Uwierzytelnianie LDAP¶

Uwierzytelnianie LDAP weryfikuje użytkowników MRBS w oparciu o katalog LDAP, taki jak OpenLDAP lub Microsoft Active Directory.

$auth["type"] = "ldap";
$auth["session"] = "php";

Należy zainstalować rozszerzenie PHP LDAP.

Ustawienia połączenia¶

Skonfiguruj serwery katalogowe, wersję protokołu, bezpieczeństwo transportu, podstawową nazwę wyróżniającą i filtry wyszukiwania w config.inc.php. Skopiuj odpowiednie ustawienia LDAP z systemdefaults.inc.php przed ich zmianą.

Preferuj transport szyfrowany:

LDAPS, jeśli jest obsługiwany; lub
LDAP z StartTLS.

Zainstaluj i sprawdź łańcuch certyfikatów serwera katalogowego. Nie wyłączaj weryfikacji, aby obejść problem z certyfikatem.

Wyszukiwanie użytkownika¶

Nazwa logowania jest lokalizowana przy użyciu skonfigurowanego atrybutu użytkownika i filtra. Układy katalogów są różne, więc przetestuj za pomocą:

zwykły użytkownik;
administrator;
użytkownik spoza dozwolonej jednostki organizacyjnej;
wyłączone konto; i
nazwę użytkownika zawierającą prawidłowe znaki spoza zestawu ASCII, jeśli ma to zastosowanie.

Grupy i administratorzy¶

MRBS może wykorzystywać atrybuty katalogów i członkostwo w grupach do identyfikowania lub opisywania użytkowników. Upewnij się, że zachowanie grupy zagnieżdżonej jest zgodne z Twoim katalogiem i dokumentem, który grupy przyznają uprawnienia administracyjne MRBS.

Mapowanie atrybutów¶

Opcjonalne mapowania mogą pobierać adresy e-mail i wyświetlane nazwy:

$ldap_get_user_email = true;
$ldap_email_attrib = 'mail';
$ldap_name_attrib = 'cn';

Nazwy atrybutów i zwracane formaty różnią się w zależności od implementacji LDAP.

Bezpieczne rozwiązywanie problemów¶

LDAP opcje debugowania mogą ujawnić szczegóły katalogu. Włącz je tylko na ograniczony test, ogranicz dostęp do wyjścia i wyłącz je natychmiast po tym.

Jeśli logowanie nie powiedzie się, przed zmianą filtrów wyszukiwania lub danych uwierzytelniających sprawdź transport i certyfikaty.