Ne peut pas contacter le serveur LDAP (avec ldaps) dans Docker

Vous pourriez régler dans /etc/ldap.conf

TLS_REQCERT permettre

ce qui, comme vous le soupçonneriez, ne va pas mourir sur des autorités de certificat inconnues. Jetez un oeil sur le man ldap.conf

   TLS_REQCERT 
          Spécifie les vérifications à effectuer sur les certificats serveur dans une session TLS,
          le cas échéant. Le  peut être spécifié comme l'un des mots-clés suivants:

          jamais  Le client ne demandera pas ou ne vérifiera aucun certificat serveur.

          permettre  Le certificat serveur est demandé. Si aucun certificat n'est
                 fourni, la session se déroule normalement. Si un mauvais
                 certificat est fourni, il sera ignoré et la session se
                 déroule normalement.

          essayer   Le certificat serveur est demandé. Si aucun certificat n'est
                 fourni, la session se déroule normalement. Si un mauvais
                 certificat est fourni, la session est immédiatement termi
                 née.

          exigence | dur
                 Ces mots-clés sont équivalents. Le certificat serveur est
                 demandé. Si aucun certificat n'est fourni, ou si un mauvais 
                 certificat est fourni, la session est immédiatement termi
                 née. C'est le réglage par défaut.

Une fois que vous avez vérifié que ldapsearch fonctionne, la bonne chose à faire serait d'obtenir une copie du certificat racine de l'AC et de l'importer dans le magasin système de votre système ubuntu.

Apparemment, cela se fait comme indiqué dans: cette question de super utilisateur

Ou vous pourriez simplement l'ignorer et continuer ce que vous faisiez sans vérifier le certificat, mais vous devriez essayer de le vérifier si possible.

Ok, cela a nécessité beaucoup de recherche en ligne, mais j'ai enfin réussi à le faire fonctionner. Voici ce que j'ai fait.

1. Utilisez la commande suivante pour obtenir le certificat du serveur LDAP :
   openssl s_client -connect example.com:636
2. Copiez tout ce qui se trouve entre -----BEGIN CERTIFICATE----- et -----END CERTIFICATE----- inclus.
3. Enregistrez cela dans un fichier. Quelque chose comme ca.pem
4. Modifiez votre fichier ldap.conf, qui pourrait se trouver dans le répertoire /etc/ldap ou /etc/openldap, et ajoutez les lignes suivantes. La ligne TLS_CACERT doit pointer vers l'endroit où vous avez enregistré le fichier à l'étape précédente.

TLS_CACERT /etc/ssl/certs/ca.pem
TLS_REQCERT never

4a. J'ai ajouté TLS_REQCERT pour des raisons internes. Utilisez ce paramètre selon vos besoins/risk.

5. Exécutez votre commande ldapsearch. J'utilise ldapsearch -x -Z -d1 -H ldaps://example.com:636 -D "votre dn de liaison" -w "votre mot de passe de liaison" -b"votre dn de base" "(cn=votre cn)"

J'espère que cela vous aidera.

Vous aurez remarqué que la sortie de débogage n'a rien montré des parties SSL/TLS de la communication. Si je me souviens bien, afin d'obtenir ldapsearch pour afficher cela, vous devez utiliser les options -v2 -d (éventuellement avec un niveau de débogage plus élevé).

Notez que juste parce qu'openssl fonctionne, cela ne signifie pas que ldapsearch (bibliothèques openldap) regardera au même endroit pour les informations de certificat. Remarquez également qu'openssl s_client ne valide pas le certificat par défaut.

Vous pouvez essayer de définir TLS_REQCERT à never comme un outil de débogage.

Je suggèrerais également d'utiliser strace -e trace=file -f ldapsearch ... comme outil pour découvrir quels fichiers sont réellement recherchés (et si les permissions posent problème, etc.).

Les systèmes Linux ont tendance à avoir plusieurs fichiers de configuration ldap (pam_ldap, nss_ldap, commandes openldap, ...). Quel fichier avez-vous utilisé?

Une des questions que je pose généralement aux personnes qui viennent me poser des questions similaires au travail, est dans quel language est écrit le client (ou plutôt, quelle API client LDAP est utilisée -- par exemple OpenLDAP avec OpenSSL, ou Java 1.7 sans les modules de sécurité élevée, afin que je puisse savoir quels problèmes considérer avant les autres). Pour cette raison, ne vous attendez pas à ce que des choses comme une API Java fonctionnent une fois que vous avez une invocation fonctionnelle de ldapsearch.

Si le fournisseur LDAP est Active Directory fonctionnant sur Windows Server 2012, consultez Impossible de contacter le serveur LDAP (-1) pour LDAPS et Server 2012