Active Directory ve LDAP

CID222'yi dizininize bağlayın ki kullanıcılar mevcut alan hesaplarıyla oturum açsın. İşi iki bölme yapar: Active Directory / LDAP bağlantıyı tutar, Dizin Senkronu ise kullanıcıları bir gruptan ya da kuruluş biriminden içe aktarır; böylece onlar hiç oturum açmadan önce rollerini belirleyebilirsiniz.

Neye ihtiyacım var?

Lisans

Any

Rol

admin_user

Ön koşullar

• Cihaz ilk açılış sihirbazını tamamlamış olmalıdır.
• Dizinde, kullanıcı alt ağacında arama yetkisi olan salt okunur bir servis hesabı bulunmalıdır.
• Cihazdan en az bir alan denetleyicisine TCP 636 açık olmalıdır — bkz. Ağ ön koşulları.
• Alan denetleyicisi, cihazınızın doğrulayabileceği bir sertifika sunmalı ya da doğrulanmamış bir LDAPS bağlantısını kabul etmelisiniz.
• Parolasını bildiğiniz yerel bir yönetici hesabı bulunmalıdır. Dizin kesintisinde dizinle oturum açma başarısız olur; geri dönüş yolu yerel hesaptır.

Screenshot pendingBağlantı kartı, Erişilebilir durum rozeti ve doldurulmuş bind alanlarıyla Ayarlar → Active Directory / LDAP sayfası/assets/screenshots/settings-active-directory@0.4.png

Dizinle kimlik doğrulama her lisans katmanında bulunur ve süresi dolmuş bir lisanstan etkilenmez — onu kısıtlamak, yenilemeye gelen yöneticiyi dışarıda bırakırdı. Tek lisans etkileşimi, dizin yeni bir hesap oluşturmaya çalıştığında geçerli olan kullanıcı üst sınırıdır.

Dizine bağlanın

Bir gruptan ya da OU'dan kullanıcı içe aktarın

Eşitleme kapsamı; bir dizin grubu ya da OU ile üyelerinin alması gereken CID222 rolü ve kiracı grubudur.

Bir dizin kullanıcısı nasıl oturum açar

Yolu kullanıcı adı belirler. Kaydı dizin tabanlı olduğunu söyleyen bir hesap her zaman dizine karşı denetlenir, hiçbir zaman yerel bir parola özetine karşı değil; yerel olan bir hesap ise, dizin etkin ve erişilemez olsa bile her zaman yerelde denetlenir. Bu kural acil erişim güvencesidir — ayarlanacak bir bayrak yoktur, dolayısıyla unutulacak bir bayrak da yoktur.

Başarılı bir bind işleminde cihaz; kullanıcının ayırt edici adını kaydeder, varsa yerel parolayı temizler, görünen adı ve e-postayı dizinden tazeler ve dizin kullanıcıyı yönetici grubuna koymuşsa admin_user rolünü verir. Hiçbir zaman rol düşürmez: dizinin artık gerekçelendirmediği bir rol olduğu gibi bırakılır ve bunun yerine LDAP_ADMIN_ROLE_DRIFT olarak bildirilir.

Birbirine benzeyen ama aynı olmayan iki ret vardır:

• Invalid credentials, dizinin parolayı reddettiği anlamına gelir.
• The directory server could not be reached, so directory sign-in is temporarily unavailable. This is not a problem with your password. Local accounts are unaffected. ise dizinin hiç yanıt vermediği anlamına gelir. Hesapta bir sorun yoktur.

Bir dizin hesabı için parola sıfırlama bağlantısı üretilemez. Cihaz şu ifadeyle reddeder: This account is managed by your directory (AD/LDAP). Its password must be reset in the directory — burada üretilecek bir bağlantı, oturum açmanın hiç denetlemediği bir parola belirlerdi.

Alan başvurusu

GET /admin/ldap/config, saklanan kaydı şifreli parola olmadan ve has_bind_password alanıyla birlikte döndürür.

POST /admin/ldap/scopes üzerinden eşitleme kapsamı alanları:

URL, bind DN ya da base DN değiştirmek, kayıtlı sağlık durumunu hiç denenmedi durumuna sıfırlar. Cihaz dizini kendi zamanlamasıyla, varsayılan olarak beş dakikada bir yeniden dener (LDAP_HEALTH_PROBE_INTERVAL_MS).

