Zend_Auth_Adapter_Ldap permite la autenticación de aplicaciones web con servicios LDAP. Sus características incluyen la canonicalización de nombres de usuario y de dominio, autenticación multi-dominio y capacidades de conmutación por error (failover). Ha sido probado con Microsoft Active Directory y OpenLDAP, pero también debería funcionar con otros proveedores de servicios LDAP.

Esta documentación incluye una guía para usar Zend_Auth_Adapter_Ldap, una exploración de su API, un esquema de las diversas opciones disponibles, información de diagnóstico para solucionar problemas de autenticación, y opciones de ejemplo tanto para servidores Active Directory como OpenLDAP.

Para incorporar rápidamente la autenticación con Zend_Auth_Adapter_Ldap en su aplicación, incluso si no está usando Zend_Controller, la parte esencial de su código debería tener un aspecto similar al siguiente:

$username = $this->_request->getParam('username');
$password = $this->_request->getParam('password');

$auth = Zend_Auth::getInstance();

$config = new Zend_Config_Ini('../application/config/config.ini',
                              'production');
$log_path = $config->ldap->log_path;
$options = $config->ldap->toArray();
unset($options['log_path']);

$adapter = new Zend_Auth_Adapter_Ldap($options, $username,
                                      $password);

$result = $auth->authenticate($adapter);

if ($log_path) {
    $messages = $result->getMessages();

    $logger = new Zend_Log();
    $logger->addWriter(new Zend_Log_Writer_Stream($log_path));
    $filter = new Zend_Log_Filter_Priority(Zend_Log::DEBUG);
    $logger->addFilter($filter);

    foreach ($messages as $i => $message) {
        if ($i-- > 1) { // $messages[2] and up are log messages
            $message = str_replace("\n", "\n  ", $message);
            $logger->log("Ldap: $i: $message", Zend_Log::DEBUG);
        }
    }
}

Por supuesto, el código de registro (logging) es opcional, pero es muy recomendable usar un registrador (logger). Zend_Auth_Adapter_Ldap registrará prácticamente toda la información que cualquiera pudiera desear en $messages (más abajo), lo cual es una característica interesante en sí misma para algo que tiene fama de ser notoriamente difícil de depurar.

El código de Zend_Config_Ini se utiliza arriba para cargar las opciones del adaptador. También es opcional. Un array normal funcionaría igual de bien. A continuación se muestra un archivo de ejemplo application/config/config.ini que tiene opciones para dos servidores separados. Con varios conjuntos de opciones de servidor, el adaptador intentará cada uno, en orden, hasta que las credenciales se autentiquen con éxito. Los nombres de los servidores (por ejemplo, 'server1' y 'server2') son en gran medida arbitrarios. Para más detalles sobre el array de opciones, consulte la sección Opciones del servidor más abajo. Tenga en cuenta que Zend_Config_Ini requiere que cualquier valor con caracteres "igual" (=) deba estar entrecomillado (como los DN mostrados abajo).

[production]

ldap.log_path = /tmp/ldap.log

; Typical options for OpenLDAP
ldap.server1.host = s0.foo.net
ldap.server1.accountDomainName = foo.net
ldap.server1.accountDomainNameShort = FOO
ldap.server1.accountCanonicalForm = 3
ldap.server1.username = "CN=user1,DC=foo,DC=net"
ldap.server1.password = pass1
ldap.server1.baseDn = "OU=Sales,DC=foo,DC=net"
ldap.server1.bindRequiresDn = true

; Typical options for Active Directory
ldap.server2.host = dc1.w.net
ldap.server2.useStartTls = true
ldap.server2.accountDomainName = w.net
ldap.server2.accountDomainNameShort = W
ldap.server2.accountCanonicalForm = 3
ldap.server2.baseDn = "CN=Users,DC=w,DC=net"

La configuración anterior indicará a Zend_Auth_Adapter_Ldap que intente autenticar a los usuarios primero con el servidor OpenLDAP s0.foo.net. Si la autenticación falla por cualquier motivo, se intentará con el servidor AD dc1.w.net.

