我们目前有一个 Keycloak 领域,我们希望将所有现有用户导出到 LDAP(密码不变),因此我们可以为不支持 OpenID Connect 或 SAML 但支持 LDAP 的其他位置添加登录支持。
鉴于密码凭据使用 pbkdf2-sha256 算法存储在 Keycloak MySQL 用户数据库中,我不得不使用 OpenLDAP 2.4.47 和 contrib 模块来支持 LDAP 方面的这一点(我也相信我已经在配置中启用了这个模块)。
我无法使用此处描述的格式将现有的(从 Keycloak)转移到 LDAP:https://github.com/hamano/openldap-pbkdf2
请原谅我使用 PHP,但这是我目前最熟悉的编程语言。
我尝试使用 HASH_ITERATIONS、SALT 和 VALUE 字段以及 PHP 手册中 base64_encode 下的注释中提供的 base64url_encode 自定义函数来制作“Adapted Base64”字符串,并将构建的字符串作为创建 LDAP 用户时的 userPassword 字段。用户已在 LDAP 中成功创建,但我无法使用刚刚创建的用户的凭据对 LDAP 进行身份验证。
/*
This example migrates a single user, to be adapted to a loop later, if it works.
NOTE: KC_* constants are defined in an external config.php file, such as:
KC_LDAP_BASEDN = "ou=users,dc=sso,dc=example,dc=com"
KC_REALM_ID = "KeycloakUserRealm"
(not actual code from config.php, but you get the point)
*/
$ldc = ldap_connect(KC_LDAP_SERVER);
ldap_set_option($ldc, LDAP_OPT_PROTOCOL_VERSION, KC_LDAP_PROTOCOL); // should be 3 in config.php
$ldb = ldap_bind($ldc, KC_LDAP_BINDDN, KC_LDAP_BINDPW);
$usertest = 'username_of_user_to_be_migrated';
// fetch user info
$u_sel = $db->query("SELECT * FROM `USER_ENTITY` WHERE `USERNAME`='".$db->real_escape_string($usertest)."' AND `REALM_ID`='".$db->real_escape_string(KC
_REALM_ID)."'");
$uinfo = $u_sel->fetch_assoc();
// fetch credential of user, type="password"
$c_sel = $db->query("SELECT * FROM `CREDENTIAL` WHERE `USER_ID`='".$db->real_escape_string($uinfo['ID'])."' AND `TYPE`='password'");
$cred = $c_sel->fetch_assoc();
$uprop = array();
$uprop['objectClass'] = array('top', 'person', 'organizationalPerson', 'inetOrgPerson');
$uprop['uid'] = $uinfo['USERNAME'];
$uprop['mail'] = $uinfo['EMAIL'];
$uprop['cn'] = $uinfo['FIRST_NAME'];
$uprop['sn'] = $uinfo['LAST_NAME'];
// also base64_decode() VALUE, since this seems to be already enocoded in base64, before re-encoding it with base64url_encode()
$uprop['userPassword'] = '{'.strtoupper($cred['ALGORITHM']).'}'.$cred['HASH_ITERATIONS'].'$'.base64url_encode($cred['SALT']).'$'.base64url_encode(base6
4_decode($cred['VALUE']));
ldap_add($ldc, 'uid='.$uprop['uid'].','.KC_LDAP_BASEDN, $uprop);
完成后,我运行第二个脚本来尝试与该用户建立连接:
$ldc = ldap_connect(KC_LDAP_SERVER);
ldap_set_option($ldc, LDAP_OPT_PROTOCOL_VERSION, KC_LDAP_PROTOCOL); // should be 3 in config.php
$userdn = 'uid=username_of_user_to_be_migrated,'.KC_LDAP_BASEDN;
$userpw = 'asdASD123';
$ldb = ldap_bind($ldc, $userdn, $userpw);
在执行上面的第二个脚本时,我得到:
PHP Warning: ldap_bind(): Unable to bind to server: Invalid credentials in /home/user/projectdir/test_ldap_user.php on line 22
CREDENTIAL 数据库中的示例条目如下所示:
ID: 5718a65c-1927-4ac7-87ce-aec0c7dda296
DEVICE: NULL
HASH_ITERATIONS: 27500
SALT: � �??�Pz�e��X,
TYPE: password
VALUE: DdCJAJvuhidAC2by7TZY8I0E8HF4V6FXrPa4nSXduvSzbb+xHW3D4QiiiPpvuzL2bdk6k0kNQKS/477k5kiLzA==
USER_ID: b06ce13f-4e8e-474e-b5ee-5d664d6f9575
CREATED_DATE: 1561051801144
COUNTER: 0
DIGITS: 0
PERIOD: 0
ALGORITHM: pbkdf2-sha256
userPassword 的输出通常是这样的:
{PBKDF2-SHA256}27500$FrcRlj8SGJJQet1l9LNYLA$DdCJAJvuhidAC2by7TZY8I0E8HF4V6FXrPa4nSXduvSzbb-xHW3D4QiiiPpvuzL2bdk6k0kNQKS_477k5kiLzA
为了确保正确迁移密码散列,我可能会从该代码中遗漏任何内容吗?
或者是否已经有一个迁移脚本/解决方案可以解决我还没有找到的 Keycloak->LDAP?
提前感谢您提供的任何帮助或插入正确的方向。
最佳答案
快速更新:我设法与我的一位优秀同事一起找到了解决方案,我想在此处发布解决方案,以供其他人在此问题上遇到问题时引用。
我们发现无论使用哪种算法,Keycloak 中用于散列的 key 长度都是 64 字节。这也意味着对于那些默认 key 长度小于 64 字节(使其正好为 64 字节长)的算法重复哈希的字节序列。在 PBKDF2 中,SHA-1 的默认 key 长度为 20 字节,SHA-256 为 32 字节,SHA-512 为 64 字节。这使我可以创建以下 PHP 函数,该函数返回与 slappasswd 返回的字符串完全相同的类型:
// Convert password credentials from Keycloak database to LDAP format (specific to PBKDF2 module)
// Parameter $cred is array from Keycloak database fields for 'CREDENTIAL' table
function password_keycloak_to_ldap($cred) {
switch (strtolower($cred['ALGORITHM'])) {
case 'pbkdf2':
case 'pbkdf2-sha1':
$keybytes = 20;
break;
case 'pbkdf2-sha256':
$keybytes = 32;
break;
default:
$keybytes = 64;
break;
}
$out = '{'.strtoupper($cred['ALGORITHM']).'}'.$cred['HASH_ITERATIONS'].'$'.ab64_encode($cred['SALT']).'$';
$oldhash = base64_decode($cred['VALUE']);
$newhash = substr($oldhash, 0, $keybytes);
$out .= ab64_encode($newhash);
return $out;
}
另外,我设置了额外的辅助函数(从别处复制):
// ab64_* functions adapted from Python's Passlib v1.7.1
function ab64_encode($data){
return rtrim(strtr(base64_encode($data), '+', '.'), '=');
}
function ab64_decode($data){
return base64_decode(strtr($data,'.', '+').str_repeat('=', 3-(3+strlen($data))%4));
}
最后,我在问题中发布的脚本中的用法然后将 userPassword 行替换为以下内容:
$uprop['userPassword'] = password_keycloak_to_ldap($cred);
我希望这有助于其他人将用户从 Keycloak 迁移到 LDAP,并保留用户密码。
关于php - 使用完整的密码将用户从 Keycloak 迁移到 LDAP,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/56703883/