Doğrulama

1. Bağlantıyı test et öğesini seçin. Sıfırdan farklı bir sayıyla Connected. Found N+ user object(s) under the base DN. bildirir.
2. Connection kartının rozeti Erişilebilir okunur.
3. Gizli bir pencerede bir dizin kullanıcısı olarak oturum açın. Hesap, Kiracılar altında Dizininizde yönetiliyor işaretiyle görünür ve bir kapsamın içe aktardığı üyeler kiracı gruplarında AD ile eşitlendi gösterir.
4. Dizini durdurun ya da portu engelleyin ve Olay Günlükleri sayfasının DIRECTORY_DEGRADED, dizin döndüğünde ise DIRECTORY_RECOVERED kaydettiğini doğrulayın. Kesinti sırasındaki bir oturum açma denemesi DIRECTORY_LOGIN_UNAVAILABLE kaydeder.
5. Dizin hâlâ kapalıyken yerel acil erişim yöneticinizle oturum açın. Başarılı olur.

Başarısız olursa

• LDAP url, bind DN and base DN must be configured → üçünden biri boştur. Her göz atma, test, önizleme ve eşitleme yolu üçünü birden ister.
• Testing a different LDAP url requires the bind password to be re-entered; the saved password is only sent to the saved url. → parolayı yeniden yazmadan Server URL değerini değiştirdiniz.
• Test bir geçersiz kimlik bilgisi hatası bildiriyorsa: bind DN'i ya da parolası yanlıştır veya parola kaydedildiğinden bu yana JWT_SECRET değiştirilmiştir. Bind password alanını yeniden yazıp kaydedin.
• Test reddedilen bir bağlantı, çözümlenemeyen bir ad ya da zaman aşımı bildiriyorsa cihaz denetleyiciye erişemiyordur. Bkz. Ağ ön koşulları.
• Test bir sertifika hatası bildiriyorsa denetleyicinin sertifikası cihazın güven deposuna karşı doğrulanmıyordur. Düzenleyici CA'yı kurun ya da doğrulanmamış bir bağlantıyı kabul ediyorsanız LDAP_TLS_REJECT_UNAUTHORIZED değerini false yapın.
• The service bind succeeded but the base DN returned no entry → bind çalışıyor ve base DN yanlış.
• Could not read all members of DN ya da aralıklı alma hakkında bir ileti → grup, dizinin tek bir yanıtta döndürdüğünden büyüktür. Bilinçli olarak hiçbir şey kaldırılmadı: okunabilen kısmı tüm üyelik saymak, geri kalan herkesi gruptan çıkarırdı.
• This sync scope is disabled. Re-enable it before syncing. → kapsam pasiftir.
• Sync scope "…" is mapped to a CID tenant group (…) that no longer exists. → hedef kiracı grubu silinmiştir. Kapsamı yeniden yönlendirin ya da eşlemeyi kaldırın.
• Bir kiracı grubunu silmek GROUP_MAPPED_BY_SYNC_SCOPE ile reddediliyorsa bir eşitleme kapsamı hâlâ onu gösteriyordur. Önce kapsamı yeniden yönlendirin.
• Eşitleme, kullanıcıların içe aktarılmadığını bildirip bir lisans sayısı veriyorsa ya da ilk oturum açma LIMIT_EXCEEDED ile reddediliyorsa lisans kullanıcı üst sınırına ulaşılmıştır. Artık gerekmeyen hesapları pasifleştirin ya da CID222 iletişim kişinizden sınırı yükseltmesini isteyin. Mevcut kullanıcılar oturum açmayı sürdürür.
• Eşitleme Directory answered only partly … nothing removed bildiriyorsa okuma eksiktir; dolayısıyla ne gruptan çıkarma ne de pasifleştirme çalışmıştır ve kapsamın son eşitleme zamanı ilerlememiştir. Dizin tarafındaki nedeni giderip yeniden eşitleyin.

Üzerine tasarım kurmadan önce bilinmesi gereken sınırlar

Eşitleme hiçbir zaman rol düşürmez ve hiçbir zaman hesap silmez. Bir kapsamdan çıkan bir kullanıcı o kapsamın grup üyeliğini kaybeder; bir hesap yalnızca dizin nesnenin gittiğini olumlu biçimde yanıtladığında pasifleştirilir. Farklı varsayılan rollere sahip iki kapsamla eşleşen bir kullanıcı, sonraki bir koşu onu yönetici grubunda bulmadıkça ilk kapsamın verdiği rolü korur.

Sonraki adımlar

• Kiracı grupları — bir eşitleme kapsamının kullanıcıları kaydettiği gruplar ve onları izleyen kimlik bilgileri.
• Erişim denetimi — normal_user ve admin_user rollerinin gerçekte neye eriştiği.
• Parola teslimatı — bir dizin kesintisinde elinizde kalan yerel hesapların sıfırlama bağlantılarını nasıl aldığı.