Настройка синхронизации LDAP

Чтобы упростить процесс подключения к корпоративным сетям и доступа к ним, Enterprise Server обеспечивает поддержку служб каталогов через свой браузерный интерфейс.

Это предоставляет синхронизацию доменных пользователей на основе Lightweight Directory Access Protocol (LDAP), который обращается к центральному LDAP-серверу сети, чтобы получить сведения о принадлежности доменных пользователей к группам и ролям. Такая аутентификация доменных пользователей через существующие службы каталогов потенциально позволяет использовать единый вход для доступа ко всем корпоративным системам, включая Enterprise Server.

Синхронизация LDAP в Enterprise Server выполняет запросы к сетевым службам на уровне ролей пользователей, при этом информация о членстве в ролях собирается для авторизации доступа пользователей в Enterprise Server. Опрос членства в домене через службу LDAP (синхронизация) позволяет системе реагировать на изменения конфигурации доменных пользователей в пределах одного цикла синхронизации.

Синхронизация LDAP

Синхронизация LDAP позволяет администратору Workspace в Enterprise Server использовать существующие в домене сети учетные данные (имя пользователя и пароль), чтобы не создавать учетные записи вручную по одной на странице Users в браузерном интерфейсе Workspace. При корректной настройке страница Users будет автоматически заполняться учетными данными пользователей, и любой пользователь из списка сможет получить доступ к Workspace, используя свои обычные корпоративные имя пользователя и пароль.

В этой статье описан проверенный подход, который успешно применялся при настройке синхронизации LDAP в домене. Попробуйте этот подход при настройке LDAP Sync в вашем домене.

Что мне нужно?

• Административный доступ к Workspace.
• Опционально: крайне полезная утилита — приложение LDAP Admin (скачать LdapAdminExe-<version>.zip с https://sourceforge.net/projects/ldapadmin/ )

Получение строки поиска LDAP (Distinguished Name)

При настройке задачи LDAP Sync через браузерный интерфейс Workspace необходимо указать LDAP Distinguished Name (DN). Он вводится в виде строки и определяет базовый объект LDAP-поиска. Чтобы получить эту строку, мы воспользуемся утилитой LDAP Admin, поэтому сначала убедитесь, что zip-файл скачан, и извлеките из него исполняемый файл LdapAdmin.

Скачайте и распакуйте файл LdapAdmin.exe.

Запустите исполняемый файл LdapAdmin.exe от имени администратора (просто щелкните по нему правой кнопкой мыши и выберите Run as administrator).

Когда откроется панель LDAP Admin, выберите Start » Connect, чтобы открыть диалог Connections , затем дважды щелкните New connection, чтобы открыть диалог Connection properties.

Создание нового подключения в утилите LDAP Admin.

На вкладке General диалога Connection properties настройте параметры подключения в соответствии с вашим доменом; пример может быть таким:

• Connection name: любое произвольное имя, которое будет использоваться для значка подключения.
• Host: testsite.com
• Port: 389

• Base: DC=testsite, DC=com
• Включите параметр GSS-API.

• Account: просто оставьте параметр Use current user credentials включенным.

Пример настроенного подключения при использовании стандартного LDAP. Если используется LDAPS (LDAP через SSL), измените Port на 636 и включите параметр SSL.

После настройки свойств подключения нажмите кнопку Test connection. Если все задано правильно, вы увидите сообщение Connection is successful. Нажмите OK , чтобы завершить создание нового подключения.

Теперь нужно определить строку, которая указывает на базовый объект LDAP-поиска. Для этого:

1. Выберите только что созданное подключение и нажмите OK в диалоге Connections — будет показана иерархия вашего сетевого домена и групп пользователей.
2. Разверните соответствующий путь папок, пока не дойдете до папки, содержащей нужных пользователей.
3. Щелкните правой кнопкой мыши по этой папке и выберите команду Search в контекстном меню. Откроется панель Search . Ключевая информация, которая вам нужна, — строка, уже заполненная в поле Path . Если читать слева направо, эта строка представляет путь к данной папке пользователей снизу вверх в структуре домена. В нашем примере предположим папку конкретных пользователей — Engineers — которая является дочерней по отношению к родительской папке — Users. В этом случае наша строка: OU=Engineers,OU=Users,DC=testsite,DC=com.
4. Скопируйте и вставьте эту строку в текстовый файл для дальнейшего использования в процессе настройки или, при желании, просто оставьте панель Search открытой.

