成功したLDAPバインドで認証されたユーザーのオブジェクトGUIDを知る方法

Question

私が持っている：

• Linuxサーバ上でPHPアプリケーション
• （Windowsサーバ2012）のドメインコントローラ

私は、ADユーザーがPHPアプリケーションにログインできるようにしたいと考えています。 PHPアプリケーションはデータをユーザに関連付けるので、データベースにユーザを作成する必要があります。

新しいユーザーがPHPアプリケーションで作成されると、管理者はADユーザーのuserPrincipalNameのリストから選択します。 userPrincipalNameが選択されると、PHPはこのユーザのobjectGUIDを取得し、データベースに格納します。実際、UPNが変更される可能性があるため、ユーザーを一意に識別するためにUPNに依存することはできません。また、UPNが変更された場合、ユーザーは新しいUPNを使用してPHPアプリケーションにシームレスにログインできます。

ユーザが自分のアプリケーションにログインしたい場合、PHPはユーザ名とパスワードを受け取り、ldap_bindに渡して資格情報が有効かどうかをチェックします。その時点での問題は、ldap bindが実際にどのユーザーを識別したのか（ldap_bindはログイン/パスワード（https://msdn.microsoft.com/en-us/library/cc223499.aspx）を検証する複雑なロジックを持っているかを知ることはできません）です。

ldapバインドがobjectGUIDを返していた場合は、最も基本的な（したがって、信頼性の高い）方法です。しかし、そうではありません。PHPでldapバインドのロジックをどのユーザーが実際に識別したのか（LDAPバインドと「手動」検索の間でディレクトリが変更された場合、競合状態のためにバグが発生する）

PHPからLDAPユーザーを識別し、可能であれば、ドメインコントローラへの1回の要求で（アトミック性を得るために）？

Answer 1

プロセスのある時点で、ログインのユーザー名に使用されているUPNを検索するロジックを持つ必要があります。そのオブジェクトGUIDを取得し、データベースのobjectGuidを検索します。その情報を得る他の方法はありません。

潜在的な競合状態（結びつきと検索間のタイミングが非常に厳しいことを考えると、非常に端のように見える）が心配な場合は、別のADサービスアカウントを使用してバインドの前にUPNによってアカウントを作成します。次に、ユーザーの資格情報を確認するldap_bindでは、検索するアカウントのobjectGuidを使用して、ADバインドの有効な「ユーザー名」（その中括弧を含むGUID）を使用することもできます。