PRO LDAP AD

На сервере должен быть установлен модуль PHP для LDAP. Он добавлен в автоустановку, но если у вы увидите ошибку его отсутсвия — установите на сервер командой:

apt install php8.0-ldap

ВИДЕО НА YouTube ⟹

Для подключения Totum к вашему серверу LDAP заполняем таблицу ttm__ldap_settings:

• h_host — хост ldap-сервера

• h_port — порт ldap-сервера. Обычно 389.

• h_version — если поле не заполнено то используется {"LDAP_OPT_PROTOCOL_VERSION":"3"}, но вы можете задать кастомные настройки параметров PHP для подключения в формате ключ-значение.

• h_ssl — поставьте галочку, если нужно проверять SSL-сертификат сервера LDAP.

• h_cert_file — загрузите два файла .key и .crt сертификата, если сервер LDAP использует сертификат выпущенный не общедоступным центром сертификации.

• h_ldap_on — включите, после того, как настроите все параметры.

  Важно! Не включайте до того как проверите работоспособность подключения.

• h_domains_settings — настройки доменов (одного или нескольких)

  • 

  • Можно заполнить примером по умолчанию по правой кнопке.

  • В верхнем ключе указывается домен (полностью с точками):

  • DC=totum,DC=local — надо указать как totum.local

  • user — логин пользователя, имеющего доступ к поиску в этом домене.

  • pass — пароль пользователя доступа.

    Если сервер поддерживает анонимные запросы — то user и pass могут отсутствовать. Именно отсутствовать, а не быть с пустыми значениями!

  • basedn — базовый DN в котором будет осуществлена фильтрация. Если не знаете, что это такое, то установите DN указанного домена.

  • filter — фильтр поиска, на основе которого будут выбраны пользователи с сервера LDAP:

  • // пример для сервера AD
    (&(objectCategory=Person)(memberOf=CN=totum,OU=AccessGroup,DC=totum,DC=local)(!(useraccountcontrol:1.2.840.113556.1.4.803:=2)))
    

  • // пример для unix
    (uid=*)
    

  • Документация по фильтрам поиска в AD: https://social.technet.microsoft.com/...

  • filter_single — фильтр поиска, по которому будет осуществлятся поиск отдельного пользователя по его логину:

  • // для AD
    (&(objectCategory=Person)({USER_LOGIN_PARAM}={USER_LOGIN}))
    

  • // для unix
    ({USER_LOGIN_PARAM}={USER_LOGIN})
    

  • Используется две замены значения:

    • {USER_LOGIN_PARAM} — будет взят из h_login_param.

    • {USER_LOGIN} — будет взят логин пользователя.

• h_bind_format — формат бинда пользователя на сервере LDAP:

  • @ type — для серверов AD

  • dn type — для Linux-серверов (в этом случае в h_domains_settings — domain — user] должен быть указан dn пользователя доступа)

  Для DN-типа авторизации недоступны режимы создания пользователей «Загружать при первом бинде» в h_user_processing_type. Только предварительная загрузка!

• h_domain_selector — вид переключателя доменов на странице авторизации (подробнее про последовательность авторизации смотрите дальше):

  • Скрыт

  • Totum/LDAP

  • Totum/Список доменов

• h_login_param — какой параметр является логином на вашем сервере паролей.

  • Стандартное значение для AD — sAMAccountName можно заполнить по правой кнопке.

  • Для Linux-систем скорее всего будет dn.

• h_fio_param — что записывать в FIO в таблице пользователей Totum. Можно изменить непосредственнов Totum. Он будет обновлен из Ldap только в том случае, если этот параметр изменится в Ldap.

• Тип email для записи в таблицу пользователей Totum:

  • From bind: login@domain.zone — email будет сформирован из логина и домена.

  • From param — email будет взят из параметра с сервера LDAP указанного в h_email_param.

  • В обоих случаях можно изменить email непосредственно в Totum. Он будет обновлен из Ldap только в том случае, если он изменится в Ldap.

• h_show_result — проверяет подключение с введенными значениями. По правой кнопке можно получить данные от Ldap-сервера с учетом параметров поиска Групп.

• h_user_processing_type — определяет в какой момент будут создаваться пользователя в totum:

  • Загружать при первом бинде — пользователи не будут создаваться в тотум предварительно, только в момент успешного бинда.

  • Загружать при первом бинде при соответствии ролей — пользователь будет авторизован и создан в totum только при успешном бинде и наличии соответствий ролей.

  • Все найденные пользователи — пользователи будут загружены и созданы в Totum при нажатии на h_import_users независимо от соответствия ролей. При отсутствии соответствия роли у такого пользователя будут пустыми.

  • Только с совпадающими ролями — пользователи будут загружены и созданы в Totum при нажатии на h_import_users только, если у них есть соответствующие роли.

• h_get_groups — настройки получения групп. Для каждого пользователя будут выполнены дополнительные запросы c подстановкой {USER_DN} и результат помещен в указанный ключ (для AD можно заполнить по правой кнопке):

  • Пустое — не загружать группы.

  • получить прямое вхождение в группы:

  groups: (&(objectCategory=group)(member={USER_DN}))
  

  • получить косвенное вхождение в группы (для случаев, когда группы вложены в группы):

  all_groups: (&(objectCategory=group)(member:1.2.840.113556.1.4.1941:={USER_DN}))
  

• h_group_param — параметр, который будет запрошен при выполнении h_get_groups и по которому потом будет происходить матчинг групп. Для AD обычно используется CN.

• h_import_users — импортирует пользователей (добавляет и обновляет) из Ldap в Totum в соответсвии с настройками.

  Особенности создания пользователя в Totum

  Логин Тотум для ldap-пользователей — пустой.

  В поле ttm__auth_type устанавливается значение ldap.

  Логин в ldap в формате loginParam@domain.zone — записываем в отдельное после ttm__extparams (тип данные) + туда же записываем DN и загружаемые параметры + назначенные по правилам соответствия роли.

• h_update_one_user — добавляет и обновляет одного пользователя.

• h_generate_cron — создает задание крона в таблице Кроны, нажимающее по расписанию на кнопку h_import_users.