Configurar a sincronização LDAP

Updated: January 18, 2018

Para simplificar o processo de ligação e acesso às redes da empresa, o Altium Infrastructure Server disponibiliza suporte para serviços de diretório através da sua interface no navegador.

Isto oferece sincronização de utilizadores de domínio com base em Lightweight Directory Access Protocol (LDAP), que consulta o servidor LDAP central da rede para obter informações sobre grupos de utilizadores de domínio e associação a funções. A autenticação de utilizadores de domínio através de serviços de diretório já estabelecidos desta forma oferece a possibilidade de um único início de sessão para acesso a todos os sistemas da empresa, incluindo o Altium Infrastructure Server.

A sincronização LDAP do Infrastructure Server consulta os serviços de rede com base na função do utilizador, recolhendo informações de associação a funções para autorização de acesso de utilizadores do Infrastructure Server. A consulta da associação ao domínio através do serviço LDAP (sincronização) permite ao sistema responder a uma alteração de configuração de um utilizador de domínio dentro de um ciclo de sincronização.

Para mais informações sobre os princípios, capacidades e sintaxe de implementação do LDAP, consulte https://tools.ietf.org/html/rfc4510 e as respetivas páginas de documentação associadas.

Sincronização LDAP

Uma LDAP Sync permite ao administrador de um Altium Infrastructure Server tirar partido das credenciais existentes de nome de utilizador e palavra-passe do domínio da rede, para que as credenciais dos utilizadores não tenham de ser criadas manualmente, uma a uma, na página USERS da interface do Infrastructure Server baseada em navegador. Quando configurada corretamente, a página USERS será preenchida automaticamente com as credenciais dos utilizadores, permitindo que qualquer utilizador listado inicie sessão no Altium Infrastructure Server com o seu nome de utilizador e palavra-passe habituais da rede corporativa.

Para iniciar sessão no Infrastructure Server com as suas credenciais de início de sessão do Windows — tirando partido do suporte do Infrastructure Server para Autenticação do Windows — ative a opção Use Windows Session credentials.

O Altium Infrastructure Server suporta tanto Standard LDAP, como LDAPS (LDAP sobre SSL).

Este artigo descreve uma abordagem comprovada que foi utilizada com sucesso na configuração de uma LDAP Sync num domínio. Experimente esta abordagem ao configurar uma LDAP Sync no seu próprio domínio.

Do que preciso?

Acesso administrativo ao Altium Infrastructure Server.
Opcionalmente, um utilitário extremamente útil é uma aplicação chamada LDAP Admin (transferência de LdapAdminExe-<version>.zip a partir de http://www.ldapadmin.org/)

LDAP Admin pode ser utilizada para identificar as cadeias de consulta exatas de Grupo de Utilizadores e a sintaxe necessárias para configurar a página de configuração LDAP do Altium Infrastructure Server.

Obter a cadeia de pesquisa LDAP (Distinguished Name)

Ao configurar uma tarefa de LDAP Sync através da interface do Altium Infrastructure Server baseada em navegador, é necessário fornecer o LDAP Distinguished Name (DN). Este é introduzido em formato de cadeia e identifica o objeto base da pesquisa LDAP. Para obter esta cadeia, vamos utilizar o utilitário LDAP Admin, por isso comece por garantir que o ficheiro zip é transferido e extraia o executável LdapAdmin aí contido.

Transfira e extraia o ficheiro LdapAdmin.exe.

Execute o executável LdapAdmin.exe como Administrador (basta clicar com o botão direito sobre o mesmo e selecionar Run as administrator).

Quando o painel LDAP Admin abrir, escolha Start » Connect para aceder à caixa de diálogo Connections , depois faça duplo clique em New connection para aceder à caixa de diálogo Connection properties.

Criar uma nova ligação no utilitário LDAP Admin.

No separador General da caixa de diálogo Connection properties, configure as informações da ligação em relação ao seu domínio; um exemplo poderá ser:

Connection name: qualquer nome arbitrário a utilizar para o ícone da ligação.
Host: testsite.com
Port: 389

Se estiver a configurar para LDAPS (LDAP sobre SSL), então a porta tem de ser 636.

Base: DC=testsite, DC=com
Ative a opção GSS-API.

Se estiver a configurar para LDAPS (LDAP sobre SSL), então também precisa de ativar a opção SSL .

Account: basta deixar a opção Use current user credentials ativada.

Um exemplo de ligação configurada ao usar LDAP padrão. Se estiver a usar LDAPS (LDAP sobre SSL),
altere a Porta para 636 e ative a opção SSL.

Com as propriedades da ligação configuradas, prima o botão Test connection. Se tudo estiver configurado corretamente, deverá ver a mensagem Connection is successful. Clique em OK para concluir a criação da nova ligação.

Agora precisa de identificar a cadeia que aponta para o objeto base da pesquisa LDAP. Para o fazer:

Selecione a ligação que acabou de criar e clique em OK na caixa de diálogo Connections — será apresentada a hierarquia do seu domínio de rede e dos grupos de utilizadores.
Expanda o caminho de pastas relevante até chegar à pasta que contém os utilizadores necessários.
Clique com o botão direito nesta pasta e escolha o comando Search no menu contextual. Isto abrirá o painel Search . A informação essencial que procura é a cadeia já preenchida no campo Path . Lida da esquerda para a direita, esta cadeia representa o caminho para esta pasta de utilizadores de baixo para cima, dentro da estrutura do domínio. Para o nosso exemplo, vamos assumir uma pasta de utilizadores específicos — Managers — que é filha da pasta principal — Users. Neste caso, a nossa cadeia é: OU=Managers,OU=Users,DC=testsite,DC=com.
Copie e cole esta cadeia para um ficheiro de texto para utilização posterior no processo de configuração ou, em alternativa, deixe simplesmente o painel Search acessível.

