Документация VMmanager 6 (администратор)

Синхронизация с каталогом LDAP

ISPSystem

LDAP (Lightweight Directory Access Protocol) — это протокол прикладного уровня для доступа к службе каталогов. Служба каталогов (каталоги LDAP) — это система с иерархической структурой для хранения данных в формате "ключ-значение". Обычно службы каталогов используют для хранения информации об организации, её активах и пользователях. Существуют различные реализации каталогов LDAP. Например, OpenLDAP и FreeIPA для Linux, Microsoft Active Directory для Windows и т.д.

Вы можете настроить синхронизацию VMmanager c каталогом LDAP. Тогда учётные записи пользователей из каталога будут автоматически создаваться в платформе.

Логика работы


VMmanager запускает синхронизацию с каталогом LDAP с периодичностью, заданной в настройках. При синхронизации платформа подключается с заданными параметрами к каталогу LDAP и получает список пользователей. Информация о пользователях из каталога LDAP является более приоритетной по сравнению с информацией в платформе.

Общие правила синхронизации:

  1. Если пользователя из каталога LDAP нет в платформе, платформа создаст учётную запись с данными из LDAP.
  2. Если пользователь из каталога LDAP уже создан в платформе, то платформа изменит пароль учётной записи пользователя на данные из LDAP.
    Пример: В платформе создана учётная запись с именем admin@example.com и паролем secret1. В LDAP есть учётная запись с именем admin@example.com и паролем secret2. После синхронизации пользователь admin@example.com сможет авторизоваться в платформе только с паролем secret2.
  3. Если пользователь из каталога LDAP уже создан в платформе, то платформа изменит уровень учётной записи на данные из LDAP.
    Пример: В платформе создана учётная запись с именем admin@example.com уровня "Администратор". В LDAP есть учётная запись с именем admin@example.com в группе "Пользователи". После синхронизации уровень учётной записи изменится на "Пользователь". Если пользователь является владельцем серверов, операции с этими серверами останутся ему доступны.
  4. Если администратор удалит из платформы пользователя, созданного при синхронизации с LDAP, платформа создаст этого пользователя при следующей синхронизации.
  5. Если пользователь будет удалён из каталога LDAP, платформа удалит его учётную запись при следующей синхронизации.
  6. Если пользователь будет заблокирован в каталоге LDAP, платформа установит для него статус "Заблокирован в LDAP". Такой пользователь не сможет авторизоваться в платформе.

Настройка синхронизации


Чтобы настроить синхронизацию, перейдите в Синхронизация с LDAP:

  1. Выберите реализацию каталога LDAP:
    • LDAP — стандартная реализация службы каталогов;
    • Active Directory;
    • FreeIPA.
  2. Укажите настройки подключения:
    1. Base DN — объект каталога, с которого начинается поиск. Например, для каталога example.com укажите "dc=example,dc=com".
    2. Если нужно, включите опцию Использовать SSL для подключения.
    3. Адрес основного сервера.
    4. Порт подключения.
    5. Bind DN — уникальное имя для аутентификации. Вы можете указать имя в формате name@example.com или "cn=name,ou=group,dc=example,dc=com".
    6. Пароль.
    7. Для стандартной реализации LDAP укажите:
      1. Users DN — параметр для поиска и загрузки пользователей. Например, "ou=users".
      2. Groups DN — параметр для поиска и загрузки групп пользователей. Например, "ou=groups".
      3. Groupname attribute — атрибут для загрузки имени группы. Например, CN или memberof.
      4. E-mail attribute — атрибут для загрузки адреса электронной почты пользователя. Например, mail.
  3. Нажмите Далее. VMmanager проверит подключение к каталогу LDAP с указанными параметрами.
  4. Выберите DN группы для ролей. Подробнее о ролях пользователей в VMmanager см. в статье Уровни доступа:
    1. Администратор.
    2. Пользователь.
  5. Чтобы платформа выполняла синхронизацию по расписанию:
    1. Включите опцию Синхронизировать пользователей автоматически.
    2. Выберите параметры расписания:
      • Каждый час;
      • Ежедневно → выберите время;
      • Еженедельно → выберите день недели → выберите время;
      • произвольное время в формате cron → укажите Команду для cron. Например, 15 10 * * 0 — синхронизировать по воскресеньям в 10:15 или 00 12 1,16 * * — синхронизировать по 1-м и 16-м числам месяца в 12:00.
  6. Вы можете Загрузить список пользователей для синхронизации. Список содержит имена пользователей, их роли и информацию о наличии аналогичных пользователей в платформе.
  7. Нажмите Начать синхронизацию. VMmanager запустит процесс синхронизации. Синхронизация может занять несколько минут.

Пример настройки


Вы можете изменить сохранённые настройки в разделе Синхронизация с LDAP.

Чтобы выполнить синхронизацию вручную, перейдите в Синхронизация с LDAPСинхронизировать сейчас или ПользователиСинхронизировать с LDAPНачать синхронизацию.


Связанные статьи

Спасибо за ваш отзыв!
Была ли полезна статья?
Уточните, почему:

статья не соответствует названию

статью сложно понять

в статье нет ответа на мой вопрос

рекомендации из статьи не помогли

другая причина

Расскажите, что вам не понравилось в статье: