Configuración de la sincronización LDAP

Para simplificar el proceso de conexión y acceso a las redes de la empresa, Enterprise Server facilita la compatibilidad con servicios de directorio a través de su interfaz de navegador.

Esto ofrece sincronización de usuarios de dominio basada en Lightweight Directory Access Protocol (LDAP), que consulta el servidor LDAP central de la red para recuperar la información de pertenencia a grupos de usuarios y roles del dominio. Autenticar a los usuarios del dominio mediante los servicios de directorio establecidos de esta manera ofrece el potencial de un único inicio de sesión para acceder a todos los sistemas de la empresa, incluido Enterprise Server.

La sincronización LDAP de Enterprise Server consulta los servicios de red en función de los roles de usuario, donde se recopila información de pertenencia a roles para la autorización de acceso de usuarios a Enterprise Server. Sondear la pertenencia al dominio a través del servicio LDAP (sincronización) permite al sistema responder a un cambio de configuración de un usuario del dominio dentro de un ciclo de sincronización.

Sincronización LDAP

Una sincronización LDAP permite a un administrador de un Workspace de Enterprise Server aprovechar las credenciales existentes de nombre de usuario y contraseña del dominio de red, de modo que no sea necesario crear credenciales de usuario manualmente, una por una, en la Users página de la interfaz de navegador del Workspace. Cuando se configura correctamente, la Users página se rellenará automáticamente con credenciales de usuario, lo que permitirá que cualquier usuario listado acceda al Workspace con su nombre de usuario y contraseña habituales de la red corporativa.

Este artículo detalla un enfoque comprobado que se ha utilizado con éxito para configurar una sincronización LDAP en un dominio. Pruebe este enfoque al configurar una sincronización LDAP en su propio dominio.

¿Qué necesito?

• Acceso administrativo al Workspace.
• Opcionalmente, una utilidad extremadamente útil es una aplicación llamada LDAP Admin (descargue LdapAdminExe-<version>.zip desde https://sourceforge.net/projects/ldapadmin/ )

Obtención de la cadena de búsqueda LDAP (Nombre distintivo)

Al configurar una tarea de sincronización LDAP a través de la interfaz basada en navegador del Workspace, debe proporcionar el Nombre distintivo LDAP (DN). Esto se introduce en formato de cadena e identifica el objeto base de la búsqueda LDAP. Para obtener esta cadena, vamos a utilizar la utilidad LDAP Admin, así que primero asegúrese de descargar el archivo zip y extraiga el ejecutable LdapAdmin que contiene.

Descargue y extraiga el archivo LdapAdmin.exe.

Ejecute el ejecutable LdapAdmin.exe como Administrador (simplemente haga clic con el botón derecho sobre él y seleccione Run as administrator).

Cuando se abra el panel LDAP Admin, elija Start » Connect para acceder al cuadro de diálogo Connections , luego haga doble clic en New connection para acceder al cuadro de diálogo Connection properties.

Creación de una nueva conexión dentro de la utilidad LDAP Admin.

En la pestaña General del cuadro de diálogo Connection properties, configure la información de conexión en relación con su dominio; un ejemplo podría ser:

• Connection name: simplemente cualquier nombre arbitrario que se utilizará para el icono de la conexión.
• Host: testsite.com
• Port: 389

• Base: DC=testsite, DC=com
• Habilite la opción GSS-API.

• Account: simplemente deje habilitada la opción Use current user credentials .

Ejemplo de una conexión configurada cuando se utiliza LDAP estándar. Si usa LDAPS (LDAP sobre SSL), cambie el puerto a 636 y habilite la opción SSL.

Con las propiedades de conexión configuradas, pulse el botón Test connection. Si todo está configurado correctamente, debería ver el mensaje Connection is successful. Haga clic en OK para terminar de crear la nueva conexión.

Ahora debe identificar la cadena que apunta al objeto base de la búsqueda LDAP. Para ello:

1. Seleccione la conexión recién creada y haga clic en OK en el cuadro de diálogo Connections ; se mostrará la jerarquía de su dominio de red y sus grupos de usuarios.
2. Expanda la ruta de carpetas correspondiente hasta llegar a la carpeta que contiene los usuarios necesarios.
3. Haga clic con el botón derecho sobre esta carpeta y elija el comando Search en el menú contextual. Esto abrirá el panel Search . La información clave que busca es la cadena ya rellenada en el campo Path . Leyendo de izquierda a derecha, esta cadena representa la ruta a esta carpeta de usuarios desde abajo hacia arriba dentro de la estructura del dominio. Para nuestro ejemplo, asumiremos una carpeta de usuarios específicos, Engineers, que es hija de la carpeta principal, Users. En este caso, nuestra cadena es: OU=Engineers,OU=Users,DC=testsite,DC=com.
4. Copie y pegue esta cadena en un archivo de texto para usarla posteriormente en el proceso de configuración, u opcionalmente deje accesible el panel Search .