Nesta altura, o utilitário LDAP Admin já não é necessário para quaisquer passos adicionais.

Configurar um Altium Infrastructure Server para utilizar LDAP Sync

Agora, concentremo-nos no Altium Infrastructure Server. Inicie sessão no Altium Infrastructure Server de destino — através da sua interface baseada em navegador — como Administrador. Se pretender criar automaticamente credenciais de utilizador a partir de LDAP, então provavelmente vai querer remover quaisquer utilizadores existentes criados manualmente. Assim, o ideal é começar apenas com os utilizadores de função de Administrador predefinidos — admin e System.

Exemplo de um Altium Infrastructure Server de destino, com apenas os dois utilizadores administrativos predefinidos, admin e System.

Se quiser que os utilizadores da LDAP Sync fiquem associados a uma função específica, pode mudar para o separador Roles e criar uma nova função conforme necessário, deixando-a sem utilizadores. Para o nosso exemplo, vamos criar uma função chamada Managers.

Agora mude para o separador LDAP Sync e clique no botão para aceder à caixa de diálogo Add LDAP Sync Task.

Adicionar uma nova tarefa de LDAP Sync através da interface do Infrastructure Server baseada em navegador.

Preencha as seguintes informações (com base na estrutura de domínio de exemplo utilizada na secção anterior):

Geral

Target Role: Managers
Url: LDAP://testsite.com:389

Se estiver a configurar para LDAPS (LDAP sobre SSL), então o valor Url neste exemplo seria: LDAPS://testsite.com:636.

DN: OU=Managers,OU=Users,DC=testsite,DC=com

Esta é a cadeia obtida a partir do campo Path do painel Search , ao utilizar o utilitário LDAP Admin na secção anterior.

Filter: deixe este campo em branco para obter todos os utilizadores do grupo especificado determinado no domínio (no campo DN ). Se a área indicada da estrutura do domínio contivesse agrupamentos adicionais de utilizadores, poderia extrair apenas um subconjunto desses utilizadores utilizando aqui uma cadeia de filtragem adequada.

Por exemplo, imagine que existia um conjunto de utilizadores sob o grupo de Managers, reunidos para ter poderes administrativos (CN=Administrators). Para direcionar apenas este conjunto de utilizadores, e não todos os Managers (sob a área OU=Managers da estrutura do domínio), poderia ser escrita uma cadeia de consulta que apontasse para este ponto da estrutura do domínio:

(&(objectClass=user)(memberof=CN=Administrators,OU=Managers,OU=Users,DC=testsite,DC=com))

Embora o campo Filter possa ser deixado em branco, devolvendo todos os utilizadores ao longo do caminho definido pelo campo DN , isto pode ser bastante perigoso. Esse caminho pode estar a apontar para uma área da estrutura do domínio que contém um número enorme de utilizadores e poderá bloquear toda a organização devido à carga excessiva sobre o Altium Infrastructure Server e o Active Directory. É realmente preferível direcionar um ou mais conjuntos de utilizadores específicos, utilizando filtragem dedicada. Para mais informações sobre consultas LDAP que podem ser utilizadas para direcionar conjuntos específicos de utilizadores, use as seguintes ligações:

Consultas LDAP Comuns - especificamente as consultas relacionadas com utilizadores. Esta página faz, na verdade, parte de um manual detalhado da Google, relacionado com Google Apps Directory Sync, mas é útil para áreas deste tipo que lidam com LDAP.
Noções Básicas de Consultas LDAP

Scope: sub
Attributes: sAMAccountName

Autenticação

User Name: domain\<your username> (por exemplo testsite\jason.howie)
Password: <your password>

Mapeamento de Atributos

First Name: givenName
Last Name: sn
Email: mail
User Name: sAMAccountName

Tipo de autenticação do utilizador

Radio button: Windows
Domain: testsite.com

Exemplo de tarefa LDAP Sync, configurada com toda a informação necessária ao usar LDAP padrão. Se estiver a usar LDAPS (LDAP sobre SSL), a entrada Url
seria alterada para LDAPS://testsite.com:636.

Quando tiver concluído a introdução de todas as definições, clique em . Isto irá iniciar o processo de Sync, que pode demorar um ou dois minutos, enquanto processa a informação que acabou de introduzir. Observe as mensagens de estado da Sync no topo da página LDAP Sync, para ver quando o processo estiver concluído.

Agora clique no separador Users . Esta lista deverá agora estar preenchida com todos os utilizadores conforme definidos pela definição OU=<GroupName> (consulte a imagem de exemplo abaixo). Agora qualquer pessoa pode iniciar sessão no Altium Infrastructure Server utilizando o seu início de sessão normal do Windows.

Para iniciar sessão no Infrastructure Server utilizando as suas credenciais de início de sessão do Windows — tirando partido do suporte do Infrastructure Server para Autenticação do Windows — ative a opção Use Windows Session credentials.

Tenha em atenção que utilizadores adicionais podem ser adicionados manualmente fora do grupo LDAP Sync — pelo que pode, de facto, ter uma combinação de utilizadores criados manualmente e utilizadores especificados por LDAP (criados automaticamente).

Exemplo de população de utilizadores para um Altium Infrastructure Server, através da utilização de uma sincronização LDAP.