Cấu hình đồng bộ LDAP

Để đơn giản hóa quy trình kết nối và truy cập vào mạng công ty, Enterprise Server hỗ trợ các dịch vụ danh bạ thông qua giao diện trình duyệt.

Tính năng này cho phép đồng bộ hóa người dùng miền dựa trên Lightweight Directory Access Protocol (LDAP), trong đó hệ thống sẽ truy vấn máy chủ LDAP trung tâm của mạng để lấy thông tin về nhóm người dùng miền và tư cách thành viên vai trò. Việc xác thực người dùng miền thông qua các dịch vụ thư mục đã được thiết lập theo cách này mang lại khả năng đăng nhập một lần để truy cập vào tất cả các hệ thống của công ty, bao gồm cả Enterprise Server.

Quá trình đồng bộ hóa LDAP của Enterprise Server truy vấn các dịch vụ mạng dựa trên vai trò của người dùng, trong đó thông tin về tư cách thành viên vai trò được thu thập để cấp quyền truy cập cho người dùng Enterprise Server. Việc kiểm tra tư cách thành viên miền thông qua dịch vụ LDAP (đồng bộ hóa) cho phép hệ thống phản hồi với sự thay đổi cấu hình của người dùng miền trong một chu kỳ đồng bộ hóa.

Đồng bộ hóa LDAP

Đồng bộ hóa LDAP cho phép quản trị viên của Không gian làm việc Enterprise Server tận dụng thông tin đăng nhập (tên người dùng và mật khẩu) hiện có của miền mạng, nhờ đó không cần phải tạo thông tin đăng nhập cho người dùng thủ công từng tài khoản một trên Users trang giao diện trình duyệt của Workspace. Khi được thiết lập đúng cách, Users trang sẽ tự động điền thông tin đăng nhập của người dùng, cho phép bất kỳ người dùng nào có trong danh sách truy cập Workspace bằng tên người dùng và mật khẩu mạng công ty thông thường của họ.

Bài viết này trình bày chi tiết một phương pháp đã được kiểm chứng và áp dụng thành công trong việc thiết lập đồng bộ hóa LDAP trên một miền. Hãy thử áp dụng phương pháp này khi thiết lập đồng bộ hóa LDAP trên miền của bạn.

Tôi cần những gì?

• Quyền truy cập quản trị vào Workspace.
• Ngoài ra, một công cụ cực kỳ hữu ích là ứng dụng có tên LDAP Admin (tải xuống LdapAdminExe-.zip từ https://sourceforge.net/projects/ldapadmin/ )

Lấy chuỗi tìm kiếm LDAP (Tên phân biệt)

Khi cấu hình tác vụ Đồng bộ hóa LDAP thông qua giao diện dựa trên trình duyệt của Workspace, bạn cần cung cấp Tên Đặc biệt LDAP (DN). Thông tin này được nhập dưới dạng chuỗi ký tự và xác định đối tượng gốc của tìm kiếm LDAP. Để lấy chuỗi này, chúng ta sẽ sử dụng LDAP Admin , vì vậy trước tiên hãy đảm bảo tệp zip đã được tải xuống và giải nén LdapAdmin tệp thực thi bên trong.

Tải xuống và giải nén tệp LdapAdmin.exe tệp.

Chạy LdapAdmin.exe tệp thực thi với quyền Quản trị viên (chỉ cần nhấp chuột phải vào tệp và chọn Run as administrator).

Khi LDAP Admin bảng điều khiển mở ra, hãy chọn Start » Connect để truy cập Connections hộp thoại, sau đó nhấp đúp New connection để truy cập Connection properties hộp thoại.

Tạo kết nối mới trong LDAP Admin tiện ích.

Trên General trang Connection properties hộp thoại, hãy cấu hình thông tin kết nối liên quan đến miền của bạn, ví dụ như:

• Connection name: chỉ là một tên tùy ý nào đó để sử dụng cho biểu tượng kết nối.
• Host: testsite.com
• Port: 389

• Base: DC=testsite, DC=com
• Kích hoạt GSS-API tùy chọn này.

• Account: chỉ cần để Use current user credentials tùy chọn này ở trạng thái bật.

Một ví dụ về kết nối đã được cấu hình khi sử dụng LDAP tiêu chuẩn. Nếu sử dụng LDAPS (LDAP qua SSL), hãy thay đổi Cổng thành 636, và bật tùy chọn SSL tùy chọn này.

Sau khi đã cấu hình các thuộc tính kết nối, nhấn vào Test connection . Nếu mọi thứ được thiết lập chính xác, bạn sẽ thấy thông báo Connection is successful thông báo này. Nhấp vào OK để hoàn tất việc tạo kết nối mới.

Bây giờ, bạn cần xác định chuỗi nhắm đến đối tượng cơ sở của tìm kiếm LDAP. Để thực hiện việc này:

1. Chọn kết nối vừa tạo và nhấp vào OK trong Connections hộp thoại – miền mạng và hệ thống phân cấp nhóm người dùng của bạn sẽ được hiển thị.
2. Mở rộng đường dẫn thư mục liên quan cho đến khi bạn đến thư mục chứa các người dùng cần thiết.
3. Nhấp chuột phải vào thư mục này và chọn lệnh Search lệnh từ menu ngữ cảnh. Thao tác này sẽ mở ra Search bảng điều khiển. Thông tin quan trọng mà bạn đang tìm kiếm là chuỗi ký tự đã được điền sẵn trong Path trường này. Đọc từ trái sang phải, chuỗi này biểu thị đường dẫn đến thư mục người dùng này theo thứ tự từ dưới lên, trong cấu trúc miền. Trong ví dụ của chúng ta, chúng ta sẽ giả định một thư mục chứa những người dùng cụ thể – Engineers – là thư mục con của thư mục cha – Users. Trong trường hợp này, chuỗi ký tự của chúng ta là: OU=Engineers,OU=Users,DC=testsite,DC=com.
4. Sao chép và dán chuỗi này vào một tệp văn bản để sử dụng sau này trong quá trình cấu hình, hoặc tùy chọn chỉ cần để Search bảng điều khiển ở trạng thái có thể truy cập.