Con servidores en dominios diferentes, esta configuración ilustra la autenticación multi-dominio. También puede tener varios servidores en el mismo dominio para proporcionar redundancia.

Tenga en cuenta que en este caso, aunque OpenLDAP no necesita el nombre de dominio corto estilo NetBIOS utilizado por Windows, lo proporcionamos aquí con fines de canonicalización de nombres (descrito en la sección Canonicalización de nombres de usuario más abajo).

El constructor de Zend_Auth_Adapter_Ldap acepta tres parámetros.

El parámetro $options es obligatorio y debe ser un array que contenga uno o más conjuntos de opciones. Tenga en cuenta que es un array de arrays de opciones de Zend_Ldap. Incluso si va a usar un único servidor LDAP, las opciones deben seguir estando dentro de otro array.

A continuación se muestra la salida de print_r() de un ejemplo de parámetro de opciones que contiene dos conjuntos de opciones de servidor para servidores LDAP s0.foo.net y dc1.w.net (las mismas opciones que la representación INI anterior):

Array
(
    [server2] => Array
        (
            [host] => dc1.w.net
            [useStartTls] => 1
            [accountDomainName] => w.net
            [accountDomainNameShort] => W
            [accountCanonicalForm] => 3
            [baseDn] => CN=Users,DC=w,DC=net
        )

    [server1] => Array
        (
            [host] => s0.foo.net
            [accountDomainName] => foo.net
            [accountDomainNameShort] => FOO
            [accountCanonicalForm] => 3
            [username] => CN=user1,DC=foo,DC=net
            [password] => pass1
            [baseDn] => OU=Sales,DC=foo,DC=net
            [bindRequiresDn] => 1
        )

)

La información proporcionada en cada conjunto de opciones anterior es diferente principalmente porque AD no requiere que un nombre de usuario esté en forma de DN al enlazar (bind) (consulte la opción bindRequiresDn en la sección Opciones del servidor más abajo), lo que significa que podemos omitir varias opciones asociadas con la obtención del DN de un nombre de usuario que se está autenticando.

Los nombres de los servidores (por ejemplo, 'server1' y 'server2' mostrados arriba) son en gran medida arbitrarios, pero por el bien del uso de Zend_Config, los identificadores deben estar presentes (en lugar de ser índices numéricos) y no deben contener ningún carácter especial usado por los formatos de archivo asociados (por ejemplo, el separador de propiedades '.' de INI, '&' para las referencias de entidad XML, etc).

Con varios conjuntos de opciones de servidor, el adaptador puede autenticar usuarios en múltiples dominios y proporcionar conmutación por error (failover) de forma que si un servidor no está disponible, se consulte otro.

Los parámetros de nombre de usuario y contraseña del constructor de Zend_Auth_Adapter_Ldap representan las credenciales que se están autenticando (es decir, las credenciales proporcionadas por el usuario a través de su formulario de inicio de sesión HTML). Alternativamente, también se pueden establecer con los métodos setUsername() y setPassword().

Cada conjunto de opciones de servidor en el contexto de Zend_Auth_Adapter_Ldap consta de las siguientes opciones, que se pasan, en gran medida sin modificar, a Zend_Ldap::setOptions():

Zend_Auth_Adapter_Ldap recopila información de depuración dentro de su método authenticate(). Esta información se almacena en el objeto Zend_Auth_Result como mensajes. El array devuelto por Zend_Auth_Result::getMessages() se describe a continuación

En la práctica, el índice 0 debería mostrarse al usuario (por ejemplo, usando el ayudante FlashMessenger), el índice 1 debería registrarse y, si se está recopilando información de depuración, los índices 2 y superiores también podrían registrarse (aunque el mensaje final siempre incluye la cadena del índice 1).