BookStack 角色串接 AD 群組

  BookStack 在使用 AD 驗證後,還可以將角色與 AD 的群組做串接,以簡化群組成員異動的工作,不過在使用跟設定上,有些地方需要留意,雖然都是小問題,但我自己花了一兩周的時間才找出原因,因此整理出來分享。

 
 

依照官方說明,先將 .env 檔加入以下設定值:

# Enable LDAP group sync, Set to 'true' to enable.
LDAP_USER_TO_GROUPS=true

# LDAP user attribute containing groups, Defaults to 'memberOf'.
LDAP_GROUP_ATTRIBUTE="memberOf"

# Remove users from roles that don't match LDAP groups.
LDAP_REMOVE_FROM_GROUPS=false
 

完成設定後,以下面環境為例設定:

AD / BookStack 帳號: test
BookStack 角色: testg
AD 群組: test_g_g

在 BookStack 新增一個角色 “testg”,並在其「外部身份驗證ID」輸入 “test_g_g”。

 

當 AD 中 ”test_g_g” 成員 “test” 帳號登入 BoookStack 時,會自動將其帶進 “testg” 角色。

【注意】
◎ BookStack 的AD群組機制是把 BookStack 既有的角色跟 AD 群組串起來,而不是複製 AD 群組到 BookStack。
◎ AD 群組名稱可以包含底線 ”_” 或減 “-“,但不可以有空白,也不能是中文。
◎ AD 成員帳號若為 AD 群組的孫成員,一樣可以被帶進連結的角色。

 

  測試沒問題後,若希望 AD 在異動群組成員時,BookStack 能同步調整角色成員,請進行下列設定:
1. 在 AD 新增自定義管理者群組,例:BS_Admin。
2. 將 AD 管理者帳號 administrator 加入到 BS_Admin。
3. 修改 BookStack 的 Admin 角色,在「外部身份驗證ID」欄位輸入 BS_Admin。
4. 修改 .env,將 LDAP_REMOVE_FROM_GROUPS 改成 true。

 

【注意】
◎ 1~3的步驟要先進行,才能修改步驟4的值,否則 BookStack 的 admin 角色成員會被清空,造成沒有任何帳號有管理權限。
◎如不幸發生上述情形,需連進資料庫,修改 “roles” table ,將 admin 角色的 external_auth_id 欄位,輸入 AD 自定義的管理者群組名稱 (如 BS_Admin)。

 

【相關資料】

Leave a Comment

Please note: Comment moderation is enabled and may delay your comment. There is no need to resubmit your comment.