Cấu hình đồng bộ LDAP

Để đơn giản hóa quá trình kết nối và truy cập các mạng của công ty, Enterprise Server hỗ trợ các dịch vụ thư mục thông qua giao diện trình duyệt của nó.

Điều này cung cấp khả năng đồng bộ người dùng miền dựa trên Lightweight Directory Access Protocol (LDAP), truy vấn máy chủ LDAP trung tâm của mạng để lấy thông tin về nhóm người dùng miền và tư cách thành viên vai trò. Việc xác thực người dùng miền thông qua các dịch vụ thư mục đã được thiết lập theo cách này mang lại khả năng chỉ cần một lần đăng nhập để truy cập tất cả các hệ thống của công ty, bao gồm cả Enterprise Server.

Tính năng đồng bộ LDAP của Enterprise Server truy vấn các dịch vụ mạng dựa trên vai trò người dùng, trong đó thông tin tư cách thành viên vai trò được thu thập để phân quyền truy cập người dùng cho Enterprise Server. Việc thăm dò tư cách thành viên miền thông qua dịch vụ LDAP (đồng bộ hóa) cho phép hệ thống phản hồi với thay đổi cấu hình người dùng miền trong một chu kỳ đồng bộ.

LDAP Sync

LDAP Sync cho phép quản trị viên của một Workspace trên Enterprise Server tận dụng tên người dùng và mật khẩu hiện có của miền mạng, để không phải tạo thủ công thông tin xác thực người dùng từng người một trên trang Users của giao diện trình duyệt Workspace. Khi được thiết lập đúng, trang Users sẽ tự động được điền thông tin xác thực người dùng, cho phép bất kỳ người dùng nào trong danh sách truy cập Workspace bằng tên người dùng và mật khẩu mạng công ty thông thường của họ.

Bài viết này mô tả một cách tiếp cận đã được kiểm chứng và sử dụng thành công khi thiết lập LDAP Sync trên một miền. Hãy thử cách tiếp cận này khi thiết lập LDAP Sync trên miền của riêng bạn.

Tôi cần những gì?

• Quyền truy cập quản trị vào Workspace.
• Tùy chọn, một tiện ích cực kỳ hữu ích là ứng dụng có tên LDAP Admin (tải LdapAdminExe-<version>.zip từ https://sourceforge.net/projects/ldapadmin/ )

Lấy chuỗi tìm kiếm LDAP (Distinguished Name)

Khi cấu hình tác vụ LDAP Sync thông qua giao diện dựa trên trình duyệt của Workspace, bạn cần cung cấp LDAP Distinguished Name (DN). Giá trị này được nhập dưới dạng chuỗi và xác định đối tượng cơ sở của tìm kiếm LDAP. Để lấy chuỗi này, chúng ta sẽ sử dụng tiện ích LDAP Admin, vì vậy trước tiên hãy đảm bảo tệp zip đã được tải xuống, rồi giải nén tệp thực thi LdapAdmin bên trong.

Tải xuống và giải nén tệp LdapAdmin.exe.

Chạy tệp thực thi LdapAdmin.exe với quyền Administrator (chỉ cần nhấp chuột phải vào nó và chọn Run as administrator).

Khi bảng LDAP Admin mở ra, chọn Start » Connect để truy cập hộp thoại Connections , sau đó nhấp đúp vào New connection để truy cập hộp thoại Connection properties.

Tạo kết nối mới trong tiện ích LDAP Admin.

Trên tab General của hộp thoại Connection properties, cấu hình thông tin kết nối tương ứng với miền của bạn, ví dụ có thể là:

• Connection name: chỉ là một tên bất kỳ để dùng cho biểu tượng kết nối.
• Host: testsite.com
• Port: 389

• Base: DC=testsite, DC=com
• Bật tùy chọn GSS-API.

• Account: chỉ cần để tùy chọn Use current user credentials được bật.

Ví dụ về một kết nối đã được cấu hình khi dùng LDAP tiêu chuẩn. Nếu dùng LDAPS (LDAP over SSL), hãy đổi Port thành 636, và bật tùy chọn SSL.

Khi các thuộc tính kết nối đã được cấu hình, nhấn nút Test connection. Nếu mọi thứ được thiết lập đúng, bạn sẽ thấy thông báo Connection is successful. Nhấp OK để hoàn tất việc tạo kết nối mới.

Bây giờ bạn cần xác định chuỗi nhắm đến đối tượng cơ sở của tìm kiếm LDAP. Để thực hiện việc này:

1. Chọn kết nối mới tạo của bạn và nhấp OK trong hộp thoại Connections – miền mạng và cấu trúc phân cấp nhóm người dùng của bạn sẽ được hiển thị.
2. Mở rộng đường dẫn thư mục phù hợp cho đến khi bạn đến thư mục chứa những người dùng cần thiết.
3. Nhấp chuột phải vào thư mục này và chọn lệnh Search từ menu ngữ cảnh. Thao tác này sẽ mở bảng Search . Thông tin quan trọng bạn cần là chuỗi đã được điền sẵn trong trường Path . Đọc từ trái sang phải, chuỗi này biểu diễn đường dẫn đến thư mục người dùng này theo hướng từ dưới lên trong cấu trúc miền. Trong ví dụ của chúng ta, giả sử có một thư mục chứa những người dùng cụ thể – Engineers – là thư mục con của thư mục cha – Users. Trong trường hợp này, chuỗi của chúng ta là: OU=Engineers,OU=Users,DC=testsite,DC=com.
4. Sao chép và dán chuỗi này vào một tệp văn bản để dùng tiếp trong quá trình cấu hình, hoặc tùy chọn bạn có thể cứ để bảng Search ở trạng thái có thể truy cập.

