüfung hinaus und scheitert erst anschließend bei der Ermittlung der Maildatenbank.
Ein direkter LDAPS-Bind vom Domino-Server mit exakt demselben Benutzer funktioniert ebenfalls:
ldapwhoami -x -H ldaps://mzg-dc-01.domäne.intern:636 -D 'CN=User1,OU=Benutzer,OU=Standort,OU=Domänename,DC=Domäne,DC=intern' -W
Ergebnis:
u:domäne\user1
Interessant ist der Domino-Debug:
Der Benutzer wird zunächst im primären Domino Directory gefunden. Anschließend wird über Directory Assistance der entsprechende AD-Benutzer gefunden und das Name Mapping über altSecurityIdentities durchgeführt.
Danach erscheinen jedoch Meldungen wie:
Attribute MailServer not found
Attribute MailFile not found
Genau hier scheint IMAP hängen zu bleiben.
Gegentest mit Domino Internet Password
Wenn im Domino-Personendokument ein Internet Password gesetzt ist und dieses für den IMAP-Login verwendet wird, funktioniert der Zugriff auf dieselbe Maildatenbank:
a1 OK LOGIN completed
Damit sollten IMAP-Task, Maildatenbank und die Angaben MailFile/MailServer im Personendokument grundsätzlich in Ordnung sein.
Das Internet Password habe ich für die weiteren AD-Tests wieder entfernt, damit eindeutig über Directory Assistance authentifiziert wird.
Zusätzlicher Test
Testweise haben wir sogar folgende Attribute in das AD-Objekt geschrieben:
MailFile: mail\user1
MailServer: CN=domino1,O=Domäne,C=DE
MailDomain: Domäne
Der Directory-Assistance-Serviceaccount kann diese Attribute per ldapsearch problemlos lesen.
Im Domino LDAP-Gateway-Debug sehen wir jedoch kein entsprechendes Mapping für MailFile und MailServer. Zu sehen sind beispielsweise:
mail -> InternetAddress
uid -> ShortName
altSecurityIdentities -> $$NotesDN
Für MailFile und MailServer sehen wir dagegen kein Mapping. Domino meldet anschließend trotzdem, dass diese Attribute nicht gefunden wurden.
Unsere eigentliche Frage
Meinem Verständnis nach sollte Domino MailFile und MailServer überhaupt nicht aus dem AD benötigen, oder leige ich hier falsch!?!?!
Der gewünschte Ablauf wäre:
IMAP-Login -> Benutzer in names.nsf -> Passwortprüfung über Secondary LDAP/AD -> Name Mapping auf Notes-DN -> MailFile/MailServer wieder aus names.nsf
Das Personendokument in names.nsf kennt schließlich bereits Benutzer, MailFile und MailServer.
Es sieht momentan so aus, als würde IMAP nach erfolgreicher LDAP-Authentifizierung mit dem LDAP-Ergebnis weiterarbeiten und dort MailFile/MailServer erwarten, anstatt die Mailinformationen aus dem bereits gefundenen Domino-Personendokument zu verwenden.
Kennt jemand dieses Verhalten bei IMAP + Directory Assistance + Secondary LDAP?
Insbesondere würden mich folgende Punkte interessieren:
Ist der gewünschte Ablauf – AD nur für Credentials, MailFile/MailServer weiterhin aus names.nsf – bei IMAP offiziell vorgesehen?
Gibt es bei IMAP im Gegensatz zu HTTP eine Besonderheit beim Name Mapping bzw. beim anschließenden Mailfile-Lookup?
Muss für IMAP tatsächlich MailFile/MailServer im Secondary LDAP vorhanden sein und speziell auf Domino-Items gemappt werden?
Gibt es dafür eine Notes.ini-Einstellung oder ein LDAP-Attribute-Mapping?
Ist dieses Verhalten eventuell als Bug/APAR für Domino 14.x bekannt?
Falls hilfreich, kann ich auch den entsprechenden DEBUG_NAMELOOKUP / Directory-Assistance-Debug posten.
Gerne würde ich Bilder von der AD Konfig einfügen aber das klappt irgendwie nicht.....
Vielen Dank vorab!
Gruß Dominique
Neueste Beiträge
ein API-Key ist in der Konfiguration nicht vorgesehen, kann aber im Code durch einen Einzeiler hinzugefügt werden, falls du das nicht schon getan hast. 