Configuración de la sincronización LDAP

Para simplificar el proceso de conexión y acceso a las redes de la empresa, Enterprise Server facilita la compatibilidad con servicios de directorio a través de su interfaz de navegador.

Esto ofrece sincronización de usuarios de dominio basada en Lightweight Directory Access Protocol (LDAP), que consulta el servidor LDAP central de la red para recuperar la información de pertenencia a grupos y roles de los usuarios del dominio. Autenticar a los usuarios del dominio a través de servicios de directorio establecidos de esta manera ofrece la posibilidad de un único inicio de sesión para acceder a todos los sistemas de la empresa, incluido Enterprise Server.

La sincronización LDAP de Enterprise Server consulta los servicios de red en función del rol del usuario, donde se recopila la información de pertenencia a roles para la autorización de acceso de usuarios de Enterprise Server. Sondear la pertenencia al dominio mediante el servicio LDAP (sincronización) permite que el sistema responda a un cambio en la configuración de un usuario de dominio dentro de un ciclo de sincronización.

Sincronización LDAP

Una sincronización LDAP permite a un administrador de un Workspace de Enterprise Server aprovechar las credenciales existentes de nombre de usuario y contraseña del dominio de red, de modo que no sea necesario crear manualmente las credenciales de usuario una por una en la página Users de la interfaz del navegador del Workspace. Cuando se configura correctamente, la página Users se rellenará automáticamente con las credenciales de usuario, permitiendo que cualquier usuario listado acceda al Workspace usando su nombre de usuario y contraseña habituales de la red corporativa.

Este artículo describe un enfoque probado que se ha utilizado con éxito para configurar una sincronización LDAP en un dominio. Pruebe este enfoque al configurar una sincronización LDAP en su propio dominio.

¿Qué necesito?

• Acceso administrativo al Workspace.
• Opcionalmente, una utilidad extremadamente útil es una aplicación llamada LDAP Admin (descargue LdapAdminExe-<version>.zip desde https://sourceforge.net/projects/ldapadmin/ )

Obtención de la cadena de búsqueda LDAP (Distinguished Name)

Al configurar una tarea de sincronización LDAP mediante la interfaz basada en navegador del Workspace, debe proporcionar el LDAP Distinguished Name (DN). Este se introduce en formato de cadena e identifica el objeto base de la búsqueda LDAP. Para obtener esta cadena, vamos a usar la utilidad LDAP Admin, así que primero asegúrese de descargar el archivo zip y extraer el ejecutable LdapAdmin que contiene.

Descargue y extraiga el archivo LdapAdmin.exe.

Ejecute el ejecutable LdapAdmin.exe como administrador (simplemente haga clic con el botón derecho sobre él y seleccione Run as administrator).

Cuando se abra el panel LDAP Admin, elija Start » Connect para acceder al cuadro de diálogo Connections , luego haga doble clic en New connection para acceder al cuadro de diálogo Connection properties.

Creación de una nueva conexión dentro de la utilidad LDAP Admin.

En la pestaña General del cuadro de diálogo Connection properties, configure la información de conexión en relación con su dominio; un ejemplo podría ser:

• Connection name: simplemente cualquier nombre arbitrario que se usará para el icono de conexión.
• Host: testsite.com
• Port: 389

Si está configurando LDAPS (LDAP sobre SSL), entonces el puerto debe ser 636.

• Base: DC=testsite, DC=com
• Active la opción GSS-API.

Si está configurando LDAPS (LDAP sobre SSL), entonces también debe activar la opción SSL .

• Account: simplemente deje activada la opción Use current user credentials .

Ejemplo de una conexión configurada al usar LDAP estándar. Si usa LDAPS (LDAP sobre SSL), cambie el puerto a 636 y active la opción SSL.

Con las propiedades de la conexión configuradas, pulse el botón Test connection. Si todo está configurado correctamente, debería ver el mensaje Connection is successful. Haga clic en OK para terminar de crear la nueva conexión.

Ahora necesita identificar la cadena que apunta al objeto base de la búsqueda LDAP. Para ello:

1. Seleccione su conexión recién creada y haga clic en OK en el cuadro de diálogo Connections ; se mostrarán su dominio de red y la jerarquía de grupos de usuarios.
2. Expanda la ruta de carpeta correspondiente hasta llegar a la carpeta que contiene los usuarios requeridos.
3. Haga clic con el botón derecho en esta carpeta y elija el comando Search en el menú contextual. Esto abrirá el panel Search . La información clave que necesita es la cadena ya rellenada en el campo Path . Leída de izquierda a derecha, esta cadena representa la ruta a esta carpeta de usuarios de abajo hacia arriba dentro de la estructura del dominio. Para nuestro ejemplo, asumiremos una carpeta de usuarios específicos —Engineers— que es hija de la carpeta principal —Users. En este caso, nuestra cadena es: OU=Engineers,OU=Users,DC=testsite,DC=com.
4. Copie y pegue esta cadena en un archivo de texto para usarla posteriormente en el proceso de configuración o, de forma opcional, simplemente deje accesible el panel Search .