Tại thời điểm này, tiện ích LDAP Admin không còn cần thiết cho bất kỳ bước tiếp theo nào nữa.

Cấu hình Workspace để sử dụng LDAP Sync

Bây giờ hãy đăng nhập vào Workspace đích – thông qua giao diện trình duyệt của nó – với vai trò Administrator. Nếu bạn dự định tự động tạo thông tin xác thực người dùng từ LDAP, thì có lẽ bạn sẽ muốn xóa mọi người dùng đã được tạo thủ công hiện có. Vì vậy, lý tưởng nhất là chỉ bắt đầu với người dùng quản trị mặc định – admin (trên trang Admin - Users của giao diện).

Ví dụ về Workspace đích, chỉ có người dùng quản trị mặc định, admin.

Nếu bạn muốn những người dùng từ LDAP Sync được liên kết với một nhóm cụ thể, bạn có thể chuyển sang trang Groups và tạo một nhóm mới theo nhu cầu (ví dụ: Electrical Designers, Mechanical Designers, PCB Specialists, v.v.), để trống không có người dùng. Ví dụ ở đây sử dụng nhóm mặc định là một phần của dữ liệu mẫu đã cài đặt, có tên Engineers.

Bây giờ chuyển sang trang LDAP Sync, rồi nhấp nút (hoặc liên kết Create a new one trong trường hợp này) để mở cửa sổ LDAP Sync Creation.

Thêm một tác vụ LDAP Sync mới thông qua giao diện trình duyệt của Workspace.

Điền các thông tin sau (dựa trên cấu trúc miền ví dụ được dùng trong phần trước):

General

• Target Role: Engineers

• Distinguished Name: OU=Engineers,OU=Users,DC=testsite,DC=com

  Đây là chuỗi lấy từ trường Path của bảng Search , khi dùng tiện ích LDAP Admin ở phần trước.

• Url: LDAP://testsite.com:389

  Nếu cấu hình cho LDAPS (LDAP over SSL), thì Url trong ví dụ này sẽ là: LDAPS://testsite.com:636.

• Scope: sub

• Attributes: sAMAccountName

• Filter: để trống trường này để lấy tất cả người dùng từ nhóm được chỉ định trên miền (trong trường DN ). Nếu khu vực được chỉ định của cấu trúc miền có chứa thêm các nhóm người dùng khác, bạn có thể chỉ trích xuất một tập con người dùng đó bằng cách sử dụng chuỗi lọc phù hợp tại đây.

  Ví dụ, giả sử có một tập người dùng thuộc nhóm Engineers, được gom lại để có quyền quản trị (CN=Administrators). Để chỉ nhắm đến tập người dùng này, chứ không phải tất cả Engineers (trong khu vực OU=Engineers của cấu trúc miền), có thể viết một chuỗi truy vấn nhắm đến điểm này trong cấu trúc miền:

  (&(objectClass=user)(memberof=CN=Administrators,OU=Engineers,OU=Users,DC=testsite,DC=com))

  Mặc dù trường Filter có thể để trống, trả về tất cả người dùng dọc theo đường dẫn được xác định bởi trường DN , nhưng điều này có thể khá nguy hiểm. Đường dẫn đó có thể đang trỏ đến một khu vực trong cấu trúc miền chứa số lượng người dùng rất lớn, và có thể làm treo toàn bộ tổ chức do tải quá mức lên Enterprise Server và Active Directory. Tốt hơn hết là nên nhắm đến một hoặc nhiều tập người dùng cụ thể bằng cách dùng bộ lọc chuyên biệt.

Attribute Mapping

• First Name: givenName
• Last Name: sn
• Email: mail
• User Name: sAMAccountName
• Overwrite existing users – khi được bật, LDAP Sync sẽ ghi đè các người dùng được tạo thủ công bằng những người dùng được trả về từ truy vấn đồng bộ, miễn là tên của người dùng khớp hoàn toàn.

Authentication

• User Name: domain\<your username> (ví dụ: testsite\jason.howie)
• Password: <your password>
• User authentication type: Windows
• Domain: testsite.com

Ví dụ về tác vụ LDAP Sync, được cấu hình với đầy đủ thông tin cần thiết khi dùng LDAP tiêu chuẩn. Nếu dùng LDAPS (LDAP over SSL), mục Url sẽ được đổi thành LDAPS://testsite.com:636.

Khi bạn đã nhập xong tất cả thiết lập, nhấp . Thao tác này sẽ khởi động quá trình Sync, có thể mất một hoặc hai phút vì hệ thống xử lý thông tin bạn vừa nhập.

Bây giờ truy cập trang Users . Danh sách này giờ đây sẽ được điền đầy đủ với tất cả người dùng như được xác định bởi thiết lập OU=<GroupName> (xem hình ví dụ bên dưới). Bây giờ bất kỳ ai cũng có thể truy cập Workspace bằng thông tin đăng nhập Windows thông thường của họ.

Ví dụ về việc điền danh sách người dùng cho một Workspace thông qua việc sử dụng đồng bộ LDAP.