Ověřování pomocí LDAP

Při ověřování pomocí LDAP kontroluje MRBS uživatele v adresářové službě, například OpenLDAP nebo Microsoft Active Directory.

$auth["type"] = "ldap";
$auth["session"] = "php";

Musí být nainstalováno rozšíření LDAP pro PHP.

Nastavení připojení LDAP

V souboru config.inc.php nastavte adresářové servery, verzi protokolu, zabezpečení přenosu, základní rozlišovací název (DN) a vyhledávací filtry. Příslušná nastavení LDAP nejprve zkopírujte ze souboru systemdefaults.inc.php.

Preferujte šifrovaný přenos:

• LDAPS tam, kde je podporován; nebo
• LDAP pomocí StartTLS.

Nainstalujte a ověřte řetězec certifikátů adresářového serveru. Pokud chcete vyřešit problém s certifikátem, nezakazujte ověřování.

Vyhledávání uživatelů

Přihlašovací jméno se vyhledává podle nastaveného atributu uživatele a filtru. Struktura adresářů se liší, proto otestujte:

• normální uživatel;
• správce;
• uživatel mimo povolenou organizační jednotku;
• deaktivovaný účet; a
• uživatelské jméno obsahující platné jiné znaky než ASCII, je-li to vhodné.

Skupiny a správci

MRBS může k identifikaci a popisu uživatelů používat atributy adresáře a členství ve skupinách. Ověřte, že práce s vnořenými skupinami odpovídá vašemu adresáři, a zdokumentujte skupiny, které udělují oprávnění správce MRBS.

Mapování atributů

Volitelná mapování mohou načíst e-mailové adresy a zobrazovaná jména:

$ldap_get_user_email = true;
$ldap_email_attrib = 'mail';
$ldap_name_attrib = 'cn';

Názvy atributů a vrácené formáty se mezi implementacemi LDAP liší.

Bezpečné odstraňování problémů

Ladicí volby LDAP mohou zpřístupnit podrobnosti o adresáři. Zapínejte je pouze na dobu nezbytně nutného testu, omezte přístup k výstupu a poté je ihned vypněte.

Když se přihlášení nezdaří, před změnou vyhledávacích filtrů nebo přihlašovacích údajů zkontrolujte přenos a certifikáty.