Configurazione della sincronizzazione LDAP

Per semplificare il processo di connessione e accesso alle reti aziendali, Enterprise Server supporta i servizi di directory tramite la propria interfaccia browser.

Ciò offre la sincronizzazione degli utenti di dominio basata su Lightweight Directory Access Protocol (LDAP), che interroga il server LDAP centrale della rete per recuperare le informazioni di appartenenza ai gruppi e ai ruoli degli utenti di dominio. L'autenticazione degli utenti di dominio tramite i servizi di directory esistenti in questo modo offre il potenziale di un accesso unico a tutti i sistemi aziendali, incluso Enterprise Server.

La sincronizzazione LDAP di Enterprise Server interroga i servizi di rete in base ai ruoli utente, raccogliendo le informazioni di appartenenza ai ruoli per l'autorizzazione di accesso degli utenti a Enterprise Server. L'interrogazione dell'appartenenza al dominio tramite il servizio LDAP (sincronizzazione) consente al sistema di rispondere a una modifica della configurazione di un utente di dominio entro un ciclo di sincronizzazione.

Sincronizzazione LDAP

Una sincronizzazione LDAP consente a un amministratore di un Workspace di Enterprise Server di sfruttare le credenziali di nome utente e password già esistenti del dominio di rete, in modo che le credenziali utente non debbano essere create manualmente una alla volta nella pagina Users dell'interfaccia browser del Workspace. Se configurata correttamente, la pagina Users verrà popolata automaticamente con le credenziali utente, consentendo a qualsiasi utente elencato di accedere al Workspace utilizzando il proprio nome utente e la propria password abituali della rete aziendale.

Questo articolo descrive un approccio collaudato che è stato utilizzato con successo per configurare una sincronizzazione LDAP su un dominio. Prova questo approccio quando configuri una sincronizzazione LDAP sul tuo dominio.

Di cosa ho bisogno?

• Accesso amministrativo al Workspace.
• Facoltativamente, un'utilità estremamente utile è un'applicazione chiamata LDAP Admin (scaricabile LdapAdminExe-<version>.zip da https://sourceforge.net/projects/ldapadmin/ )

Ottenere la stringa di ricerca LDAP (Distinguished Name)

Quando configuri un'attività di sincronizzazione LDAP tramite l'interfaccia browser del Workspace, devi fornire il Distinguished Name (DN) LDAP. Questo viene inserito in formato stringa e identifica l'oggetto di base della ricerca LDAP. Per ottenere questa stringa, useremo l'utilità LDAP Admin, quindi assicurati innanzitutto di aver scaricato il file zip ed estrai il file eseguibile LdapAdmin contenuto al suo interno.

Scarica ed estrai il file LdapAdmin.exe.

Esegui il file eseguibile LdapAdmin.exe come amministratore (basta fare clic con il pulsante destro su di esso e selezionare Run as administrator).

Quando si apre il pannello LDAP Admin, scegli Start » Connect per accedere alla finestra di dialogo Connections , quindi fai doppio clic su New connection per accedere alla finestra di dialogo Connection properties.

Creazione di una nuova connessione nell'utilità LDAP Admin.Nella scheda General della finestra di dialogo Connection properties, configura le informazioni di connessione in relazione al tuo dominio; un esempio potrebbe essere:

• Connection name: un nome arbitrario qualsiasi da usare per l'icona della connessione.
• Host: testsite.com
• Port: 389

• Base: DC=testsite, DC=com
• Abilita l'opzione GSS-API.

• Account: lascia semplicemente abilitata l'opzione Use current user credentials .

Esempio di connessione configurata usando LDAP standard. Se usi LDAPS (LDAP su SSL), cambia la porta in 636 e abilita l'opzione SSL.

Con le proprietà della connessione configurate, premi il pulsante Test connection. Se tutto è impostato correttamente, dovresti vedere il messaggio Connection is successful. Fai clic su OK per completare la creazione della nuova connessione.

Ora devi identificare la stringa che punta all'oggetto di base della ricerca LDAP. Per farlo:

1. Seleziona la connessione appena creata e fai clic su OK nella finestra di dialogo Connections : verranno presentati il dominio di rete e la gerarchia dei gruppi utenti.
2. Espandi il percorso della cartella pertinente fino ad arrivare alla cartella che contiene gli utenti richiesti.
3. Fai clic con il pulsante destro su questa cartella e scegli il comando Search dal menu contestuale. Si aprirà il pannello Search . L'informazione chiave che ti serve è la stringa già compilata nel campo Path . Letta da sinistra a destra, questa stringa rappresenta il percorso verso questa cartella di utenti dal basso verso l'alto, all'interno della struttura del dominio. Per il nostro esempio, supporremo una cartella di utenti specifici – Engineers – che è figlia della cartella padre – Users. In questo caso, la nostra stringa è: OU=Engineers,OU=Users,DC=testsite,DC=com.
4. Copia e incolla questa stringa in un file di testo per usarla successivamente nel processo di configurazione, oppure facoltativamente lascia semplicemente accessibile il pannello Search .

A questo punto, l'utilità LDAP Admin non è più necessaria per i passaggi successivi.

Configurazione del Workspace per usare la sincronizzazione LDAP

Ora accedi al Workspace di destinazione tramite la sua interfaccia browser come amministratore. Se intendi creare automaticamente le credenziali utente da LDAP, probabilmente vorrai rimuovere eventuali utenti esistenti creati manualmente. Idealmente, quindi, inizia solo con l'utente amministrativo predefinito – admin (nella pagina Admin - Users dell'interfaccia).

Esempio di Workspace di destinazione, con il solo utente amministrativo predefinito, admin.

Se vuoi che gli utenti della sincronizzazione LDAP siano associati a un gruppo specifico, puoi passare alla pagina Groups e creare un nuovo gruppo secondo necessità (ad esempio Electrical Designers, Mechanical Designers, PCB Specialists, ecc.), lasciandolo vuoto di utenti. L'esempio qui usa il gruppo predefinito che faceva parte dei dati di esempio installati, chiamato Engineers.

Ora passa alla pagina LDAP Sync e fai clic sul pulsante (o sul collegamento Create a new one in questo caso) per accedere alla finestra LDAP Sync Creation.

Aggiunta di una nuova attività di sincronizzazione LDAP tramite l'interfaccia browser del Workspace.

Compila le seguenti informazioni (in base alla struttura di dominio di esempio usata nella sezione precedente):

Generale

• Target Role: Engineers

• Distinguished Name: OU=Engineers,OU=Users,DC=testsite,DC=com

  Questa è la stringa ottenuta dal campo Path del pannello Search , usando l'utilità LDAP Admin nella sezione precedente.

• Url: LDAP://testsite.com:389

  Se stai configurando LDAPS (LDAP su SSL), allora il valore Url in questo esempio sarebbe: LDAPS://testsite.com:636.

• Scope: sub

• Attributes: sAMAccountName

• Filter: lascia questo campo vuoto per acquisire tutti gli utenti dal gruppo specificato determinato nel dominio (nel campo DN ). Se l'area designata della struttura del dominio contenesse ulteriori raggruppamenti di utenti, potresti estrarre solo un sottoinsieme di tali utenti usando qui una stringa di filtro appropriata.

  Ad esempio, considera il caso in cui ci fosse stato un insieme di utenti nel gruppo Engineers, raccolti per avere privilegi amministrativi (CN=Administrators). Per puntare solo a questo insieme di utenti, e non a tutti gli Engineers (nell'area OU=Engineers della struttura del dominio), si potrebbe scrivere una stringa di query che punti a questo punto della struttura del dominio:

  (&(objectClass=user)(memberof=CN=Administrators,OU=Engineers,OU=Users,DC=testsite,DC=com))

  Sebbene il campo Filter possa essere lasciato vuoto, restituendo tutti gli utenti lungo il percorso definito dal campo DN , questo può essere piuttosto pericoloso. Quel percorso potrebbe puntare a un'area della struttura del dominio che contiene un numero enorme di utenti e potrebbe bloccare l'intera organizzazione a causa del carico eccessivo su Enterprise Server e Active Directory. È davvero meglio puntare a uno o più insiemi di utenti specifici, usando un filtro dedicato.

Mappatura attributi

• First Name: givenName
• Last Name: sn
• Email: mail
• User Name: sAMAccountName
• Overwrite existing users – se abilitata, la sincronizzazione LDAP sovrascriverà gli utenti creati manualmente con quelli restituiti dalla query di sincronizzazione, purché i nomi degli utenti corrispondano esattamente.

Autenticazione

• User Name: domain\<your username> (ad es. testsite\jason.howie)
• Password: <your password>
• User authentication type: Windows
• Domain: testsite.com

Esempio di attività di sincronizzazione LDAP, configurata con tutte le informazioni richieste usando LDAP standard. Se usi LDAPS (LDAP su SSL), la voce Url verrebbe modificata in LDAPS://testsite.com:636.

Quando hai completato l'inserimento di tutte le impostazioni, fai clic su . Questo avvierà il processo di sincronizzazione, che potrebbe richiedere uno o due minuti, mentre elabora le informazioni appena inserite.

Ora accedi alla pagina Users . Questo elenco dovrebbe ora essere popolato con tutti gli utenti come definito dall'impostazione OU=<GroupName> (vedi l'immagine di esempio qui sotto). Ora chiunque può accedere al Workspace usando il proprio normale accesso Windows.

Esempio di popolamento degli utenti per un Workspace tramite l'uso di una sincronizzazione LDAP.