Default-roles не выдает роли пользователям

Вопросы и проблемы
#1

Здравствуйте!

Jmix version: 1.5.3
Jmix Studio plugin version: 2.1.0-232
IntelliJ version: IntelliJ IDEA 2023.2.5 (Ultimate Edition)

Синхронизирую пользователей с Active Directory используя LDAP. При первичном логине юзерам не выдаются дефолтные роли, при выдаче их в ручную через Application-> Users все работает корректно.

LDAP настройки:

jmix.ldap.standard-authentication-users=admin
jmix.ldap.urls=ldap://some_url:some_port/
jmix.ldap.base-dn=DC=some_dc,DC=some_dc
jmix.ldap.manager-dn=CN=JMIX,OU=some_ou,DC=some_dc,DC=some_dc
jmix.ldap.manager-password=some_password
jmix.ldap.user-search-filter=(&(objectClass=user)(sAMAccountName={1}))
jmix.ldap.active-directory-domain=some_domain
jmix.ldap.user-search-base=DC=some_dc,DC=some_dc
jmix.ldap.username-attribute=sAMAccountName
jmix.ldap.group-role-attribute=CN
jmix.ldap.default-roles=ui-minimal, ui-filter, report-run
jmix.ldap.synchronize-role-assignments=false
jmix.ldap.synchronize-user-on-login=true
jmix.ldap.enabled=true
jmix.ldap.group-search-subtree=true
jmix.ldap.use-active-directory-configuration=true
jmix.ldap.group-for-synchronization=CN=JMIX Group,CN=Users,DC=some_dc,DC=some_dc
jmix.ldap.group-search-base=dc=some_dc,dc=some_dc
jmix.ldap.member-attribute=member

Пока думаю выдавать дефолтные роли программно, но все равно мое решение выглядит костыльным на фоне уже существующего функционала.

#3

Добрый день!

Вы имеете в виду, что пользователи при первом логине через LDAP не видят ни меню, ни всего остального из-за отсутствия дефолтной ui-minimal?

#4

Вот, это самое странное, меню и страницу запуска отчетов они видят благодаря роли report-run, но, отчеты которые должны быть видны пользователям имеющие роль report-run они не видят. К тому же, таблица с ролями пуста когда просматриваешь роли юзера через админа

#5

Страница после логина выглядит следующим образом:
berik page

Список ролей у юзера:
beriks roles

ну и как пример отчет с видимостью для юзеров с ролью report-run, у юзера его, естественно, нет
report

Страница запуска отчетов которая открывается после логина как бы косвенно говорит о том, что у пользователя есть роль report-run, но при этом весь остальной функционал отсутствует. Ну и пустой список ролей юзера тоже сбивает с толку

#6

То, что вы видете на экране назначения ролей для пользователя, это записи в базе из сущности RoleAssignmentEntity. Из этих записей при логине пользователя в объект Authentication для текущего пользователя помещаются доступные иму роли.

Следующее свойство

jmix.ldap.default-roles=ui-minimal, ui-filter, report-run

определяет список имён ролей, которые напрямую будут помещены в объект Authentication для текущего пользователя. Для ролей из этого свойства никаких записей в таблице SEC_ROLE_ASSIGNMENT_ENTITY не создаётся, поэтому в экране назначенных ролей у вас и пусто. Но внутрь объекта Authentication роли помещаются, поэтому права у пользователя есть.

Если вам нужно, чтобы назначения ролей синхронизировались, то, наверное, следует проставить jmix.ldap.synchronize-role-assignments=true

#7

Но если я проставляю

jmix.ldap.synchronize-role-assignments=true

то при каждом логине сбрасываются роли до стандартных, то есть даже если я пользователю выдал full-access то при следующем входе full-access отбирается

#8

А вы какое поведение в итоге желаете получить? Чтобы при первом логине для пользователя создавались записи в таблице SEC_ROLE_ASSIGNMENT для дефолтных ролей, а потом ничего больше не перетиралось и админ мог ещё пользователю ролей через UI добавить?

#9

Да, именно такое поведение я бы хотел получить. И хотел бы узнать можно ли добиться такого поведения настройками LDAP чтобы не создавать свои ненужные надстройки над уже существующим кодом

#10

Боюсь, что такого поведения настройками добиться не получится. Вам скорее всего нужно будет прописать нужное поведение самому в вашей реализации LdapUserDetailsSynchronizationStrategy. Можете использовать io.jmix.ldap.userdetails.AbstractLdapUserDetailsSynchronizationStrategy как образец.

1 симпатия
#11

Понял вас, спасибо вам большое за помощь!