21. 设置 LDAP 身份验证¶

21.1. LDAP 机构和团队映射¶

You can control which users are placed into which controller organizations based on LDAP attributes (mapping out between your organization admins/users and LDAP groups).

键是机构的名称。如果机构不存在，则会创建机构。值是字典，用于定义每个机构成员资格的选项。对于每个机构来说，可以指定哪些组自动成为机构的用户，以及哪些组可以管理机构。

admins：None、True/False、字符串或字符串的列表/元组。

• 如果为 None，则机构管理员不会根据 LDAP 值进行更新。

• 如果为 True，则 LDAP 中的所有用户将自动添加为机构管理员。

• If False, no LDAP users will be automatically added as admins of the organization.

• 如果为字符串或字符串列表，则指定在与任何指定组匹配时将添加到机构的组 DN。

remove_admins：True/False。默认为 False。

• 当为 True 时，不属于指定组的成员将从机构的管理列表中删除。

users：None、True/False、字符串或字符串列表/元组。应用的规则与 admins 相同。

remove_users：True/False。默认为 False。应用的规则与 remove_admins 相同。

{
"LDAP Organization": {
  "admins": "cn=engineering_admins,ou=groups,dc=example,dc=com",
  "remove_admins": false,
  "users": [
    "cn=engineering,ou=groups,dc=example,dc=com",
    "cn=sales,ou=groups,dc=example,dc=com",
    "cn=it,ou=groups,dc=example,dc=com"
  ],
  "remove_users": false
},
"LDAP Organization 2": {
  "admins": [
    "cn=Administrators,cn=Builtin,dc=example,dc=com"
  ],
  "remove_admins": false,
  "users": true,
  "remove_users": false
}
}

组成员（用户）和 LDAP 组之间的映射。键是团队名称（如果不存在就会创建）。值是每个团队成员资格选项的字典，其中每项可以包含以下参数：

organization：字符串。团队所属机构的名称。

如果机构和团队名称的组合不存在，将会创建团队。如果机构不存在，则会首先创建机构。

users：None、True/False、字符串或字符串列表/元组。

• 如果为 None，则不会更新团队成员。

• 如果为 True/False，则所有 LDAP 用户将作为团队成员添加/删除。

• 如果为字符串或字符串列表，则指定组 DN。如果用户是这些组中任意组的成员，则用户将添加为团队成员。

remove：True/False。默认为 False。当为 True 时，不是给定组成员的用户将从团队中删除。

{
"LDAP Engineering": {
  "organization": "LDAP Organization",
  "users": "cn=engineering,ou=groups,dc=example,dc=com",
  "remove": true
},
"LDAP IT": {
  "organization": "LDAP Organization",
  "users": "cn=it,ou=groups,dc=example,dc=com",
  "remove": true
},
"LDAP Sales": {
  "organization": "LDAP Organization",
  "users": "cn=sales,ou=groups,dc=example,dc=com",
  "remove": true
}
}

21.2. 为 LDAP 启用日志记录¶

要为 LDAP 启用日志记录，您必须在 Settings 配置窗口中将级别设置为 DEBUG：

1. 从左侧导航窗格中点 Settings，再点系统选项列表中的 Logging settings。

2. 点 Edit。

3. 将 Logging Aggregator Level Threshold 字段设置为 Debug。

4. 点击 Save 保存您的更改。

21.3. 引用¶

当查询对象不存在于数据库中时，Active Directory 将使用“引用（referral）”。此项不适用于 django LDAP 客户端，大部分时间最好禁用引用。将以下行添加到您的 /etc/tower/conf.d/custom.py 文件来禁用 LDAP 引用。

AUTH_LDAP_GLOBAL_OPTIONS = {
    ldap.OPT_REFERRALS: False,
}

21.4. LDAP authentication performance tips¶

When an LDAP user authenticates, by default, all user-related attributes will be updated in the database on each log in. In some environments, this operation can be skipped due to performance issues. To avoid it, you can disable the option AUTH_LDAP_ALWAYS_UPDATE_USER. Refer to the Knowledge Base Article 5823061 for its configuration and usage instructions. Please note that new users will still be created and get their attributes pushed to the database on their first login.