Ldap OpenVPN+；FreeIPA：附加要求的成员不起作用

我的用户通过OpenVPN AS进行身份验证，使用FreeIPA上的LDAP身份验证

现在我想限制OpenVPN以强制它们属于某个组

我在FreeIPA中创建了一个用户组，并将OpenVPN更改为具有“附加LDAP要求”，即“memberOf=CN=myGroup，CN=groups，CN=accounts，DC=mgmt，DC=company，DC=uk”

但当我现在尝试进行身份验证时，访问被拒绝，openvpn日志中出现以下错误：

2019-11-26T09:38:12+0000 [stdout#info] VPN Auth Failed: u"LDAP exception on ldaps://endpoint.free.ipa.internal/ (facility='search (u'cn=users,cn=accounts,dc=mgmt,dc=company,dc=uk', 2, u'(&(uid=myUser)(memberOf=CN=myGroup,CN=groups,CN=accounts,DC=mgmt,DC=company,DC=uk))')'): **user not found that meets specified requirements**: memberOf=CN=myGroup,CN=groups,CN=accounts,DC=mgmt,DC=company,DC=uk: auth/authldap:178,python2.7/threading:774,python2.7/threading:801,python2.7/threading:754,_threads/_threadworker:46,_threads/_team:190,python/threadpool:250,python/threadpool:266,python/context:122,python/context:85,auth/authldap:138,auth/authldap:178,util/error:67,util/error:48" [None]

如果我从命令行尝试（我认为是）等效的LDAP搜索，它可以正常工作：

ldapsearch -x -D "uid=admin,cn=users,cn=accounts,dc=mgmt,dc=company,dc=uk" -W -H ldap://localhost -b "cn=users,cn=accounts,dc=mgmt,dc=company,dc=uk" '(&(uid=myUser)(memberOf=cn=myGroup,cn=groups,cn=accounts,dc=mgmt,dc=company,dc=uk))'

返回用户，甚至列出其成员属性：

...
memberOf: cn=ipausers,cn=groups,cn=accounts,dc=mgmt,dc=company,dc=uk
memberOf: cn=myGroup,cn=groups,cn=accounts,dc=mgmt,dc=company,dc=uk
...

所以不确定我在OpenLDAP中做错了什么

我读到memberOf only可以追溯，所以我删除了myUser并将其重新添加到myGroup。还是不行。

啊，找到了

OpenVPNAS使用匿名绑定连接到FreeIPA以验证用户身份。使用匿名绑定时，不允许查看组成员身份

修复方法是将OpenVPNAS更改为绑定为管理员用户。现在它工作得很好