<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Thu, Oct 29, 2015 at 2:20 PM, Ower All <span dir="ltr"><<a href="mailto:owerall@yahoo.com" target="_blank">owerall@yahoo.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div><div style="color:rgb(0,0,0);font-family:HelveticaNeue,'Helvetica Neue',Helvetica,Arial,'Lucida Grande',sans-serif;font-size:16px;background-color:rgb(255,255,255)"><div dir="ltr">Hello. We have successfully upgraded our IDP to v3. The problem we have is that we are unable to set it up with our active directory.  We have edited the file ldap.properties with the following config changes. Is there anything that I can look at or check? Thanks</div><div dir="ltr"> </div><div dir="ltr">idp.authn.LDAP.authenticator                    = adAuthenticator<br><br></div></div></div></blockquote><div><br></div><div>This authenticator configuration leverages the ability of active directory to authenticate a user using the form '<a href="mailto:useracct@test.domain.com" target="_blank">useracct@test.domain.com</a>'. It requires that you configure the idp.authn.LDAP.dnFormat property. So in your case, something like '%<a href="mailto:s@test.domain.com" target="_blank">s@test.domain.com</a>'</div>







<div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div><div style="color:rgb(0,0,0);font-family:HelveticaNeue,'Helvetica Neue',Helvetica,Arial,'Lucida Grande',sans-serif;font-size:16px;background-color:rgb(255,255,255)"><div dir="ltr">idp.authn.LDAP.ldapURL                           = ldaps://<a href="http://test.domain.com" target="_blank">test.domain.com</a> (do I need a port # here?)<br></div></div></div></blockquote><div><br></div><div>You need a port if you're not using the default of 636.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div><div style="color:rgb(0,0,0);font-family:HelveticaNeue,'Helvetica Neue',Helvetica,Arial,'Lucida Grande',sans-serif;font-size:16px;background-color:rgb(255,255,255)"><div dir="ltr">idp.authn.LDAP.baseDN                            = ou=test,dc=domain,dc=com<br></div><div dir="ltr">#idp.authn.LDAP.subtreeSearch                = false </div></div></div></blockquote><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div><div style="color:rgb(0,0,0);font-family:HelveticaNeue,'Helvetica Neue',Helvetica,Arial,'Lucida Grande',sans-serif;font-size:16px;background-color:rgb(255,255,255)"><div dir="ltr">idp.authn.LDAP.bindDN                              = <a href="mailto:testacct@test.domain.com" target="_blank">testacct@test.domain.com</a><br>idp.authn.LDAP.bindDNCredential                 = *****</div><div dir="ltr"> </div></div></div></blockquote><div><br></div><div><div>These properties are not used by the adAuthenticator, they are used by <span>the bindSearchAuthentic</span><span>ator.</span></div><div><span><br></span></div><div><span>Many deployers do choose the bindSearchAuthenticator for use with Active Directory. I'm not certain of all the tradeoffs at this point. I can say that the adAuthenticator will be more performant because it doesn't have to perform a DN resolution. It is also wired up by default for password expiration. However if you need to grab attributes during authentication that require a manager credential, you're better off using the bindSearchAuthenticator.</span></div></div><div><span><br></span></div><div><span>--Daniel Fisher</span></div><div><span><br></span></div></div></div></div>