Configurazione della sincronizzazione LDAP

Updated: January 18, 2018

Per semplificare il processo di connessione e accesso alle reti aziendali, Altium Infrastructure Server supporta i servizi di directory tramite la propria interfaccia browser.

Ciò offre la sincronizzazione degli utenti di dominio basata su Lightweight Directory Access Protocol (LDAP), che interroga il server LDAP centrale della rete per recuperare le informazioni di appartenenza ai gruppi e ai ruoli degli utenti di dominio. L'autenticazione degli utenti di dominio tramite i servizi di directory esistenti in questo modo offre il potenziale di un accesso unico a tutti i sistemi aziendali, incluso Altium Infrastructure Server.

La sincronizzazione LDAP di Infrastructure Server interroga i servizi di rete in base ai ruoli utente, raccogliendo le informazioni di appartenenza ai ruoli per l'autorizzazione di accesso degli utenti di Infrastructure Server. L'interrogazione dell'appartenenza al dominio tramite il servizio LDAP (sincronizzazione) consente al sistema di rispondere a una modifica della configurazione di un utente di dominio entro un ciclo di sincronizzazione.

Per ulteriori informazioni sui principi, le funzionalità e la sintassi di implementazione di LDAP, vedere https://tools.ietf.org/html/rfc4510 e la relativa documentazione collegata.

Sincronizzazione LDAP

Una sincronizzazione LDAP consente all'amministratore di un Altium Infrastructure Server di sfruttare le credenziali di nome utente e password già esistenti nel dominio di rete, in modo che le credenziali utente non debbano essere create manualmente una alla volta nella pagina USERS dell'interfaccia browser di Infrastructure Server. Se configurata correttamente, la pagina USERS verrà popolata automaticamente con le credenziali utente, consentendo a qualsiasi utente elencato di accedere ad Altium Infrastructure Server utilizzando il normale nome utente e la password della rete aziendale.

Per accedere a Infrastructure Server utilizzando le credenziali di accesso di Windows, sfruttando il supporto di Infrastructure Server per l'autenticazione Windows, abilitare l'opzione Use Windows Session credentials.

Altium Infrastructure Server supporta sia Standard LDAP, sia LDAPS (LDAP su SSL).

Questo articolo descrive un approccio collaudato che è stato utilizzato con successo per configurare una sincronizzazione LDAP su un dominio. Prova questo approccio quando configuri una sincronizzazione LDAP sul tuo dominio.

Di cosa ho bisogno?

Accesso amministrativo ad Altium Infrastructure Server.
Facoltativamente, un'utilità estremamente utile è un'applicazione chiamata LDAP Admin (scaricabile LdapAdminExe-<version>.zip da http://www.ldapadmin.org/)

LDAP Admin può essere utilizzata per identificare le stringhe di query esatte dei gruppi utenti e la sintassi necessaria per configurare la pagina di impostazione LDAP di Altium Infrastructure Server.

Ottenimento della stringa di ricerca LDAP (Distinguished Name)

Quando si configura un'attività di sincronizzazione LDAP tramite l'interfaccia browser di Altium Infrastructure Server, è necessario fornire il Distinguished Name (DN) LDAP. Questo viene inserito in formato stringa e identifica l'oggetto di base della ricerca LDAP. Per ottenere questa stringa, utilizzeremo l'utilità LDAP Admin, quindi assicurati innanzitutto di aver scaricato il file zip ed estrai il file eseguibile LdapAdmin contenuto al suo interno.

Scarica ed estrai il file LdapAdmin.exe.

Esegui il file eseguibile LdapAdmin.exe come amministratore (basta fare clic con il pulsante destro su di esso e selezionare Run as administrator).

Quando si apre il pannello LDAP Admin, scegli Start » Connect per accedere alla finestra di dialogo Connections , quindi fai doppio clic su New connection per accedere alla finestra di dialogo Connection properties.

Creazione di una nuova connessione nell'utilità LDAP Admin.

Nella scheda General della finestra di dialogo Connection properties, configura le informazioni di connessione in relazione al tuo dominio; un esempio potrebbe essere:

Connection name: un nome arbitrario qualsiasi da utilizzare per l'icona della connessione.
Host: testsite.com
Port: 389

Se stai configurando LDAPS (LDAP su SSL), la porta deve essere 636.

Base: DC=testsite, DC=com
Abilita l'opzione GSS-API.

Se stai configurando LDAPS (LDAP su SSL), devi anche abilitare l'opzione SSL .

Account: lascia semplicemente abilitata l'opzione Use current user credentials .

Un esempio di connessione configurata quando si utilizza LDAP standard. Se si utilizza LDAPS (LDAP su SSL),
modifica la porta in 636 e abilita l'opzione SSL.

Una volta configurate le proprietà della connessione, premi il pulsante Test connection. Se tutto è impostato correttamente, dovresti vedere il messaggio Connection is successful. Fai clic su OK per completare la creazione della nuova connessione.

Ora devi identificare la stringa che punta all'oggetto di base della ricerca LDAP. Per farlo:

Seleziona la connessione appena creata e fai clic su OK nella finestra di dialogo Connections : verranno presentati il dominio di rete e la gerarchia dei gruppi utenti.
Espandi il percorso della cartella pertinente fino ad arrivare alla cartella contenente gli utenti richiesti.
Fai clic con il pulsante destro su questa cartella e scegli il comando Search dal menu contestuale. Si aprirà il pannello Search . L'informazione chiave che ti serve è la stringa già popolata nel campo Path . Letta da sinistra a destra, questa stringa rappresenta il percorso verso questa cartella di utenti dal basso verso l'alto, all'interno della struttura del dominio. Nel nostro esempio, supporremo una cartella di utenti specifici - Managers - che è figlia della cartella padre - Users. In questo caso, la nostra stringa è: OU=Managers,OU=Users,DC=testsite,DC=com.
Copia e incolla questa stringa in un file di testo per utilizzarla successivamente nel processo di configurazione oppure, facoltativamente, lascia semplicemente accessibile il pannello Search .

