Интеграция с LDAP

Интеграция с LDAP - страница платформы Штурвал, на которой вы можете настроить интеграцию с каталогом сотрудников вашей компании, например, OpenLDAP, AD.

Настройка интеграции доступна в двух режимах:

• Базовый (включен по умолчанию)
• Расширенный (для изменения переключите значение флага “Включить расширенные настройки”)

В базовом режиме для настройки необходимо заполнить только обязательные и условно обязательные поля. По умолчанию предлагается интеграция без TLS.

Настройки подключения:

• DN для подключения (Distinguished Name технологической учетной записи пользователя для запросов в LDAP)
• Пароль для подключения
• Адрес LDAP-сервера (FQDN или IP-адрес). Например, ldap.example.ru или 10.11.112.33:636

Поиск групп:

• Базовый DN поиска групп (Базовое полное название группы)
• Атрибут имени группы (например, cn, uid или другой атрибут, который указывает на краткое название группы в каталоге)

Поиск пользователей

При выборе Использовать TLS дополнительно будут доступны поля:

• Создавать TLS-сессию при подключении к LDAP;
• Выключить верификацию CA;
• Клиентский сертификат (файл для загрузки)
• Доверенный корневой сертификат (файл для загрузки)
• Клиентский приватный ключ (файл для загрузки)

Загруженные файлы будут переведены в формат base64. По завершении интеграции файлы будут доступны для скачивания из интерфейса.

• Базовый DN поиска пользователей (Базовое полное название организационной единицы “пользователь”)
• Email атрибут (Поле уровня пользователь в LDAP, содержащее email сотрудника)
• Email суффикс (Общий суффикс, который будет добавляться к userName пользователя)
• Name атрибут*
• UserName атрибут

Из них условно-обязательные поля (должно быть заполнено хотя бы одно из них):

• Email атрибут
• Email суффикс

В блоке Сопоставление пользователей вы можете задать шаблон связи атрибута пользователя и атрибута группы.

После заполнения обязательных полей станет доступна кнопка Протестировать. Нажатие на эту кнопку инициирует попытку подключения к каталогу. В случае успешного подключения станет доступна кнопка Сохранить.

При необходимости внести изменения в сохраненную настройку введите пароль. После этого протестируйте интеграцию с измененными настройками и сохраните их.

Пример заполнения полей для настройки интеграции с типовым каталогом OpenLDAP #

Настройки подключения

• DN для подключения: cn=admin,dc=example,dc=com (пример DN для технологической учетной записи пользователя)
• Пароль для подключения: password123
• Адрес LDAP-сервера: ldap.example.ru (пример FQDN сервера LDAP)

Поиск групп

• Базовый DN поиска групп: ou=Groups,dc=example,dc=com (пример базового полного названия группы)
• Атрибут имени группы: cn (пример атрибута, указывающего на краткое название группы в каталоге)

Поиск пользователей

• Базовый DN поиска пользователей: ou=Users,dc=example,dc=com (пример базового полного названия организационной единицы “пользователь”)
• Email атрибут: mail (пример поля уровня пользователя в LDAP, содержащего email сотрудника)
• Email суффикс: @example.com (пример общего суффикса, который будет добавляться к userName пользователя)

Email суффикс указывается, если в LDAP не указан Email-атрибут в явном виде

При использовании TLS

• Создавать TLS-сессию при подключении к LDAP: да/нет (выбор опции для создания TLS-сессии при подключении к серверу LDAP)
• Выключить верификацию CA: да/нет (выбор опции для отключения проверки сертификата удостоверяющего центра)
• Клиентский сертификат: file.pem (файл с клиентским сертификатом)
• Доверенный корневой сертификат: ca.pem (файл с доверенным корневым сертификатом)
• Клиентский приватный ключ: key.pem (файл с клиентским приватным ключом)

В блоке “Сопоставление пользователей” можно задать шаблон связи атрибута пользователя и атрибута группы. Например, можно сопоставить атрибут “uid” пользователя с атрибутом “memberOf” группы, чтобы определить принадлежность пользователя к определенной группе.

dn: uid=user1,ou=users,dc=example,dc=com
uid: user1
cn: User One
memberOf: cn=group1,ou=groups,dc=example,dc=com
memberOf: cn=group2,ou=groups,dc=example,dc=com

Пример заполнения полей для настройки интеграции с типовым каталогом AD #

Настройки подключения

• DN для подключения: cn=admin,dc=example,dc=com
• Пароль для подключения: password123
• Адрес LDAP-сервера: ldap.example.ru

Поиск групп

• Базовый DN поиска групп: ou=groups,dc=example,dc=com
• Атрибут имени группы: cn

Поиск пользователей

Базовый DN поиска пользователей: ou=users,dc=example,dc=com

• Email атрибут: mail
• Email суффикс: @example.com
• Name атрибут: displayName
• UserName атрибут: uid

При использовании TLS

• Создавать TLS-сессию при подключении к LDAP: Да
• Выключить верификацию CA: Нет
• Клиентский сертификат: client.crt
• Доверенный корневой сертификат: ca.crt
• Клиентский приватный ключ: client.key

Пример настройки сопоставления пользователей и групп

• Атрибут пользователя: uid
• Атрибут группы: member

В данном примере используется типовой каталог Active Directory, где DN для подключения будет административным пользователем с полным контролем над LDAP-сервером, а для поиска групп и пользователей используются соответствующие организационные единицы и атрибуты.