Subversion 在使用 Web 浏览器进行身份验证之前会显示错误 500

Question 1

我使用的是 Debian“Lenny”设置，运行 Apache2/SVN，LDAP 通过 Apache 直接向 AD 进行身份验证，同时在同一台机器上托管 Trac 站点。我会尝试一下，但我需要更多信息...

SVN 访问是通过 Apache 的内置模块，所以我的第一个问题是 - 您是将其作为 SVN 独立进程运行，还是通过 Apache 运行（它似乎是 Apache，但我只是想确定一下）？第二个问题是，您使用的是 Apache2 还是 Apache (1.x)？第三个问题是，您是通过 PAM 使用 LDAP 身份验证，还是通过 Apache 的内置支持？

仅供参考，这是 Trac 的配置的一个（净化）版本，以及通过 AD 进行身份验证的 LDAP 设置（是的，它对任何人开放，因为 Trac 有自己的权限系统，在我的设置中，它对经过身份验证的用户默认为只读）：

#Rudimentary Apache2 authentication for Active Directory (without group controls)
<Location /trac>
  SetHandler mod_python
  PythonInterpreter main_interpreter
  PythonHandler trac.web.modpython_frontend
  PythonOption TracEnvParentDir /srv/trac
  PythonDebug on
  Order deny,allow
  Deny from all
  Allow from 10.0.0.0/8
  AuthType Basic
  AuthName "Trac Projects"
  AuthBasicProvider "ldap"
  AuthLDAPURL "ldap://enterprise-dc.mycompany.com:3268/DC=localsite,DC=mycompany,DC=com?sAMAccountName?sub?(objectClass=user)"
  AuthLDAPBindDN       [email protected]
  AuthLDAPBindPassword "supersecretpasswordthatnoonewillguess"
  authzldapauthoritative On
  require valid-user
  # require ldap-group "CN=Users,DC=local-site,DC=mycompany,DC=com"
</Location>

对于您的目的而言更重要的是，使用该形式的身份验证作为模板，我们可以获取设置/etc/apache2/mods-enabled/dav_svn.conf，这将控制您的 SVN 访问：

<Location /svn>
  DAV svn
  SVNParentPath /srv/svn
  SVNAutoversioning on
  Order deny,allow
  Deny from all
  Allow from 10.0.0.0/8
  AuthType Basic
  AuthName "Subversion Repository"
  AuthBasicProvider "ldap"
  AuthLDAPURL "ldap://enterprise-dc.mycompany.com:3268/DC=local-site,DC=mycompany,DC=com?sAMAccountName?sub?(objectClass=user)"
  AuthLDAPBindDN [email protected]
  AuthLDAPBindPassword "supersecretpasswordthatnoonewillguess"
  authzldapauthoritative On
  require valid-user
</Location>

我们的桌面对程序安装的控制相当严格，所以我并不担心有人 (a) 安装 SVN 客户端 (b) 找出要连接的确切服务器名称 (c) 进入存储库并搞乱一切，这就是安全性如此低的原因。但是，只需稍加调整，您就应该能够通过强制执行 AD 组（请注意第一个示例中注释掉的垃圾内容）重新使用此安排，并获得更严格的访问控制。

希望这对你有帮助。

更新（基于新信息）

我认为问题在于您没有针对全局目录进行身份验证。将端口号更改为我示例中的端口号，并确保将其指向“企业”级别（即不是子域的成员）的域控制器。因此，不要使用 site.enterprise.com，而是将其指向新端口号处的 enterprise.com。请注意，您可能不需要在设置中为用户名指定域名，因此如果它拒绝身份验证，请务必尝试不指定域名（请参阅我发布的示例）；并使用“电子邮件样式”帐户名，而不是“域样式”布局。

我的怀疑是：全局目录“扁平化”了用户的搜索空间；但是通过在子域控制器上进行标准 LDAP 查询，我认为最初的失败是因为最初没有“答案”，直到子域中的域控制器可以找到答案。在第二次尝试时，答案被缓存，您就成功了。

Answer