Configurar a sincronização LDAP

Para simplificar o processo de ligação e acesso às redes da empresa, o Enterprise Server disponibiliza suporte para serviços de diretório através da sua interface no browser.

Isto oferece sincronização de utilizadores do domínio com base em Lightweight Directory Access Protocol (LDAP), que consulta o servidor LDAP central da rede para obter informações sobre a pertença dos utilizadores do domínio a grupos e funções. A autenticação de utilizadores do domínio através de serviços de diretório estabelecidos desta forma oferece a possibilidade de um único início de sessão para acesso a todos os sistemas da empresa, incluindo o Enterprise Server.

A sincronização LDAP do Enterprise Server consulta os serviços de rede com base nas funções dos utilizadores, recolhendo informações de pertença a funções para autorização de acesso de utilizadores ao Enterprise Server. A sondagem da pertença ao domínio através do serviço LDAP (sincronização) permite ao sistema responder a uma alteração na configuração de um utilizador do domínio dentro de um ciclo de sincronização.

Sincronização LDAP

Uma sincronização LDAP permite a um administrador de um Workspace do Enterprise Server tirar partido das credenciais existentes de nome de utilizador e palavra-passe do domínio da rede, para que as credenciais dos utilizadores não tenham de ser criadas manualmente, uma a uma, na Users página da interface do Workspace no browser. Quando configurada corretamente, a Users página será preenchida automaticamente com as credenciais dos utilizadores, permitindo que qualquer utilizador listado aceda ao Workspace com o seu nome de utilizador e palavra-passe habituais da rede corporativa.

Este artigo descreve uma abordagem comprovada que foi utilizada com sucesso na configuração de uma sincronização LDAP num domínio. Experimente esta abordagem ao configurar uma sincronização LDAP no seu próprio domínio.

Do que preciso?

• Acesso administrativo ao Workspace.
• Opcionalmente, um utilitário extremamente útil é uma aplicação chamada LDAP Admin (transferir LdapAdminExe-<version>.zip a partir de https://sourceforge.net/projects/ldapadmin/ )

Obter a cadeia de pesquisa LDAP (Nome Distinto)

Ao configurar uma tarefa de sincronização LDAP através da interface baseada em browser do Workspace, tem de fornecer o Nome Distinto LDAP (DN). Este é introduzido em formato de cadeia e identifica o objeto base da pesquisa LDAP. Para obter esta cadeia, vamos utilizar o utilitário LDAP Admin, por isso assegure-se primeiro de que o ficheiro zip é transferido e extraia o executável LdapAdmin aí contido.

Transfira e extraia o ficheiro LdapAdmin.exe.

Execute o executável LdapAdmin.exe como Administrador (basta clicar com o botão direito sobre o mesmo e selecionar Run as administrator).

Quando o painel LDAP Admin abrir, escolha Start » Connect para aceder à caixa de diálogo Connections e, em seguida, faça duplo clique em New connection para aceder à caixa de diálogo Connection properties.

Criar uma nova ligação no utilitário LDAP Admin.

No separador General da caixa de diálogo Connection properties, configure as informações da ligação em relação ao seu domínio, por exemplo:

• Connection name: qualquer nome arbitrário a utilizar para o ícone da ligação.
• Host: testsite.com
• Port: 389

• Base: DC=testsite, DC=com
• Ative a opção GSS-API.

• Account: basta deixar a opção Use current user credentials ativada.

Exemplo de uma ligação configurada ao utilizar LDAP padrão. Se utilizar LDAPS (LDAP sobre SSL), altere a Porta para 636 e ative a opção SSL.

Com as propriedades da ligação configuradas, prima o botão Test connection. Se tudo estiver corretamente configurado, deverá ver a mensagem Connection is successful. Clique em OK para concluir a criação da nova ligação.

Agora precisa de identificar a cadeia que aponta para o objeto base da pesquisa LDAP. Para o fazer:

1. Selecione a sua ligação recém-criada e clique em OK na caixa de diálogo Connections — o seu domínio de rede e a hierarquia de grupos de utilizadores serão apresentados.
2. Expanda o caminho de pastas relevante até chegar à pasta que contém os utilizadores pretendidos.
3. Clique com o botão direito sobre esta pasta e escolha o comando Search no menu de contexto. Isto abrirá o painel Search . A informação essencial que procura é a cadeia já preenchida no campo Path . Lida da esquerda para a direita, esta cadeia representa o caminho para esta pasta de utilizadores de baixo para cima dentro da estrutura do domínio. Para o nosso exemplo, vamos assumir uma pasta de utilizadores específicos — Engineers — que é filha da pasta principal — Users. Neste caso, a nossa cadeia é: OU=Engineers,OU=Users,DC=testsite,DC=com.
4. Copie e cole esta cadeia para um ficheiro de texto para utilização posterior no processo de configuração ou, em alternativa, deixe apenas o painel Search acessível.

