Configurați autentificarea Nextcloud LDAP și Active Directory

Pentru a utiliza conturi LDAP sau Active Directory în Nextcloud, activați aplicația „Backend utilizatori și grupuri LDAP”, configurați o conexiune la director, apoi testați filtrele de utilizatori, date de conectare și grupuri înainte de a permite personalului să se bazeze pe ele. Integrarea LDAP a Nextcloud se autentifică în director; nu creează și nu gestionează conturi de director. Începeți cu un cont de serviciu doar pentru citire și un grup de testare mic, cunoscut, astfel încât să puteți confirma exact cine va apărea și cine se poate conecta.

Acești pași respectă instrucțiunile din Manualul de administrare Nextcloud 35. Etichetele și ambalajele meniurilor pot varia în funcție de versiune, așadar consultați manualul pentru versiunea instalată dacă acestea diferă.

Pregătiți conexiunea la director

Înainte de a deschide setările Nextcloud, cereți administratorului LDAP sau AD numele de gazdă al directorului, metoda de conexiune criptată, portul, DN-ul de bază și un cont de legătură care poate căuta în arborii de utilizatori și grupuri necesari. Contul de legătură este utilizat de Nextcloud pentru a căuta înregistrări din director; este separat de acreditările de conectare ale fiecărui utilizator. Nextcloud documentează un cont de căutare dedicat ca abordare recomandată.

Folosește o conexiune criptată cu verificare a certificatului. Nextcloud documentează portul 636 ca implicit LDAPS. Mediul PHP al serverului Nextcloud trebuie să aibă încredere în certificatul directorului; nu dezactivați verificarea ca o soluție de rutină. Confirmă orice transport sau port non-standard cu administratorul directorului tău.

Confirmați că modulul PHP LDAP este instalat (adesea ambalat ca php-ldap) și că serverul Nextcloud poate accesa directorul pe portul selectat. Implementările în containere și cele gestionate pot avea propria metodă de instalare acceptată.

Activați backend-ul LDAP și conectați-vă la server

1. Conectați-vă la Nextcloud ca administrator. Deschideți Aplicații și activați backend-ul LDAP pentru utilizatori și grupuri, dacă nu este deja activat. ID-ul aplicației utilizat de occeste user_ldap.
2. Deschideți setările de administrare pentru integrarea LDAP/AD și începeți o nouă configurare a serverului. Completați mai întâi fila Server ; Nextcloud o folosește pentru a testa conexiunea la director și a detecta setările pentru celelalte file.
3. Introduceți gazda directorului sau un ldaps://URI, portul dacă nu este detectat, numele distinctiv (DN) complet al contului de legătură, parola acestuia și DN-ul de bază. Un DN de bază identifică partea din arborele de directoare pe care Nextcloud o caută. De exemplu, dc=example,dc=comeste un format, nu o valoare de copiat, cu excepția cazului în care se potrivește directorului dvs.
4. Executați testul de conexiune. Dacă descoperirea nu găsește DN-ul de bază sau portul, introduceți valorile furnizate de administratorul directorului. Nu extindeți DN-ul de bază doar pentru a trece testul; utilizați cel mai mic subarbore de directoare care conține utilizatorii și grupurile vizate.

Un indicator verde al serverului înseamnă că Nextcloud poate comunica cu directorul folosind acele setări de conexiune. Nu dovedește că utilizatorii corecți se pot conecta sau că apartenența la grup este mapată corect. Continuați prin setările de utilizator, conectare și grup înainte de a considera integrarea ca fiind gata.

Limitați numărul de conturi care se pot conecta

Folosește fila Utilizatori pentru a defini ce înregistrări LDAP pot fi introduse în listele Nextcloud. Folosește Atribute de conectare pentru a decide ce atribut poate introduce o persoană la ecranul de conectare. Acestea sunt controale separate: un utilizator poate fi descoperit în director fără a i se permite să se conecteze, iar un filtru de conectare poate afecta utilizatorii acceptați.

