Configuración de la sincronización LDAP

Parent page: Temas avanzados

Para simplificar el proceso de conexión y acceso a las redes de la empresa, Enterprise Server facilita la compatibilidad con servicios de directorio a través de su interfaz de navegador.

Esto ofrece sincronización de usuarios de dominio basada en Lightweight Directory Access Protocol (LDAP), que consulta el servidor LDAP central de la red para recuperar la información de pertenencia a grupos y roles de usuarios del dominio. Autenticar a los usuarios del dominio mediante servicios de directorio establecidos de esta manera ofrece la posibilidad de un único inicio de sesión para acceder a todos los sistemas de la empresa, incluido Enterprise Server.

La sincronización LDAP de Enterprise Server consulta los servicios de red en función del rol del usuario, donde se recopila la información de pertenencia a roles para la autorización de acceso de usuarios a Enterprise Server. Sondear la pertenencia al dominio a través del servicio LDAP (sincronización) permite que el sistema responda a un cambio en la configuración de un usuario del dominio dentro de un ciclo de sincronización.

Sincronización LDAP

Una sincronización LDAP permite a un administrador de un Workspace de Enterprise Server aprovechar las credenciales existentes de nombre de usuario y contraseña del dominio de red, de modo que no sea necesario crear manualmente las credenciales de usuario una por una en la Users página de la interfaz del navegador del Workspace. Cuando se configura correctamente, la Users página se rellenará automáticamente con las credenciales de usuario, permitiendo que cualquier usuario listado acceda al Workspace con su nombre de usuario y contraseña habituales de la red corporativa.

Este artículo detalla un enfoque probado que se ha utilizado con éxito al configurar una sincronización LDAP en un dominio. Pruebe este enfoque al configurar una sincronización LDAP en su propio dominio.

¿Qué necesito?

• Acceso administrativo al Workspace.
• Opcionalmente, una utilidad extremadamente útil es una aplicación llamada LDAP Admin (descargue LdapAdminExe-<version>.zip desde https://sourceforge.net/projects/ldapadmin/ )

Obtención de la cadena de búsqueda LDAP (Distinguished Name)

Al configurar una tarea de sincronización LDAP a través de la interfaz basada en navegador del Workspace, debe proporcionar el Distinguished Name (DN) de LDAP. Este se introduce en formato de cadena e identifica el objeto base de la búsqueda LDAP. Para obtener esta cadena, vamos a utilizar la utilidad LDAP Admin, así que primero asegúrese de descargar el archivo zip y extraer el ejecutable LdapAdmin que contiene.

Descargue y extraiga el archivo LdapAdmin.exe.

Ejecute el ejecutable LdapAdmin.exe como Administrador (simplemente haga clic con el botón derecho sobre él y seleccione Run as administrator).

Cuando se abra el panel LDAP Admin, elija Start » Connect para acceder al cuadro de diálogo Connections , luego haga doble clic en New connection para acceder al cuadro de diálogo Connection properties.

Creación de una nueva conexión dentro de la utilidad LDAP Admin.

En la pestaña General del cuadro de diálogo Connection properties, configure la información de conexión en relación con su dominio; un ejemplo podría ser:

• Connection name: cualquier nombre arbitrario que se usará para el icono de conexión.
• Host: testsite.com
• Port: 389

• Base: DC=testsite, DC=com
• Habilite la opción GSS-API.

• Account: simplemente deje habilitada la opción Use current user credentials .

Ejemplo de una conexión configurada al usar LDAP estándar. Si usa LDAPS (LDAP sobre SSL), cambie el puerto a 636 y habilite la opción SSL.

Con las propiedades de conexión configuradas, pulse el botón Test connection. Si todo está configurado correctamente, debería ver el mensaje Connection is successful. Haga clic en OK para terminar de crear la nueva conexión.

Ahora necesita identificar la cadena que apunta al objeto base de la búsqueda LDAP. Para hacerlo:

1. Seleccione su conexión recién creada y haga clic en OK en el cuadro de diálogo Connections ; se mostrarán la jerarquía del dominio de red y de los grupos de usuarios.
2. Expanda la ruta de carpetas pertinente hasta llegar a la carpeta que contiene los usuarios requeridos.
3. Haga clic con el botón derecho sobre esta carpeta y elija el comando Search del menú contextual. Esto abrirá el panel Search . La información clave que necesita es la cadena ya rellenada en el campo Path . Leída de izquierda a derecha, esta cadena representa la ruta a esta carpeta de usuarios desde abajo hacia arriba, dentro de la estructura del dominio. Para nuestro ejemplo, asumiremos una carpeta de usuarios específicos —Engineers— que es hija de la carpeta principal —Users. En este caso, nuestra cadena es: OU=Engineers,OU=Users,DC=testsite,DC=com.
4. Copie y pegue esta cadena en un archivo de texto para usarla posteriormente en el proceso de configuración, o bien simplemente deje accesible el panel Search .