En este punto, la utilidad LDAP Admin ya no es necesaria para ningún paso posterior.

Configuración del Workspace para usar sincronización LDAP

Ahora inicie sesión en el Workspace de destino, a través de su interfaz de navegador, como Administrador. Si pretende crear credenciales de usuario automáticamente desde LDAP, probablemente querrá eliminar los usuarios existentes creados manualmente. Por lo tanto, lo ideal es empezar solo con el usuario administrativo predeterminado, admin (en la página Admin - Users de la interfaz).

Ejemplo de un Workspace de destino con solo el usuario administrativo predeterminado, admin.

Si desea que los usuarios de la sincronización LDAP estén asociados a un grupo específico, puede ir a la página Groups y crear un nuevo grupo según sea necesario (por ejemplo, Electrical Designers, Mechanical Designers, PCB Specialists, etc.), dejándolo sin usuarios. El ejemplo aquí utiliza el grupo predeterminado que formaba parte de los datos de muestra instalados, llamado Engineers.

Ahora vaya a la página LDAP Sync y haga clic en el botón (o en el enlace Create a new one en este caso) para acceder a la ventana LDAP Sync Creation.

Adición de una nueva tarea de sincronización LDAP a través de la interfaz de navegador del Workspace.

Complete la siguiente información (basada en la estructura de dominio de ejemplo utilizada en la sección anterior):

General

• Target Role: Engineers

• Distinguished Name: OU=Engineers,OU=Users,DC=testsite,DC=com

  Esta es la cadena obtenida del campo Path del panel Search , al usar la utilidad LDAP Admin en la sección anterior.

• Url: LDAP://testsite.com:389

  Si se configura LDAPS (LDAP sobre SSL), entonces el valor de Url en este ejemplo sería: LDAPS://testsite.com:636.

• Scope: sub

• Attributes: sAMAccountName

• Filter: deje este campo en blanco para adquirir todos los usuarios del grupo especificado determinado en el dominio (en el campo DN ). Si el área designada de la estructura del dominio contuviera agrupaciones adicionales de usuarios, podría extraer solo un subconjunto de esos usuarios utilizando aquí una cadena de filtrado adecuada.

  Por ejemplo, considere si hubiera un conjunto de usuarios bajo el grupo de Ingenieros, reunidos para tener poderes administrativos (CN=Administrators). Para dirigirse solo a este conjunto de usuarios, y no a todos los Ingenieros (bajo el área OU=Engineers de la estructura del dominio), podría escribirse una cadena de consulta que apunte a este punto de la estructura del dominio:

  (&(objectClass=user)(memberof=CN=Administrators,OU=Engineers,OU=Users,DC=testsite,DC=com))

  Aunque el campo Filter puede dejarse en blanco, devolviendo todos los usuarios a lo largo de la ruta definida por el campo DN , esto puede ser bastante peligroso. Esa ruta podría estar apuntando a un área de la estructura del dominio que contenga una enorme cantidad de usuarios, y podría bloquear a toda la organización debido a la carga excesiva sobre Enterprise Server y Active Directory. Realmente es mejor apuntar a uno o más conjuntos de usuarios específicos usando un filtrado dedicado.

Asignación de atributos

• First Name: givenName
• Last Name: sn
• Email: mail
• User Name: sAMAccountName
• Overwrite existing users – cuando está habilitado, la sincronización LDAP reemplazará los usuarios creados manualmente por los devueltos por la consulta de sincronización, siempre que los nombres de los usuarios coincidan exactamente.

Autenticación

• User Name: domain\<your username> (p. ej. testsite\jason.howie)
• Password: <your password>
• User authentication type: Windows
• Domain: testsite.com

Ejemplo de tarea de sincronización LDAP configurada con toda la información necesaria al usar LDAP estándar. Si usa LDAPS (LDAP sobre SSL), la entrada Url se cambiaría a LDAPS://testsite.com:636.

Cuando haya terminado de introducir toda la configuración, haga clic en . Esto iniciará el proceso de sincronización, que puede tardar uno o dos minutos, mientras procesa la información que acaba de introducir.

Ahora acceda a la página Users . Esta lista ahora debería estar rellenada con todos los usuarios según lo definido por la configuración OU=<GroupName> (consulte la imagen de ejemplo a continuación). Ahora cualquiera puede acceder al Workspace usando su inicio de sesión habitual de Windows.

Ejemplo de carga de usuarios para un Workspace mediante el uso de una sincronización LDAP.