Pentru Active Directory, configurarea Nextcloud poate detecta automat setările comune, inclusiv atributul nume de utilizator. Atributul implicit de nume de utilizator documentat este de obicei sAMAccountNameîn AD și uidîn multe directoare LDAP. Verificați valoarea detectată cu un cont de test real. Dacă utilizatorii ar trebui să se conecteze cu adrese de e-mail, selectați atributul e-mail numai după ce confirmați că este completat și unic pentru fiecare cont permis.

Când este posibil, restricționați accesul la un grup Nextcloud dedicat. Folosiți selectorul de grup sau un filtru testat în funcție de propria clasă de obiecte, propriul DN de grup și atribute. Nu copiați filtrele eșantion neschimbate: un filtru defect poate returna niciun utilizator sau un set mai larg neintenționat.

În Grupuri , alegeți clasa de obiecte de grup a directorului și grupurile de expus; niciunul nu este disponibil în mod implicit până la configurarea acestuia. Pentru grupurile AD imbricate, Nextcloud documentează că opțiunea „Grupuri imbricate” singură poate să nu fie suficientă: filtrele de utilizator și de conectare pot necesita și regula de potrivire a AD. Confirmați acest comportament cu administratorul directorului și testați un membru imbricat.

Testați identitățile înainte de producție

1. Revizuiți setările avansate fără a modifica opțiunile pe care nu le înțelegeți. În special, decideți ce câmp furnizează numele afișat și lăsați regula internă de nume de utilizator stabilă.
2. Verificați starea Configurației active . Nextcloud avertizează că o configurație dezactivată poate cauza eșecul autentificării, cu un mesaj înșelător de tip „parolă greșită”; un test reușit o activează în mod normal automat.
3. Folosește Configurație test , apoi salvează. Butonul testează valorile aflate în prezent în câmpuri, deci nu este necesară salvarea înainte de test.
4. Deschideți pagina Utilizatori Nextcloud și confirmați că apar utilizatorii și grupurile eșantion așteptate. Apoi, testați conectarea cu un cont de director permis și un cont care ar trebui exclus.
5. Confirmați că numele afișat, apartenența la grup și comportamentul cotei pentru contul permis sunt corecte. Dacă este configurat un atribut de profil sau o cotă LDAP, verificați-o cu un utilizator de test înainte de lansarea pe scară largă.

Pentru verificările din linia de comandă, găsiți mai întâi ID-ul configurației cu occ ldap:show-config. Apoi, rulați comanda test documentată, înlocuind acel ID:

sudo -E -u www-data php occ ldap:test-config s01
sudo -E -u www-data php occ ldap:test-user-settings "USER_DN"

Ajustați calea comenzii și contul serverului web pentru instalare; utilizatorii containerului ar trebui să urmeze occprocedura imaginii lor. Prima comandă testează legătura, în timp ce a doua inspectează maparea unui utilizator.

Știți ce nu schimbă integrarea

Backend-ul LDAP citește conturile de directoare; nu le creează, nu le editează și nu le șterge. Modificările parolei din Nextcloud sunt opționale și depind de suportul și configurația directoarelor. În caz contrar, utilizatorii trebuie să utilizeze procesul normal de resetare a parolei al organizației.

Nextcloud stochează mapările interne, iar numele de utilizator interne sunt practic imuabile; acestea pot apărea în căile folderelor principale și în adresele URL DAV. Alegeți un identificator stabil înainte de a integra utilizatorii. Nu ștergeți niciodată mapările LDAP pe o instanță de producție ca o comandă rapidă de depanare, deoarece poate lăsa referințe în urmă și poate afecta toate configurațiile LDAP.

Dacă testul eșuează, verificați jurnalele Nextcloud, DNS-ul, accesul la port, acreditările de legare, DN-ul de bază și încrederea în certificat. Dacă nu apar utilizatori, verificați filtrele de utilizatori și clasele de obiecte; dacă apar utilizatori, dar nu se pot conecta, verificați atributele de conectare și starea activă. Verificați conectându-vă cu un cont permis și confirmând că un cont exclus este respins.

Referințe: Documentația de autentificare LDAP pentru Nextcloud 35 , comenzile occ LDAP pentru Nextcloud 35 și cerințele modulului PHP pentru Nextcloud .