22. 设置 LDAP 身份验证¶

管理员使用 LDAP 作为 Tower 用户的帐户身份验证信息来源。它提供了用户身份验证，而未提供用户权限和凭证的同步功能。机构成员资格（以及机构管理员）和团队成员资格可以同步。

当这样配置时，使用 LDAP 用户名和密码登录的用户会自动获得为其创建的 Tower 帐户，并可作为常规用户或机构管理员自动将其放置到机构中。

通过 LDAP 登录创建的用户无法为自己更改用户名、名、姓或设置本地密码。也可以调整此项来限制其他字段名称的编辑。

为 Tower 配置 LDAP 集成：

1. 首先，在 LDAP 中创建有权读取整个 LDAP 结构的用户。

2. 如果您能够成功查询 LDAP 服务器，请使用 ldapsearch 命令，这是一个命令行工具，可以安装在 tower 系统的命令行上，也可以安装在其他 Linux 和 OSX 系统上。使用以下命令查询 ldap 服务器，其中 josie 和 Josie4Cloud 由适用于您的设置的属性替代：

ldapsearch -x  -H ldap://win -D "CN=josie,CN=Users,DC=website,DC=com" -b "dc=website,dc=com" -w Josie4Cloud

此处 CN=josie,CN=users,DC=website,DC=com 是连接的用户的可辨识名称。

3. 在 Ansible Tower 用户界面中，从 Settings () 菜单屏幕中点击 Authentication。

在默认情况下，最初会显示 Azure AD 标签页。

4. 选择 LDAP 选项卡。

注解

您可以通过指定要配置的服务器来配置多个 LDAP 服务器（否则，使服务器保留为 Default）：

等同的 API 端点将显示 AUTH_LDAP_* 重复：AUTH_LDAP_1_*、AUTH_LDAP_2_*、......、AUTH_LDAP_5_* 用于表示服务器的名称。

5. 在 LDAP Server URI 字段中输入要连接的 LDAP 服务器地址，其格式与文本字段中显示的格式相同。以下是一个示例：

6. 在 LDAP Bind DN 文本字段中输入可辨识的名称，以指定 Tower 用来连接（绑定）LDAP 服务器的用户。以下使用了示例 CN=josie,CN=users,DC=website,DC=com：

7. 在 LDAP Bind Password 文本字段中输入用于绑定用户的密码。在本例中，密码是“passme”：

8. 如果该名称存储在键 sAMAccountName 中，则**LDAP User DN Template** 使用 (sAMAccountName=%(user)s) 填充。Active Directory 将用户名保存到 sAMAccountName。同样，对于 OpenLDAP，键是 uid，行变为 (uid=%(user)s)。

9. 点击以从 LDAP Group Type 下拉菜单中选择组类型。

LDAP 组类型包括：

• PosixGroupType

• GroupOfNamesType

• GroupOfUniqueNamesType

• ActiveDirectoryGroupType

• OrganizationalRoleGroupType

• MemberDNGroupType

• NISGroupType

• NestedGroupOfNamesType

• NestedGroupOfUniqueNamesType

• NestedActiveDirectoryGroupType

• NestedOrganizationalRoleGroupType

• NestedMemberDNGroupType

• PosixUIDGroupType

Tower 支持的 LDAP 组类型利用底层 django-auth-ldap library。

每个 LDAP Group Type 都可能采用不同的参数。因此 Tower 将 LDAP_GROUP_TYPE_PARAMS 公开给帐户。LDAP_GROUP_TYPE_PARAMS 是字典，Tower 把它转换成 kwargs，并传递给所选的 LDAP 组类型类。所有 LDAP 组类型常用的参数有两个：name_attr 和 member_attr。其中 name_attr 默认为 cn ，而 member_attr 默认为 member：

{"name_attr": "cn", "member_attr": "member"}

要确定特定 LDAP 组类型所需的参数，请参阅有关类 init 参数的 django_auth_ldap 文档。

10. 在 LDAP Require Group 字段中输入组可辨识名称以允许该组中的用户访问 Tower，使用的格式与文本字段中显示的格式相同。在本例中，请使用：CN=Tower Users,OU=Users,DC=website,DC=com

11. 在 LDAP Deny Group 字段中输入组可辨识名称以防止该组中的用户访问 Tower，使用的格式与文本字段中显示的格式相同。在本例中，将该字段留空。

