Sonarqube 6.7.1 LDAP组过滤器失效，域用户均可登录

我在处理SonarQube旧版本搭配LDAP的问题时，碰到过不少和你一样的情况——域用户能正常登录，但组过滤完全不起作用。结合你的环境（Windows Server 2016 + SonarQube 6.7.1 + LDAP插件2.2），给你几个针对性的排查方向和修复步骤：

1. 核心问题：用户查询未加入组过滤条件 #

很多人误以为只要配置了组相关的参数就够了，但实际上必须在用户查询规则里明确加入组身份的过滤，否则LDAP插件只会验证用户的域凭据，不会检查组归属。

你需要修改sonar.properties里的ldap.user.request配置，加入AD组的判断。如果你的目标组是嵌套的（比如用户在子组里，子组属于目标安全组），一定要用LDAP递归查询的OID（1.2.840.113556.1.4.1941），否则只能匹配直接加入组的用户：

# 示例：只允许CN=SonarAllowedUsers组（含嵌套成员）的用户登录
ldap.user.request=(&(objectClass=user)(sAMAccountName={login})(memberOf:1.2.840.113556.1.4.1941:=CN=SonarAllowedUsers,OU=Groups,DC=yourdomain,DC=com))

如果是直接成员，去掉递归OID即可：

ldap.user.request=(&(objectClass=user)(sAMAccountName={login})(memberOf=CN=SonarAllowedUsers,OU=Groups,DC=yourdomain,DC=com))

2. 检查组配置的基础参数是否正确 #

确保组相关的配置指向了正确的AD路径和属性：

• ldap.group.baseDn：必须是AD中组所在的OU，比如OU=Security Groups,DC=yourdomain,DC=com，路径错误会导致插件找不到组信息
• ldap.group.idAttribute：AD中组的标识属性，一般用sAMAccountName或者cn，要和你的组属性匹配
• ldap.group.memberAttribute：AD中组存储成员的属性，默认是member，不需要修改除非你的AD有特殊配置

3. 验证LDAP绑定账号的权限 #

用来连接AD的绑定账号（ldap.bindDn）需要有读取用户memberOf属性和组信息的权限。如果这个账号权限不足，插件无法验证用户的组归属，就会跳过过滤逻辑，允许所有域用户登录。

你可以用LDP.exe（Windows自带的LDAP工具）测试绑定账号是否能查询到目标用户的memberOf属性，以及目标组的成员列表。

4. 查看SonarQube日志排查实际查询逻辑 #

开启SonarQube的DEBUG日志，查看LDAP插件实际发送的查询语句：

1. 在sonar.properties中设置sonar.log.level=DEBUG
2. 重启SonarQube服务
3. 用一个不在目标组的域用户尝试登录
4. 查看sonarqube/logs/sonar.log，搜索LDAP user search关键字，找到实际的过滤条件

把这个过滤条件复制到LDP.exe中执行，看是否返回空结果（正常情况应该返回空，说明过滤生效）。如果返回了用户，说明你的过滤规则写得有问题，需要调整。

5. 确认目标组是安全组而非分发组 #

AD的分发组默认不会被memberOf属性包含，必须使用安全组才能让LDAP插件正确识别用户的组归属。检查你的目标组类型，确保是安全组。

完整配置示例 #

给你一个经过验证的完整LDAP配置参考：

# LDAP基础配置
ldap.url=ldap://dc.yourdomain.com:389
ldap.bindDn=CN=SonarLDAPBind,OU=Service Accounts,DC=yourdomain,DC=com
ldap.bindPassword=YourBindAccountPassword

# 用户配置（含组过滤）
ldap.user.baseDn=OU=Users,DC=yourdomain,DC=com
ldap.user.request=(&(objectClass=user)(sAMAccountName={login})(memberOf:1.2.840.113556.1.4.1941:=CN=SonarAllowedUsers,OU=Security Groups,DC=yourdomain,DC=com))
ldap.user.realNameAttribute=displayName
ldap.user.emailAttribute=mail

# 组配置
ldap.group.baseDn=OU=Security Groups,DC=yourdomain,DC=com
ldap.group.request=(&(objectClass=group)(sAMAccountName={group}))
ldap.group.idAttribute=sAMAccountName
ldap.group.memberAttribute=member
ldap.group.nameAttribute=name

修改配置后一定要重启SonarQube服务，然后用不同组的用户测试登录效果。

内容的提问来源于stack exchange，提问作者Mark Conway