Tại thời điểm này, LDAP Admin tiện ích này không còn cần thiết cho các bước tiếp theo nữa.

Cấu hình Workspace để sử dụng LDAP Sync

Bây giờ, hãy đăng nhập vào Workspace đích – thông qua giao diện trình duyệt – với tư cách Quản trị viên. Nếu bạn có ý định tạo thông tin đăng nhập người dùng từ LDAP tự động, thì có lẽ bạn nên xóa bất kỳ người dùng nào đã được tạo thủ công trước đó. Vì vậy, lý tưởng nhất là chỉ bắt đầu với người dùng quản trị mặc định – admin (trên Admin - Users trang của giao diện).

Một ví dụ về Workspace đích, chỉ có tài khoản quản trị mặc định, admin.

Nếu bạn muốn các tài khoản người dùng từ LDAP Sync được liên kết với một nhóm cụ thể, bạn có thể chuyển sang Groups và tạo một nhóm mới theo yêu cầu (ví dụ: Electrical Designers, Mechanical Designers, PCB Specialists, v.v.), và để trống danh sách người dùng trong nhóm đó. Ví dụ ở đây sử dụng nhóm mặc định có sẵn trong dữ liệu mẫu được cài đặt, có tên là Engineers.

Bây giờ, chuyển sang trang LDAP Sync trang này, và nhấp vào nút “ ” (hoặc Create a new one liên kết trong trường hợp này) để truy cập vào LDAP Sync Creation cửa sổ.

Thêm tác vụ đồng bộ hóa LDAP mới thông qua giao diện trình duyệt của Workspace.

Nhập các thông tin sau (dựa trên cấu trúc miền ví dụ được sử dụng trong phần trước):

Chung

• Target Role: Engineers

• Distinguished Name: OU=Engineers,OU=Users,DC=testsite,DC=com

  Đây là chuỗi được lấy từ Path trường của Search bảng điều khiển, khi sử dụng LDAP Admin tiện ích trong phần trước.

• Url: LDAP://testsite.com:389

  Nếu cấu hình cho LDAPS (LDAP qua SSL), thì Url trong ví dụ này sẽ là: LDAPS://testsite.com:636.

• Scope: sub

• Attributes: sAMAccountName

• Filter: để trống trường này để lấy tất cả người dùng từ nhóm được chỉ định trên miền (trong DN trường này). Nếu khu vực được chỉ định trong cấu trúc miền chứa các nhóm người dùng khác, bạn có thể trích xuất chỉ một tập con của những người dùng đó bằng cách sử dụng chuỗi lọc phù hợp tại đây.

  Ví dụ, giả sử có một tập hợp người dùng thuộc nhóm Kỹ sư, được tập hợp lại để có quyền quản trị (CN=Administrators). Để nhắm mục tiêu chỉ tập hợp người dùng này, chứ không phải tất cả các Kỹ sư (trong OU=Engineers cấu trúc miền), bạn có thể viết một chuỗi truy vấn nhắm vào vị trí này trong cấu trúc miền:

  (&(objectClass=user)(memberof=CN=Administrators,OU=Engineers,OU=Users,DC=testsite,DC=com))

  Trong khi Filter trường này có thể để trống, trả về tất cả người dùng dọc theo đường dẫn được xác định bởi DN , nhưng điều này có thể khá nguy hiểm. Đường dẫn đó có thể trỏ đến một khu vực trong cấu trúc miền chứa một số lượng lớn người dùng, và có thể làm tê liệt toàn bộ tổ chức do tải quá mức trên Enterprise Server và Active Directory. Thực sự tốt hơn là nên nhắm mục tiêu vào một hoặc nhiều nhóm người dùng cụ thể, bằng cách sử dụng bộ lọc chuyên dụng.

Ánh xạ thuộc tính

• First Name: givenName
• Last Name: sn
• Email: mail
• User Name: sAMAccountName
• Overwrite existing users – khi được bật, tính năng Đồng bộ hóa LDAP sẽ ghi đè các tài khoản người dùng được tạo thủ công bằng các tài khoản được trả về từ truy vấn đồng bộ hóa, miễn là tên của các tài khoản đó trùng khớp hoàn toàn.

Xác thực

• User Name: domain\ (ví dụ: testsite\jason.howie)
• Password:
• User authentication type: Windows
• Domain: testsite.com

Ví dụ về tác vụ đồng bộ hóa LDAP, được cấu hình với tất cả thông tin cần thiết khi sử dụng LDAP tiêu chuẩn. Nếu sử dụng LDAPS (LDAP qua SSL), mục Url mục này sẽ được thay đổi thành LDAPS://testsite.com:636.

Khi bạn đã hoàn tất việc nhập tất cả các cài đặt, hãy nhấp vào “ ”. Thao tác này sẽ khởi động quá trình đồng bộ hóa, có thể mất khoảng một hoặc hai phút để xử lý thông tin bạn vừa nhập.

Bây giờ, hãy truy cập Users trang này. Danh sách này giờ đây sẽ hiển thị tất cả người dùng theo định nghĩa trong OU= (xem hình minh họa bên dưới). Giờ đây, bất kỳ ai cũng có thể truy cập Workspace bằng thông tin đăng nhập Windows thông thường của họ.

Ví dụ về việc thêm người dùng vào Workspace thông qua đồng bộ hóa LDAP.