Аутентификация с использованием LDAP

Дарья Барышева

ADB Control поддерживает аутентификацию пользователей с использованием протокола Lightweight Directory Access Protocol (LDAP). При использовании LDAP нет необходимости в ручном добавлении пользователей, как это требуется при базовой аутентификации: проверка учетных записей пользователей и их паролей выполняется на выбранном LDAP-сервере.

Для настройки LDAP-аутентификации выполните следующие шаги:

  1. Убедитесь, что LDAP-сервер настроен и доступен. ADB Control поддерживает две реализации протокола LDAP: Microsoft Active Directory (MS AD) и 389 Directory server в составе FreeIPA.

  2. Откройте конфигурационную страницу сервиса ADB Control в ADCM.

  3. Переведите переключатель UI LDAP authentication в активное состояние.

  4. Заполните следующие поля.

    Поле Описание Пример в MS AD

    LDAP type

    Тип LDAP-сервера. Возможные значения:

    • MSAD — Microsoft Active Directory;

    • FreeIPA — 389 Directory server в составе FreeIPA.

    MSAD

    LDAP URI

    URI для подключения к LDAP-серверу в формате <схема>://<хост>:<порт>. Например, ldap://example.com:389 или ldaps://example.com:636. Если номер порта не указан, используются стандартные номера: 389 для LDAP и 636 для LDAPS

    ldap://10.92.2.66:389

    Users baseDN

    Ограничение на область поиска объектов в каталоге LDAP, применяемое в запросах на поиск пользователей

    dc=ad,dc=ranger-test

    Groups baseDN

    Ограничение на область поиска объектов в каталоге LDAP, применяемое в запросах на поиск групп пользователей

    dc=ad,dc=ranger-test

    Users OUs

    Список OU для поиска пользователей. Если опция заполнена, поиск производится только в выбранных OU, иначе — относительно всего пути, указанного в Users baseDN. Каждое значение OU вводится в виде отдельной строки в формате ou=<name> (например, ou=users1)

    ou=Peoples

    Groups OUs

    Список OU для поиска групп пользователей. Если опция заполнена, поиск производится только в выбранных OU относительно Groups baseDN, иначе — относительно всего пути, указанного в Groups baseDN. Каждое значение OU вводится в виде отдельной строки в формате ou=<name> (например, ou=groups1)

    ou=Groups

    Group

    Имя группы, используемое в сервисных запросах к LDAP-серверу

     — 

    Login

    Имя пользователя, используемое в сервисных запросах к LDAP-серверу

    cn=admin,dc=ad,dc=ranger-test

    Password

    Пароль пользователя, используемый в сервисных запросах к LDAP-серверу

    Пароль пользователя admin

    Size limit

    Максимальное количество записей, возвращаемое LDAP-сервером

    1000

    Lowercase login

    Необходимо ли преобразование имен пользователей в нижний регистр

    false
    ВАЖНО

    • Различные реализации LDAP используют разные имена для типов и идентификаторов объектов. Обратитесь к администратору LDAP-сервера, чтобы уточнить формат параметров для вашей реализации LDAP.

    • Для использования LDAP по SSL (LDAPS) укажите схему ldaps в поле LDAP URI (например, ldaps://example.com:636).

    • Когда ADB Control входил в состав бандла ADB, CA-сертификат LDAP-сервера задавался через параметр Internal CA certificate in PEM format (optional) и автоматически импортировался в truststore сервиса ADB Control. В ADB ES этот параметр был удален. Если вы используете LDAPS, необходимо вручную импортировать CA-сертификат LDAP-сервера в truststore сервиса ADB Control.

  5. Нажмите Save. Примените действие Reconfigure & Restart к сервису ADB Control.

    Настройка LDAP-аутентификации для ADB Control в ADCM
    Настройка LDAP-аутентификации для ADB Control в ADCM

  6. В веб-интерфейсе ADB Control выполните сопоставление групп пользователей LDAP-сервера и ролей ADB Control. Это необходимо для того, чтобы пользователи LDAP получили соответствующие разрешения на работу в ADB Control. Процесс настройки описан в статье Авторизация.

Если все шаги выполнены успешно, пользователи смогут подключаться к ADB Control, используя учетные записи, зарегистрированные для них на LDAP-сервере.

Нашли ошибку? Выделите текст и нажмите Ctrl+Enter чтобы сообщить о ней