A questo punto, l'utilità LDAP Admin non è più necessaria per i passaggi successivi.

Configurazione di Altium Infrastructure Server per l'uso della sincronizzazione LDAP

Ora concentriamoci su Altium Infrastructure Server. Accedi all'istanza di Altium Infrastructure Server di destinazione, tramite la relativa interfaccia browser, come amministratore. Se intendi creare automaticamente le credenziali utente da LDAP, probabilmente vorrai rimuovere eventuali utenti esistenti creati manualmente. Idealmente, quindi, inizia solo con gli utenti del ruolo Administrator predefiniti - admin e System.

Un esempio di Altium Infrastructure Server di destinazione, con solo i due utenti amministrativi predefiniti, admin e System.

Se desideri associare gli utenti della sincronizzazione LDAP a un ruolo specifico, puoi passare alla scheda Roles e creare un nuovo ruolo secondo necessità, lasciandolo senza utenti. Nel nostro esempio, creeremo un ruolo chiamato Managers.

Ora passa alla scheda LDAP Sync e fai clic sul pulsante per accedere alla finestra di dialogo Add LDAP Sync Task.

Aggiunta di una nuova attività di sincronizzazione LDAP tramite l'interfaccia browser di Infrastructure Server.

Compila le seguenti informazioni (in base alla struttura di dominio di esempio utilizzata nella sezione precedente):

Generale

Target Role: Managers
Url: LDAP://testsite.com:389

Se stai configurando LDAPS (LDAP su SSL), allora il valore Url in questo esempio sarebbe: LDAPS://testsite.com:636.

DN: OU=Managers,OU=Users,DC=testsite,DC=com

Questa è la stringa ottenuta dal campo Path del pannello Search , utilizzando l'utilità LDAP Admin nella sezione precedente.

Filter: lascia questo campo vuoto per acquisire tutti gli utenti dal gruppo specificato determinato nel dominio (nel campo DN ). Se l'area indicata della struttura del dominio contenesse ulteriori raggruppamenti di utenti, potresti estrarre solo un sottoinsieme di tali utenti utilizzando qui una stringa di filtro appropriata.

Ad esempio, considera il caso in cui ci fosse stato un insieme di utenti sotto il gruppo dei Manager, ai quali sono stati assegnati poteri amministrativi (CN=Administrators). Per puntare solo a questo insieme di utenti, e non a tutti i Manager (nell'area OU=Managers della struttura del dominio), si potrebbe scrivere una stringa di query che punti a questo punto della struttura del dominio:

(&(objectClass=user)(memberof=CN=Administrators,OU=Managers,OU=Users,DC=testsite,DC=com))

Sebbene il campo Filter possa essere lasciato vuoto, restituendo tutti gli utenti lungo il percorso definito dal campo DN , ciò può essere piuttosto pericoloso. Quel percorso potrebbe puntare a un'area della struttura del dominio che contiene un numero enorme di utenti e potrebbe bloccare l'intera organizzazione a causa del carico eccessivo su Altium Infrastructure Server e Active Directory. È davvero meglio puntare a uno o più insiemi di utenti specifici, utilizzando filtri dedicati. Per ulteriori informazioni sulle query LDAP che possono essere utilizzate per puntare a insiemi specifici di utenti, utilizza i seguenti collegamenti:

Query LDAP comuni - in particolare le query che riguardano gli utenti. Questa pagina fa in realtà parte di un manuale dettagliato di Google, relativo a Google Apps Directory Sync, ma è utile per gli aspetti che riguardano LDAP.
Nozioni di base sulle query LDAP

Scope: sub
Attributes: sAMAccountName

Autenticazione

User Name: domain\<your username> (ad es. testsite\jason.howie)
Password: <your password>

Mappatura degli attributi

First Name: givenName
Last Name: sn
Email: mail
User Name: sAMAccountName

Tipo di autenticazione utente

Radio button: Windows
Domain: testsite.com

Esempio di attività di sincronizzazione LDAP, configurata con tutte le informazioni richieste quando si utilizza LDAP standard. Se si utilizza LDAPS (LDAP su SSL), il valore Url
viene modificato in LDAPS://testsite.com:636.

Quando hai completato l'inserimento di tutte le impostazioni, fai clic su . Questo avvierà il processo di sincronizzazione, che potrebbe richiedere uno o due minuti, mentre elabora le informazioni appena inserite. Osserva i messaggi di stato della sincronizzazione nella parte superiore della pagina LDAP Sync per vedere quando il processo è completato.

Ora fai clic sulla scheda Users . Questo elenco dovrebbe ora essere popolato con tutti gli utenti come definito dall'impostazione OU=<GroupName> (vedi immagine di esempio sotto). Ora chiunque può accedere ad Altium Infrastructure Server utilizzando il normale accesso Windows.

Tieni presente che utenti aggiuntivi possono essere aggiunti manualmente al di fuori del gruppo di sincronizzazione LDAP, quindi puoi effettivamente avere una combinazione di utenti creati manualmente e utenti specificati da LDAP (creati automaticamente).

Esempio di popolazione degli utenti per un Altium Infrastructure Server, tramite l’uso di una sincronizzazione LDAP.