linux - freeradius 根据 AD 组确定 cisco shell 权限

Question

我使用 Active Directory 配置了 FreeRadius 并查找用户组，我需要做的最后一件事类似于以下内容。

互联网上的所有教程都引用了用户文件（我没有使用），他们会有类似的东西：

 youruser   Cleartext-Password := "somepass"
 Service-Type = NAS-Prompt-User,
 cisco-avpair = "shell:priv-lvl=15"

因此，在 post-auth 部分的站点可用/默认文件中，我创建了一些 if 语句，例如：

if(LDAP-Group == "CN=groupname, ou=blah, ou=blah"){
   Service-Type = Administrative-User, cisco-avpair = "shell:priv-lvl=15"
}
else {
  reject
}

当我运行它时，它抱怨 if 语句中的 Service-type ... 行说

Unknown action 'Administrative-User,'.
Error parsing post-auth section

任何想法如何解决这一问题

Answer 1

“post-auth”部分中的类似内容

   if (LDAP-Group == "SomeGroup") {
                   update reply {
                    cisco-avpair = "shell:priv-lvl=15",
                   }

    }
    else {
            reject
    }

Answer 2

我用 ntlm_auth 和 --required-membership-of=+somegroup 做到了这一点

请注意，“+”是分隔符。使用 ntlm_auth 的限制是你只能需要一个组，不像其他选项可能会给你几个组来尝试。但是，在我的情况下，“network_admins”组是唯一可以通过的组。

Answer 3

像这样; 在站点启用/默认

authenticate {
            Auth-Type ntlm_auth {
                    ntlm_auth
         if (ok) {
            update reply {
            Service-Type = Administrative-User,  
                        }  
                     }