En este punto, la utilidad LDAP Admin ya no es necesaria para los pasos siguientes.

Configuración del Workspace para usar sincronización LDAP

Ahora inicie sesión en el Workspace de destino —a través de su interfaz de navegador— como Administrador. Si pretende crear automáticamente credenciales de usuario desde LDAP, probablemente querrá eliminar cualquier usuario existente creado manualmente. Así que, idealmente, comience solo con el usuario administrativo predeterminado —admin (en la página Admin - Users de la interfaz).

Ejemplo de Workspace de destino, con solo el usuario administrativo predeterminado, admin.

Si desea que los usuarios de la sincronización LDAP se asocien con un rol específico, puede cambiar a la página Roles y crear un nuevo rol según sea necesario (por ejemplo, Electrical Designers, Mechanical Designers, PCB Specialists, etc.), dejándolo sin usuarios. El ejemplo aquí utiliza el rol predeterminado que formaba parte de los datos de ejemplo instalados, llamado Engineers.

Ahora cambie a la página LDAP Sync y haga clic en el botón (o en el enlace Create a new one en este caso) para acceder a la ventana LDAP Sync Creation.

Adición de una nueva tarea de sincronización LDAP a través de la interfaz del navegador del Workspace.

Complete la siguiente información (basándose en la estructura de dominio de ejemplo utilizada en la sección anterior):

General

• Target Role: Engineers

• Distinguished Name: OU=Engineers,OU=Users,DC=testsite,DC=com

  Esta es la cadena obtenida del campo Path del panel Search , al usar la utilidad LDAP Admin en la sección anterior.

• Url: LDAP://testsite.com:389

  Si configura LDAPS (LDAP sobre SSL), entonces la entrada Url en este ejemplo sería: LDAPS://testsite.com:636.

• Scope: sub

• Attributes: sAMAccountName

• Filter: deje este campo en blanco para obtener todos los usuarios del grupo especificado determinado en el dominio (en el campo DN ). Si el área designada de la estructura del dominio contuviera más agrupaciones de usuarios, podría extraer solo un subconjunto de esos usuarios usando aquí una cadena de filtrado adecuada.

  Por ejemplo, considere que hubiera un conjunto de usuarios dentro del grupo de Ingenieros, reunidos para tener privilegios administrativos (CN=Administrators). Para apuntar solo a este conjunto de usuarios, y no a todos los Ingenieros (dentro del área OU=Engineers de la estructura del dominio), podría escribirse una cadena de consulta que apunte a este punto de la estructura del dominio:

  (&(objectClass=user)(memberof=CN=Administrators,OU=Engineers,OU=Users,DC=testsite,DC=com))

  Aunque el campo Filter puede dejarse en blanco, devolviendo todos los usuarios a lo largo de la ruta definida por el campo DN , esto puede ser bastante peligroso. Esa ruta podría estar apuntando a un área de la estructura del dominio que contiene una enorme cantidad de usuarios, y podría bloquear a toda la organización debido a la carga excesiva en Enterprise Server y Active Directory. Realmente es mejor apuntar a uno o más conjuntos de usuarios específicos, usando filtrado dedicado.

Attribute Mapping

• First Name: givenName
• Last Name: sn
• Email: mail
• User Name: sAMAccountName
• Overwrite existing users – cuando está habilitada, la sincronización LDAP reemplazará a los usuarios creados manualmente con los devueltos por la consulta de sincronización, siempre que los nombres de los usuarios coincidan exactamente.

Authentication

• User Name: domain\<your username> (p. ej. testsite\jason.howie)
• Password: <your password>
• User authentication type: Windows
• Domain: testsite.com

Ejemplo de tarea de sincronización LDAP, configurada con toda la información requerida al usar LDAP estándar. Si usa LDAPS (LDAP sobre SSL), la entrada Url cambiaría a LDAPS://testsite.com:636.

Cuando haya terminado de introducir todos los ajustes, haga clic en . Esto iniciará el proceso de sincronización, que puede tardar uno o dos minutos, mientras procesa la información que acaba de introducir.

Ahora acceda a la página Users . Esta lista debería estar ahora rellenada con todos los usuarios tal como los define la configuración OU=<GroupName> (vea la imagen de ejemplo a continuación). Ahora cualquiera puede acceder al Workspace usando su inicio de sesión habitual de Windows.

Ejemplo de población de usuarios para un Workspace mediante el uso de una sincronización LDAP.