LDAP аутентификация (Active Directory)

Мучался я с этой фигней долго, но... я победил! И поскольку не я один такой то вот мой рецепт:

- Во-первых. Встроеная LDAP-аутентификация - полный отстой. Соединение-то устанавливается, а вот привязка не проходит. Автор,судя по всему, привязывается анонимусом, а для для AD все равно что ничего. Привязаться можно только от имени зарегистрированного в домене пользователя.

- Во-вторых. Аутентифицировать пользователя в AD совсем не то, что в, допустим, OpenLDAP. AD не вернет тебе пароль пользователя. Посему - просто взять пароль из AD и сравнить с тем, что загнал пользователь в eJabberD не получится. Но, такое впечатление, что eJabberD это и делает.

Вывод: на сейчас (0.7.5) можно аутентифицировать зверей тока через внешний скрипт. Причем та заготовка что валяется на сайтах (check_pass_null.pl) хорошая точка отсчета, но не более того.
Вот полный исходник моего скрипта. Умный да разберется.

#######################################
# Name : check_pass_win32.pl
# Data : 10.04.2005
# Decription : Внешняя аутентификация пользователей
# : системы мнгновенных сообщений Jabber
# Author : Игорь С. Коваленко
#############################################################################################

use Win32::NetAdmin;
use Win32::OLE;
use Win32::OLE::Variant;

my $domain = $ENV{UserDomain};
my $server = $ENV{ComputerName};

# Дополнительное условие: пользователь входит в группу AccessGroup
$AccessGroup = "Domain Users";

while(1)
{

my $nread;
my $buf = "";

$nread = sysread STDIN,$buf,2;

do {
exit;
}
unless $nread == 2;

my $len = unpack "n",$buf;
$nread = sysread STDIN,$buf,$len;

my ($op,$user,$password) = split /:/,$buf;

my $result;

my $DC;
Win32::NetAdmin::GetDomainController($server, $domain, $DC);

SWITCH:
{
$op eq 'auth' and do
{

if (Win32::NetAdmin::GroupIsMember($DC, $AccessGroup, $user)) {
# Если пользователь член группы AccessGroup ...
my $oRoot = Win32::OLE->GetObject("LDAP:");
$Status = $oRoot->OpenDSObject("LDAP://$domain", $user, $password, 0x1);
if (defined $Status) {
# ... и удается от его имени привязаться к корню AD ...
undef $Status;
$result = 1;
# ... то говорим, что пользователь аутентифицирован!
}
}

},last SWITCH;

$op eq 'setpass' and do
{
$result = 1;
},last SWITCH;

$op eq 'isuser' and do
{
if (Win32::NetAdmin::UsersExist($DC, $user)) {
$result = 1;
}

},last SWITCH;
};
my $out = pack "nn",2,$result ? 1 : 0;
syswrite STDOUT,$out;
}

И, да, чуть не забыл: что бы это работало, сервис eJabberD должен стартовать от пользовательской учетной записи. От имени локальной системы нельзя. Ее (локальную систему) AD не знает.

Удачи!