LDAPRecord v2 (AD & OpenLDAP)

[dbarzin]

🇬🇧 Deming now supports LDAPRecord v2 (AD & OpenLDAP)

TL;DR: Deming can now authenticate users via LDAPRecord v2 with Active Directory and OpenLDAP. You can keep local DB auth as fallback, or run LDAP-only — your call.

Highlights

• ✅ Works with Active Directory and OpenLDAP
• 🔁 Hybrid mode: LDAP first, optional fallback to local DB
• 🆕 Optional auto-provisioning of local users after a successful LDAP bind
• 🔧 One code path using LdapRecord\Models\Entry → no schema lock-in
• 🔒 TLS/LDAPS supported; service account is read-only

How to enable (quick)

git pull
composer install
php artisan config:clear && php artisan optimize:clear

.env (example)

# Turn LDAP on (hybrid mode)
LDAP_ENABLED=true
LDAP_FALLBACK_LOCAL=true
LDAP_AUTO_PROVISION=false

# Server
LDAP_HOST=ldap.example.org
LDAP_PORT=389
LDAP_BASE_DN=dc=example,dc=org
LDAP_USERNAME=cn=admin,dc=example,dc=org
LDAP_PASSWORD=********
LDAP_TLS=true      # StartTLS on 389
LDAP_SSL=false     # Use true for LDAPS on 636

# Which attributes to try for the entered username (order matters)
# OpenLDAP: uid, cn, mail | AD: sAMAccountName, userPrincipalName, mail
LDAP_LOGIN_ATTRIBUTES=uid,cn,mail,sAMAccountName,userPrincipalName

AD vs OpenLDAP tips

• OpenLDAP: LDAP_LOGIN_ATTRIBUTES=uid,cn,mail
• AD: LDAP_LOGIN_ATTRIBUTES=sAMAccountName,userPrincipalName,mail,cn

Smoke test (CLI)

php artisan tinker

use LdapRecord\Container;

$dn = 'uid=jdupont,ou=people,dc=example,dc=org'; // or a CN/UPN DN
Container::getConnection()->auth()->attempt($dn, 'PASSWORD', true); // expect: true

Security you must enforce

• Use TLS/LDAPS. Period.
• Restrict the service account to minimum read access.
• Never log passwords; keep DN logging minimal.
• With auto-provisioning, store a random local password (never reuse LDAP).

Compatibility

• Non-LDAP setups: no change.
• If you previously used custom LDAP env keys, migrate to the standard LDAP_* variables above.

---

🇫🇷 Deming supporte désormais LDAPRecord v2 (AD & OpenLDAP)

En bref : Deming sait maintenant authentifier via LDAPRecord v2 avec Active Directory et OpenLDAP. Tu peux rester en mode hybride (LDAP d’abord, base locale en secours) ou passer en LDAP-only.

Points clés

• ✅ Compatible Active Directory et OpenLDAP
• 🔁 Mode hybride : LDAP en priorité, fallback local optionnel
• 🆕 Auto-provisioning local possible après un bind LDAP réussi
• 🔧 Un seul modèle LdapRecord\Models\Entry → pas de dépendance au schéma
• 🔒 Support TLS/LDAPS ; compte de service en lecture seule

Activation (rapide)

git pull
composer install
php artisan config:clear && php artisan optimize:clear

.env (exemple)

# Activation LDAP (mode hybride)
LDAP_ENABLED=true
LDAP_FALLBACK_LOCAL=true
LDAP_AUTO_PROVISION=false

# Serveur
LDAP_HOST=ldap.example.org
LDAP_PORT=389
LDAP_BASE_DN=dc=example,dc=org
LDAP_USERNAME=cn=admin,dc=example,dc=org
LDAP_PASSWORD=********
LDAP_TLS=true      # StartTLS sur 389
LDAP_SSL=false     # Mets true pour LDAPS sur 636

# Attributs testés pour l'identifiant saisi (l'ordre compte)
# OpenLDAP : uid, cn, mail | AD : sAMAccountName, userPrincipalName, mail
LDAP_LOGIN_ATTRIBUTES=uid,cn,mail,sAMAccountName,userPrincipalName

Astuces AD / OpenLDAP

• OpenLDAP : LDAP_LOGIN_ATTRIBUTES=uid,cn,mail
• AD : LDAP_LOGIN_ATTRIBUTES=sAMAccountName,userPrincipalName,mail,cn

Test rapide (CLI)

php artisan tinker

use LdapRecord\Container;

$dn = 'uid=jdupont,ou=people,dc=example,dc=org'; // ou un DN CN/UPN
Container::getConnection()->auth()->attempt($dn, 'MOT_DE_PASSE', true); // attendu : true

Sécurité — à appliquer

• Utilise TLS/LDAPS. Point.
• Restreins le compte de service au strict nécessaire (lecture).
• Ne loggue jamais les mots de passe ; limite les DN dans les logs.
• Avec l’auto-provisioning, stocke un mot de passe aléatoire côté DB (jamais celui du LDAP).

Compatibilité

• Sans LDAP : aucun changement.
• Si tu utilisais des variables .env LDAP « maison », migre vers les LDAP_* ci-dessus.

[jraymond-gr]

Bonjour Didier,

Je viens de faire les tests sur mon environnement de test existant qui avait déjà une connexion LDAP vers Active Directory.
J'ai mis à jour tous les fichiers et les variables LDAP_* avec les valeurs recommandées, le test ldap via la commande tinker fonctionne avec le mon DN et je vois la connexion se faire avec mon contrôleur de domaine mais quand je passe par le site web, j'ai l'impression qu'il n'utilise que la base locale et non LDAP. Lors de l'authentification, je ne vois pas de dialogue avec mon DC et j'arrive à me connecter avec le compte de test en base locale.
En comparant les logs dans storage/logs/laravel.log avec LDAP_LOGGING=true, je confirme que je vois la recherche locale et non distante.
Tu aurais une idée d'où pourrait venir le problème ?

Jérôme

[dbarzin]

J'ai également rencontré des difficultés lors du passage en production avec ActiveDirectory. Je corrige cela actuellement.

[jraymond-gr]

Merci.
D'ailleurs, dans mon ancienne configuration, il y avait des notions du type LDAP_Type (pour spécifier le type d'annuaire), LDAP_CERT (pour le certificat de l'autorité de certification utilisé par les DC), ... Toutes ces notions ont disparu ?

[dbarzin]

Il n'est plus nécessaire de spécifier le LDAP_Type. La configuration est générique. Pour les certificats, il faut se référer à la librairie https://ldaprecord.com/docs/laravel/v2/configuration

Cela fonctionne, il y avait un problème avec le LDAP_BASE_DN

[jraymond-gr]

Bonjour, je n'avais pas vu la dernière ligne.
La connexion LDAP fonctionne depuis l'accés au site web ?
Je viens de faire la mise à jour et je ne vois toujours rien dans les logs quand j'utilise le site web. Je reste sur la base de données locale

[dbarzin]

Regarde le fichier .env.example
Il te manque probablement cette ligne LDAP_ENABLED=true