ALT Linux Bugzilla – #59878

Альт Платформа 11.0 х86_64
docs-alt-platform-11.0-alt2

12.4.5. Аутентификация и авторизация
⁠12.4.5.1. LDAP

1) Развернула Альт домен (samba AD) по официальной документации https://docs.altlinux.org/ru-RU/alt-server/11.1/html/alt-server/sambadc--chapter.html

2) Создала пользователя administrator_zot:
# samba-tool user show administrator_zot
dn: CN=administrator_zot,OU=OU,DC=test,DC=alt
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: user
cn: administrator_zot
instanceType: 4
whenCreated: 20260717153137.0Z
uSNCreated: 4198
name: administrator_zot
objectGUID: be3c658d-5f60-4380-bb53-05381f01b499
badPwdCount: 0
codePage: 0
countryCode: 0
badPasswordTime: 0
lastLogoff: 0
lastLogon: 0
primaryGroupID: 513
objectSid: S-1-5-21-432279862-4232880455-1173469045-1104
accountExpires: 9223372036854775807
logonCount: 0
sAMAccountName: administrator_zot
sAMAccountType: 805306368
userPrincipalName: administrator_zot@test.alt
objectCategory: CN=Person,CN=Schema,CN=Configuration,DC=test,DC=alt
pwdLastSet: 134287758971984609
userAccountControl: 512
whenChanged: 20260720114649.0Z
uSNChanged: 4202
distinguishedName: CN=administrator_zot,OU=OU,DC=test,DC=alt

3) Сервер с zot НЕ входит в домен (достаточно, чтобы сервер zot имел сетевой доступ к LDAP/Active Directory), при этом dc1.test.alt резолвится:
# resolve dc1.test.alt
IP address of dc1.test.alt: 10.88.11.74

4) Конфигурация /etc/zot/config.json
"http":{
...
        "auth": {
                "ldap": {
                        "insecure": true,
                        "address": "dc1.test.alt",
                        "port": 389,
                        "startTLS": true,
                        "baseDN": "OU=OU,DC=test,DC=alt",
                        "userAttribute": "sAMAccountName",
                        "userGroupAttribute": "memberOf",
                        "skipVerify": true,
                        "credentialsFile": "/etc/zot/ldap-creds.json"
                }
        }
    }
...

5) Конфигурация /etc/zot/ldap-creds.json:
{
  "bindDN": "cn=administrator_zot@test.alt",
  "bindPassword": "P@$$word"
}

Результат: При попытке входа в веб-интерфейс пользователем administrator_zot возникает ошибка:
июл 20 15:31:22 host-192 zot[1157]: {"time":"2026-07-20T15:31:22.845450117+03:00","level":"error","message":"failed to bind","error":"LDAP Result Code 49 \"Invalid Credentials\": 80090308: LdapErr: DSID-0C0903A9, comment: AcceptSecurityContext error, data 52e, v1db1","bindDN":"cn=administrator_zot@test.alt","caller":"zotregistry.dev/zot/v2/pkg/api/ldap.go:144","func":"zotregistry.dev/zot/v2/pkg/api.(*LDAPClient).Authenticate","goroutine":46}

Ожидаемый результат: успешный вход

Дополнительно: нейросети подсказали вот что:
в /etc/zot/ldap-creds.json должно быть, например:
{
    "bindDN": "CN=administrator_zot,CN=Users,DC=test,DC=alt",
    "bindPassword": "ПАРОЛЬ"
}

ИЛИ 

{
    "bindDN": "administrator_zot@test.alt",
    "bindPassword": "ПАРОЛЬ"
}
Я попробовала прописать оба предложенных решений, вход выполнился успешно.
Прошу исправить в документации.

Дополнительно 2. 
Кроме того, я проставила параметры в /etc/zot/config.json не как в документации
"startTLS": true,
"skipVerify": true
(см. шаг 4)
Потому что сервер Zot не доверяет сертификату контроллера домена.
Но в тексте указана данная конфигурация _как пример_, поэтому придраться не к чему.