Neste momento, o utilitário LDAP Admin já não é necessário para quaisquer passos adicionais.

Configurar o Workspace para utilizar sincronização LDAP

Agora inicie sessão no Workspace de destino — através da respetiva interface no browser — como Administrador. Se pretende criar automaticamente credenciais de utilizador a partir de LDAP, então provavelmente irá querer remover quaisquer utilizadores existentes criados manualmente. Assim, idealmente, comece apenas com o utilizador administrativo predefinido — admin (na página Admin - Users da interface).

Exemplo de Workspace de destino, apenas com o utilizador administrativo predefinido, admin.

Se quiser que os utilizadores da sincronização LDAP sejam associados a um grupo específico, pode mudar para a página Groups e criar um novo grupo conforme necessário (por exemplo, Electrical Designers, Mechanical Designers, PCB Specialists, etc.), deixando-o sem utilizadores. O exemplo aqui utiliza o grupo predefinido que fazia parte dos dados de exemplo instalados, chamado Engineers.

Agora mude para a página LDAP Sync e clique no botão (ou na ligação Create a new one, neste caso) para aceder à janela LDAP Sync Creation.

Adicionar uma nova tarefa de sincronização LDAP através da interface do Workspace no browser.

Preencha as seguintes informações (com base na estrutura de domínio de exemplo utilizada na secção anterior):

Geral

• Target Role: Engineers

• Distinguished Name: OU=Engineers,OU=Users,DC=testsite,DC=com

  Esta é a cadeia obtida do campo Path do painel Search , ao utilizar o utilitário LDAP Admin na secção anterior.

• Url: LDAP://testsite.com:389

  Se estiver a configurar para LDAPS (LDAP sobre SSL), então a entrada Url neste exemplo seria: LDAPS://testsite.com:636.

• Scope: sub

• Attributes: sAMAccountName

• Filter: deixe este campo em branco para obter todos os utilizadores do grupo especificado determinado no domínio (no campo DN ). Se a área indicada da estrutura do domínio contivesse outros agrupamentos de utilizadores, poderia extrair apenas um subconjunto desses utilizadores utilizando aqui uma cadeia de filtragem adequada.

  Por exemplo, considere que existia um conjunto de utilizadores sob o grupo de Engineers, reunido para ter poderes administrativos (CN=Administrators). Para direcionar apenas este conjunto de utilizadores, e não todos os Engineers (na área OU=Engineers da estrutura do domínio), poderia ser escrita uma cadeia de consulta que apontasse para este ponto na estrutura do domínio:

  (&(objectClass=user)(memberof=CN=Administrators,OU=Engineers,OU=Users,DC=testsite,DC=com))

  Embora o campo Filter possa ser deixado em branco, devolvendo todos os utilizadores ao longo do caminho definido pelo campo DN , isto pode ser bastante perigoso. Esse caminho pode estar a apontar para uma área da estrutura do domínio que contenha um número enorme de utilizadores e pode bloquear toda a organização devido à carga excessiva sobre o Enterprise Server e o Active Directory. É realmente melhor direcionar um ou mais conjuntos de utilizadores específicos, utilizando filtragem dedicada.

Mapeamento de Atributos

• First Name: givenName
• Last Name: sn
• Email: mail
• User Name: sAMAccountName
• Overwrite existing users – quando ativada, a sincronização LDAP irá substituir utilizadores criados manualmente pelos devolvidos pela consulta de sincronização, desde que os nomes dos utilizadores coincidam exatamente.

Autenticação

• User Name: domain\<your username> (por exemplo testsite\jason.howie)
• Password: <your password>
• User authentication type: Windows
• Domain: testsite.com

Exemplo de tarefa de sincronização LDAP, configurada com toda a informação necessária ao utilizar LDAP padrão. Se utilizar LDAPS (LDAP sobre SSL), a entrada Url seria alterada para LDAPS://testsite.com:636.

Quando tiver terminado a introdução de todas as definições, clique em . Isto iniciará o processo de sincronização, o que pode demorar um ou dois minutos, enquanto processa a informação que acabou de introduzir.

Agora aceda à página Users . Esta lista deverá agora estar preenchida com todos os utilizadores conforme definido pela definição OU=<GroupName> (consulte a imagem de exemplo abaixo). Agora, qualquer pessoa pode aceder ao Workspace utilizando o seu início de sessão habitual do Windows.

Exemplo de preenchimento de utilizadores para um Workspace através da utilização de uma sincronização LDAP.