12. LDAP Start TLS 默认禁用。当 LDAP 连接未使用 SSL 时，若要启用 TLS，请点击切换到 ON。

13. 在 LDAP USER SEARCH 字段中输入在身份验证时搜索用户的位置，使用的格式与文本字段中显示的格式相同。在本例中，使用：

[
"OU=Users,DC=website,DC=com",
"SCOPE_SUBTREE",
"(cn=%(user)s)"
]

第一行指定在 LDAP 树中搜索用户的位置。在上例中，从 DC=website,DC=com 开始以递归方式搜索用户。

第二行指定搜索用户的范围：

• SCOPE_BASE：此值只用于指定仅搜索基本 DN 处的条目，从而只返回该条目

• SCOPE_ONELEVEL：此值用于指定搜索基本 DN 下某一个级别的所有条目，但不包括基本 DN，且不包括基本 DN 下某一级别下的条目。

• SCOPE_SUBTREE：此值用于指定搜索所有级别的全部条目，且包括指定的基本 DN。

第三行指定存储用户名的键名。

[
  [
  "OU=Users,DC=northamerica,DC=acme,DC=com",
  "SCOPE_SUBTREE",
  "(sAMAccountName=%(user)s)"
  ],
  [
  "OU=Users,DC=apac,DC=corp,DC=com",
  "SCOPE_SUBTREE",
  "(sAMAccountName=%(user)s)"
  ],
  [
  "OU=Users,DC=emea,DC=corp,DC=com",
  "SCOPE_SUBTREE",
  "(sAMAccountName=%(user)s)"
  ]
]

14. 在 LDAP Group Search 文本字段中，指定应当搜索哪些组以及如何搜索它们。在本例中，使用：

 [
"dc=example,dc=com",
"SCOPE_SUBTREE",
"(objectClass=group)"
 ]

• 第一行指定应当搜索组的基本 DN。

• 第二行指定范围，与用户指令的范围相同。

• 第三行指定在您使用的 LDAP 中组对象的 objectclass 是什么。

15. 在 LDAP User Attribute Map 文本字段中输入用户属性。在本例中，使用：

{
"first_name": "givenName",
"last_name": "sn",
"email": "mail"
}

上面的示例按姓从键 sn 中检索用户。您可以对用户使用相同的 LDAP 查询，以找出他们存储在哪些键下。

16. 在 LDAP User Flags by Group 文本字段中输入用户配置集标志。在本例中，使用以下语法将 LDAP 用户设置为“Superusers”和“Auditors”：

{
"is_superuser": "cn=superusers,ou=groups,dc=website,dc=com",
"is_system_auditor": "cn=auditors,ou=groups,dc=website,dc=com"
}

上例检索在其配置集中标记为 superusers 或 auditor 的用户。

17. 如需完成映射字段的详情，请参阅 LDAP 机构和团队映射。

18. 完成后请点击 Save。

使用此表单上输入的这些值，您现在可以通过 LDAP 进行成功身份验证。

AUTH_LDAP_GLOBAL_OPTIONS = {
    ldap.OPT_REFERRALS: False,
}

22.2. 为 LDAP 启用日志记录¶

要为 LDAP 启用日志记录，您必须在 Tower 设置配置窗口中将级别设置为 DEBUG：

1. 点击左侧导航栏中的 Settings () 图标并选择 System。

2. 从系统配置页面中，点击 Logging 选项卡。

3. 滚动到底部，将 Logging Aggregator Level Threshold 字段设置为 Debug。

4. 点击 Save 保存您的更改。

{
"LDAP Organization": {
  "admins": "cn=engineering_admins,ou=groups,dc=example,dc=com",
  "remove_admins": false,
  "users": [
    "cn=engineering,ou=groups,dc=example,dc=com",
    "cn=sales,ou=groups,dc=example,dc=com",
    "cn=it,ou=groups,dc=example,dc=com"
  ],
  "remove_users": false
},
"LDAP Organization 2": {
  "admins": [
    "cn=Administrators,cn=Builtin,dc=example,dc=com"
  ],
  "remove_admins": false,
  "users": true,
  "remove_users": false
}
}

{
"LDAP Engineering": {
  "organization": "LDAP Organization",
  "users": "cn=engineering,ou=groups,dc=example,dc=com",
  "remove": true
},
"LDAP IT": {
  "organization": "LDAP Organization",
  "users": "cn=it,ou=groups,dc=example,dc=com",
  "remove": true
},
"LDAP Sales": {
  "organization": "LDAP Organization",
  "users": "cn=sales,ou=groups,dc=example,dc=com",
  "remove": true
}
}