New LDAP Configuration

[dbarzin]

🇬🇧 Mercator — New hybrid LDAP configuration

TL;DR: Mercator now supports a unified LDAPRecord v3 configuration, compatible with both Active Directory and OpenLDAP.
You can run in hybrid mode (LDAP first, fallback to local DB), and optionally enable auto-provisioning of local users after a successful LDAP bind.

What’s new

• ✅ Support for Active Directory and OpenLDAP
• 🔁 Hybrid mode: LDAP authentication first, optional fallback to local DB
• 🆕 Optional auto-provisioning of local users
• 🔧 Simplified .env configuration

Quick update

git pull
php artisan migrate
composer install
php artisan config:clear && php artisan optimize:clear

.env (example)

# LDAP (hybrid mode)
LDAP_ENABLED=true
LDAP_FALLBACK_LOCAL=true
LDAP_AUTO_PROVISION=false

# LDAP server
LDAP_HOST=ldap.example.org
LDAP_PORT=389
LDAP_BASE_DN=dc=example,dc=org
LDAP_USERNAME=cn=admin,dc=example,dc=org
LDAP_PASSWORD=********
LDAP_TLS=true
LDAP_SSL=false

# Attributes tested for login (order matters)
LDAP_LOGIN_ATTRIBUTES=uid,cn,mail,sAMAccountName,userPrincipalName

# Restrict access to members of this LDAP group (optional, full DN)
LDAP_GROUP=CN=Mercator,OU=Groups,DC=example,DC=org

Quick test (CLI)

php artisan tinker

use LdapRecord\Container;

$dn = 'uid=jdupont,ou=people,dc=example,dc=org'; // or a CN/UPN DN
Container::getConnection()->auth()->attempt($dn, 'PASSWORD', true); // expected: true

Security — must apply

• Always use TLS/LDAPS. Period.
• Restrict the service account to the bare minimum (read-only).
• Never log passwords; keep DN logging minimal.
• With auto-provisioning, a random password is stored in the DB (never the LDAP one).

Compatibility

• Without LDAP: no change.
• If you were using custom .env LDAP variables, migrate to the standard LDAP_* ones above.

---

🇫🇷 Mercator — Nouvelle configuration LDAP hybride

En bref : Mercator supporte désormais une configuration unifiée avec LDAPRecord v2, compatible Active Directory et OpenLDAP.
Vous pouvez activer le mode hybride (LDAP en priorité, base locale en secours) et, si besoin, l’auto-provisioning des comptes locaux après un bind LDAP réussi.

Nouveautés

• ✅ Support Active Directory et OpenLDAP
• 🔁 Mode hybride : LDAP d’abord, fallback local optionnel
• 🆕 Auto-provisioning des utilisateurs locaux (optionnel)
• 🔧 Nouvelle configuration .env simplifiée

Mise à jour rapide

git pull
php artisan migrate
composer install
php artisan config:clear && php artisan optimize:clear

.env (exemple)

# LDAP (mode hybride)
LDAP_ENABLED=true
LDAP_FALLBACK_LOCAL=true
LDAP_AUTO_PROVISION=false

# Serveur LDAP
LDAP_HOST=ldap.example.org
LDAP_PORT=389
LDAP_BASE_DN=dc=example,dc=org
LDAP_USERNAME=cn=admin,dc=example,dc=org
LDAP_PASSWORD=********
LDAP_TLS=true
LDAP_SSL=false

# Attributs testés pour le login (l’ordre compte)
LDAP_LOGIN_ATTRIBUTES=uid,cn,mail,sAMAccountName,userPrincipalName

# Restreindre l’accès aux membres de ce groupe LDAP (DN complet, optionnel)
LDAP_GROUP=CN=Mercator,OU=Groups,DC=example,DC=org

Test rapide (CLI)

php artisan tinker

use LdapRecord\Container;

$dn = 'uid=jdupont,ou=people,dc=example,dc=org'; // ou un DN CN/UPN
Container::getConnection()->auth()->attempt($dn, 'MOT_DE_PASSE', true); // attendu : true

Sécurité — à appliquer

• Utilise TLS/LDAPS. Point.
• Restreins le compte de service au strict nécessaire (lecture).
• Ne loggue jamais les mots de passe ; limite les DN dans les logs.
• Avec l’auto-provisioning, un mot de passe aléatoire est stocké côté DB (jamais celui du LDAP).

Compatibilité

• Sans LDAP : aucun changement.
• Si tu utilisais des variables .env LDAP « maison », migre vers les LDAP_* ci-dessus.