问题描述
我有一个带有openLDAP用户联合会的Keycloak。在LDAP中，我有一个用户'someUser'，它属于多个组，即：
dn: cn=developers,ou=groups,dc=example,dc=com
changetype: add
objectclass: groupOfNames
member: cn=architects,dc=com
dn: cn=architects,dc=com
changetype: add
objectclass: groupOfNames
member: uid=someUser,ou=People,dc=com
在我的Keycloak上，对于LDAP，我已经为角色创建了LDAP映射器，如下所示：
- 映射器类型：role-ldap-mapper
- LDAP角色DN ：ou = groups，dc = example，dc = com
- 角色名称LDAP属性：cn
- 角色对象类：groupOfNames
- 成员资格LDAP属性：成员成员资格
- 属性类型：DN成员身份
- 用户LDAP属性：uid
- LDAP过滤器：
- 模式：READ_ONLY
- 用户角色检索策略：LOAD_ROLES_BY_MEMBER_ATTRIBUTE
- LDAP成员属性：memberOf
- 使用领域角色映射：开启
问题是，当我尝试代表用户'someUser'获取令牌时，只有角色'architects'出现在令牌上。基于LDAP嵌套分组，我希望令牌中既会出现“建筑师”角色，又会出现“开发人员”角色。
基于其他answers的类似主题，我尝试将以下内容添加到LDAP过滤器：
memberOf:1.2.840.113556.1.4.1941
但这似乎仅适用于Microsoft Active Directory。
我的问题是，要同时拥有令牌中的“建筑师”和“开发者”角色，我该怎么办？ （除了必须对其进行硬编码）。
解决方法
尝试替换以下成员和对象类：
dn: cn=developers,ou=groups,dc=example,dc=com
changetype: add
objectclass: groupOfURLs
memberURL: ldap:///cn=architects,dc=com?sub?(objectclass=*)
这种组定义称为动态组，您应该在openldap中尝试ldapsearch来查看目录是否发送了正确的对象，例如：
./ldapsearch -h localhost--port 1389 -D "cn=Directory Manager" -w "password" -b "uid=someUser,ou=People,dc=com" -s sub "(objectclass=*)" member