На этом этапе утилита LDAP Admin больше не требуется для дальнейших шагов.

Настройка Workspace для использования LDAP Sync

Теперь войдите в целевой Workspace через его браузерный интерфейс как администратор. Если вы планируете автоматически создавать учетные записи пользователей из LDAP, то, вероятно, стоит удалить всех существующих пользователей, созданных вручную. В идеале начните только с пользователя-администратора по умолчанию — admin (на странице Admin - Users интерфейса).

Пример целевого Workspace, где есть только пользователь-администратор по умолчанию admin.

Если вы хотите, чтобы пользователи из LDAP Sync были связаны с определенной группой, можно перейти на страницу Groups и создать новую группу по необходимости (например, Electrical Designers, Mechanical Designers, PCB Specialists и т. п.), оставив ее пустой (без пользователей). В примере здесь используется группа по умолчанию из установленных демонстрационных данных — Engineers.

Теперь перейдите на страницу LDAP Sync и нажмите кнопку (или ссылку Create a new one в данном случае), чтобы открыть окно LDAP Sync Creation.

Добавление новой задачи LDAP Sync через браузерный интерфейс Workspace.

Заполните следующую информацию (на основе примерной структуры домена из предыдущего раздела):

Общие

• Target Role: Engineers

• Distinguished Name: OU=Engineers,OU=Users,DC=testsite,DC=com

  Это строка, полученная из поля Path панели Search при использовании утилиты LDAP Admin в предыдущем разделе.

• Url: LDAP://testsite.com:389

  Если настраивается LDAPS (LDAP через SSL), то Url в этом примере будет: LDAPS://testsite.com:636.

• Scope: sub

• Attributes: sAMAccountName

• Filter: оставьте это поле пустым, чтобы получить всех пользователей из указанной группы, определенной в домене (в поле DN ). Если выбранная область структуры домена содержит дополнительные группировки пользователей, вы можете извлечь только подмножество этих пользователей, указав здесь подходящую строку фильтрации.

  Например, представьте, что под группой Engineers была отдельная группа пользователей, которым предоставлены административные права (CN=Administrators). Чтобы выбрать только этот набор пользователей, а не всех Engineers (в области OU=Engineers структуры домена), можно написать строку запроса, нацеленную на эту точку в структуре домена:

  (&(objectClass=user)(memberof=CN=Administrators,OU=Engineers,OU=Users,DC=testsite,DC=com))

  Хотя поле Filter можно оставить пустым, возвращая всех пользователей по пути, заданному полем DN , это может быть довольно опасно. Этот путь может указывать на область структуры домена, содержащую огромное количество пользователей, и из-за чрезмерной нагрузки на Enterprise Server и Active Directory может «положить» работу всей организации. Действительно лучше нацеливаться на один или несколько наборов конкретных пользователей, используя целевую фильтрацию.

Сопоставление атрибутов

• First Name: givenName
• Last Name: sn
• Email: mail
• User Name: sAMAccountName
• Overwrite existing users — если включено, LDAP Sync будет переопределять пользователей, созданных вручную, пользователями, возвращенными запросом синхронизации, при условии, что имена пользователей совпадают полностью.

Аутентификация

• User Name: domain\<your username> (например, testsite\jason.howie)
• Password: <your password>
• User authentication type: Windows
• Domain: testsite.com

Пример задачи LDAP Sync, настроенной со всей необходимой информацией при использовании стандартного LDAP. Если используется LDAPS (LDAP через SSL), значение Url будет изменено на LDAPS://testsite.com:636.

После завершения ввода всех параметров нажмите . Это запустит процесс синхронизации, который может занять минуту-две, пока обрабатываются введенные вами данные.

Теперь откройте страницу Users . Этот список должен быть заполнен всеми пользователями, определенными параметром OU=<GroupName> (см. пример изображения ниже). Теперь любой сможет получить доступ к Workspace, используя свой обычный вход Windows.

Пример заполнения списка пользователей для Workspace с использованием синхронизации LDAP.