WvdS.DokuWiki.Entra Plugin

Plugin: wvdsentra
Version: 1.0.0 (Phase 1)
Namespace: lib/plugins/wvdsentra/
Typ: Authentifizierungs-Backend (authtype)
Autor: Wolfgang van der Stille Wolfgang.van.der.Stille@gmail.com (The White Knight Labs)
Lizenz: GPL 2

Das wvdsentra Plugin authentifiziert DokuWiki-Benutzer gegen Entra ID / Azure AD in Hybrid-Umgebungen (On-Prem AD oder Azure AD DS mit erreichbarem LDAP) und hält die IdP-Gruppenmitgliedschaft mit den DokuWiki-ACL-Gruppen zur Laufzeit synchron.

Es erweitert das gebündelte authad-Backend und ändert daran nur zwei Dinge:

• Gruppen-Remapping — rohe AD-Gruppen werden über eine konfigurierbare Tabelle auf

DokuWiki-Gruppen (@user/@wvds/@wvdse/@admin) abgebildet.

• Break-Glass-Fallback — konfigurierte lokale Konten werden gegen conf/users.auth.php

geprüft, auch bei AD-Ausfall (Schutz vor Total-Aussperrung).

Die gesamte adLDAP-/memberOf-/SSO-Mechanik stammt unverändert von authad.

• Entra/AD ist Quelle der Wahrheit für Identität + Gruppenmitgliedschaft.
• acl.auth.php bleibt handgepflegte Quelle der Wahrheit dafür, was jede Gruppe darf.
• Bei jedem Login schreibt das Plugin die gemappten DokuWiki-Gruppen in $USERINFO['grps'].

Dieselbe eine Injektion steuert Kern-ACL, <ifgroup> (wvdscond) und wkacmenu.

• Es wird niemals in acl.auth.php oder users.auth.php geschrieben — keine Drift,

kein Cron-Job.

• Zentrale Zugriffssteuerung — AD-Gruppen bestimmen die Wiki-Berechtigung; neue Mitarbeiter

erhalten Zugriff automatisch über ihre AD-Mitgliedschaft.

• Hybrid-SSO — Formular-Login gegen AD, optional echtes Windows-SSO über IIS Integrated

Windows Authentication (sso=1, REMOTE_USER) auf domänen-/Azure-AD-DS-gejointem Host.

• KRITIS/NIS2-konforme Rechtevergabe — Autorisierung bleibt nachvollziehbar in der

handgepflegten ACL; Identität kommt aus dem zentralen, gehärteten Verzeichnis.

// conf/local.php
$conf['authtype'] = 'wvdsentra';
$conf['plugin']['wvdsentra']['base_dn']            = 'DC=corp,DC=example,DC=org';
$conf['plugin']['wvdsentra']['domain_controllers'] = 'dc01.corp.example.org';
$conf['plugin']['wvdsentra']['use_ssl']            = 1;      // LDAPS (empfohlen)
$conf['plugin']['wvdsentra']['account_suffix']     = '@corp.example.org';
$conf['plugin']['wvdsentra']['local_fallback_users'] = 'zpetrusic,wvdsverify'; // Break-Glass-Admins
// Optional echtes Windows-SSO (domaenen-gejointer IIS-Host):
// $conf['plugin']['wvdsentra']['sso'] = 1;

Die Gruppen-Abbildung wird nicht hier, sondern in der Admin-UI gepflegt (Ablage conf/wvdsentra.json).

Die Abbildung bildet rohe IdP-Gruppennamen (case-insensitiv) auf DokuWiki-Gruppen ab.

• Die Standardgruppe (Default: user) wird immer ergänzt, sodass jeder authentifizierte

Nutzer mindestens die Basis-Leserolle erhält.

• GUID-Schlüssel (reine Entra-Cloud-Gruppen, Phase 2) werden wie normale Schlüssel behandelt.

Aufruf: do=admin&page=wvdsentra (nur Superuser). Vier Panels:

Der Simulator ist das zentrale Werkzeug, um eine Abbildung vor dem Scharfschalten zu prüfen: Er zeigt für einen Testbenutzer die rohen IdP-Gruppen, die daraus abgeleiteten DokuWiki-Gruppen und die resultierende ACL-Wirkung (NONE/READ/EDIT/UPLOAD/ADMIN) an repräsentativen Namespaces — gegen die derzeit aktive acl.auth.php, ohne die Session zu verändern.

• Aussperr-Schutz — Break-Glass-Fallback plus Lockout-Guard (warnt, wenn keine Regel auf eine

Superuser-Gruppe mappt). Recovery: authtype temporär auf authplain.

• Transport — LDAPS/StartTLS erzwingen; Service-Bind-Passwort nur in local.php/Vault,

nie im Output (CWE-319).

• CSRF — jeder Schreibpfad prüft checkSecurityToken() (CWE-352).
• XSS — alle IdP-/Nutzer-Werte via hsc() bzw. clientseitigem Escaping (CWE-79).
• Least Privilege — Admin-UI und AJAX-Endpunkte sind superuser-only (auth_isadmin()).

Die Admin-UI ist unter .wk-entra gescopet und färbt sich über den WvdS-Styles-Contract ein. Jeder –we-*-Token konsumiert einen Contract-Token mit Fluent-getöntem Literal als Fallback, sodass die UI auch im Stock-dokuwiki-Template professionell aussieht. Vollständige Tabelle: siehe lib/plugins/wvdsentra/README.md und Styles-Contract (--wk-*).

• PHP-ldap-Erweiterung (im IIS-PHP geprüft: vorhanden in C:\PHP\8.3).
• Erreichbarer LDAP(S)-Endpunkt zu On-Prem AD oder Azure AD DS.
• Phase 2 (OIDC) zusätzlich: stabile HTTPS-Redirect-URI und eine JWT-Bibliothek.

• WvdS.DokuWiki.Cond Plugin — Bedingte Inhalte (<ifgroup>), konsumiert dieselben Gruppen aus grps
• wkacmenu — ACL-aware Akkordeon-Menü, filtert nach Lesbarkeit
• Styles-Contract (--wk-*) — Verbindliche –wk-*-Design-Tokens

Datei: lib/plugins/wvdsentra/auth.php (extends auth_plugin_authad)

Datei: lib/plugins/wvdsentra/GroupMapper.php

Datei: lib/plugins/wvdsentra/MappingStore.php

<wk:audit stack=„doku“ title=„wvdsentra Plugin“>

<wk:include ref="code:qualitaet" critical="true">[x][x][x][x]</wk:include>
<wk:include ref="stacks:dokuwiki-php">[x][x][x][x][x]</wk:include>
<wk:include ref="sicherheit:kritis" critical="true">[x][x][x][x][x]</wk:include>

</wk:audit>

DISCUSSION