En este punto, la utilidad LDAP Admin ya no es necesaria para ningún paso posterior.

Configuración del Workspace para usar sincronización LDAP

Ahora inicie sesión en el Workspace de destino —a través de su interfaz de navegador— como administrador. Si pretende crear credenciales de usuario desde LDAP automáticamente, probablemente querrá eliminar cualquier usuario existente creado manualmente. Por lo tanto, lo ideal es comenzar solo con el usuario administrativo predeterminado —admin— (en la página Admin - Users de la interfaz).

Ejemplo de Workspace de destino, solo con el usuario administrativo predeterminado, admin.

Si desea que los usuarios de la sincronización LDAP estén asociados con un grupo específico, puede cambiar a la página Groups y crear un nuevo grupo según sea necesario (p. ej., Electrical Designers, Mechanical Designers, PCB Specialists, etc.), dejándolo sin usuarios. El ejemplo aquí utiliza el grupo predeterminado que formaba parte de los datos de ejemplo instalados, llamado Engineers.

Ahora cambie a la página LDAP Sync y haga clic en el botón (o en el enlace Create a new one en este caso) para acceder a la ventana LDAP Sync Creation.

Agregar una nueva tarea de sincronización LDAP mediante la interfaz de navegador del Workspace.

Complete la siguiente información (basada en la estructura de dominio de ejemplo usada en la sección anterior):

General

• Target Role: Engineers

• Distinguished Name: OU=Engineers,OU=Users,DC=testsite,DC=com

  Esta es la cadena obtenida del campo Path del panel Search , al usar la utilidad LDAP Admin en la sección anterior.

• Url: LDAP://testsite.com:389

  Si configura LDAPS (LDAP sobre SSL), entonces la Url en este ejemplo sería: LDAPS://testsite.com:636.

• Scope: sub

• Attributes: sAMAccountName

• Filter: deje este campo en blanco para obtener todos los usuarios del grupo especificado determinado en el dominio (en el campo DN ). Si el área designada de la estructura del dominio contuviera agrupaciones adicionales de usuarios, podría extraer solo un subconjunto de esos usuarios usando aquí una cadena de filtrado apropiada.

  Por ejemplo, considere que hubiera un conjunto de usuarios dentro del grupo de Ingenieros, reunidos para tener privilegios administrativos (CN=Administrators). Para dirigirse solo a este conjunto de usuarios, y no a todos los Ingenieros (dentro del área OU=Engineers de la estructura del dominio), podría escribirse una cadena de consulta que apunte a este punto de la estructura del dominio:

  (&(objectClass=user)(memberof=CN=Administrators,OU=Engineers,OU=Users,DC=testsite,DC=com))

  Aunque el campo Filter puede dejarse en blanco, devolviendo todos los usuarios a lo largo de la ruta definida por el campo DN , esto puede ser bastante peligroso. Esa ruta podría estar apuntando a un área de la estructura del dominio que contiene una gran cantidad de usuarios, y podría bloquear a toda la organización debido a una carga excesiva sobre Enterprise Server y Active Directory. Realmente es mejor apuntar a uno o más conjuntos de usuarios específicos, utilizando filtrado dedicado.

Asignación de atributos

• First Name: givenName
• Last Name: sn
• Email: mail
• User Name: sAMAccountName
• Overwrite existing users – cuando está activada, la sincronización LDAP reemplazará los usuarios creados manualmente por los devueltos por la consulta de sincronización, siempre que los nombres de los usuarios coincidan exactamente.

Autenticación

• User Name: domain\<your username> (p. ej. testsite\jason.howie)
• Password: <your password>
• User authentication type: Windows
• Domain: testsite.com

Ejemplo de tarea de sincronización LDAP configurada con toda la información requerida al usar LDAP estándar. Si usa LDAPS (LDAP sobre SSL), la entrada Url se cambiaría a LDAPS://testsite.com:636.

Cuando haya terminado de introducir toda la configuración, haga clic en . Esto iniciará el proceso de sincronización, que puede tardar uno o dos minutos mientras procesa la información que acaba de introducir.

Ahora acceda a la página Users . Esta lista ahora debería rellenarse con todos los usuarios según lo definido por la configuración OU=<GroupName> (vea la imagen de ejemplo a continuación). Ahora cualquiera puede acceder al Workspace usando su inicio de sesión habitual de Windows.

Ejemplo de población de usuarios para un Workspace mediante el uso de una sincronización LDAP.