23. 设置 LDAP 身份验证¶

管理员使用 LDAP 作为控制器用户的帐户身份验证信息来源。它提供了用户身份验证，而未提供用户权限和凭证的同步功能。机构成员资格（以及机构管理员）和团队成员资格可以同步。

当这样配置时，使用 LDAP 用户名和密码登录的用户会自动获得为其创建的控制器帐户，并可作为常规用户或机构管理员自动将其放置到机构中。

通过 LDAP 登录创建的用户无法为自己更改用户名、名、姓或设置本地密码。也可以调整此项来限制其他字段名称的编辑。

为控制器配置 LDAP 集成：

1. 首先，在 LDAP 中创建有权读取整个 LDAP 结构的用户。

2. 如果您能够成功查询 LDAP 服务器，请使用 ldapsearch 命令，这是一个命令行工具，可以安装在控制器系统的命令行上，也可以安装在其他 Linux 和 OSX 系统上。使用以下命令查询 ldap 服务器，其中 josie 和 Josie4Cloud 由适用于您的设置的属性替代：

ldapsearch -x  -H ldap://win -D "CN=josie,CN=Users,DC=website,DC=com" -b "dc=website,dc=com" -w Josie4Cloud

此处 CN=josie,CN=users,DC=website,DC=com 是连接的用户的可辨识名称。

3. 在 automation controller 用户界面中，从左面导航中点 Settings，点 Authentication 选项列表中的 LDAP settings。

Multiple LDAP configurations are not needed per LDAP server, but you can configure multiple LDAP servers from this page, otherwise, leave the server at Default:

等同的 API 端点将显示 AUTH_LDAP_* 重复：AUTH_LDAP_1_*、AUTH_LDAP_2_*、......、AUTH_LDAP_5_* 用于表示服务器的名称。

4. To enter or modify the LDAP server address to connect to, click Edit and enter in the LDAP Server URI field using the same format as the one prepopulated in the text field:

5. 在 LDAP Bind Password 文本字段中输入用于绑定用户的密码。在本例中，密码是“passme”：

6. 点击以从 LDAP Group Type 下拉菜单中选择组类型。

LDAP 组类型包括：

• PosixGroupType

• GroupOfNamesType

• GroupOfUniqueNamesType

• ActiveDirectoryGroupType

• OrganizationalRoleGroupType

• MemberDNGroupType

• NISGroupType

• NestedGroupOfNamesType

• NestedGroupOfUniqueNamesType

• NestedActiveDirectoryGroupType

• NestedOrganizationalRoleGroupType

• NestedMemberDNGroupType

• PosixUIDGroupType

The LDAP Group Types that are supported by the controller leverage the underlying django-auth-ldap library. To specify the parameters for the selected group type, see Step 15 below.

7. LDAP Start TLS 默认禁用。当 LDAP 连接未使用 SSL 时，若要启用 TLS，请点击切换到 ON。

8. 在 LDAP Bind DN 文本字段中输入可辨识的名称，以指定控制器用来连接（绑定）LDAP 服务器的用户。以下使用了示例 CN=josie,CN=users,DC=website,DC=com：

9. 如果该名称存储在键 sAMAccountName 中，则**LDAP User DN Template** 使用 (sAMAccountName=%(user)s) 填充。Active Directory 将用户名保存到 sAMAccountName。同样，对于 OpenLDAP，键是 uid，行变为 (uid=%(user)s)。

10. Enter the group distinguish name to allow users within that group to access the controller in the LDAP Require Group field, using the same format as the one shown in the text field, CN=controller Users,OU=Users,DC=website,DC=com.

11. 在 LDAP Deny Group 字段中输入组可辨识名称以防止该组中的用户访问控制器，使用的格式与文本字段中显示的格式相同。在本例中，将该字段留空。

12. Enter where to search for users while authenticating in the LDAP User Search field using the same format as the one shown in the text field. In this example, use:

[
"OU=Users,DC=website,DC=com",
"SCOPE_SUBTREE",
"(cn=%(user)s)"
]

第一行指定在 LDAP 树中搜索用户的位置。在上例中，从 DC=website,DC=com 开始以递归方式搜索用户。

第二行指定搜索用户的范围：

• SCOPE_BASE：此值只用于指定仅搜索基本 DN 处的条目，从而只返回该条目

• SCOPE_ONELEVEL：此值用于指定搜索基本 DN 下某一个级别的所有条目，但不包括基本 DN，且不包括基本 DN 下某一级别下的条目。

• SCOPE_SUBTREE：此值用于指定搜索所有级别的全部条目，且包括指定的基本 DN。

第三行指定存储用户名的键名。

[
  [
  "OU=Users,DC=northamerica,DC=acme,DC=com",
  "SCOPE_SUBTREE",
  "(sAMAccountName=%(user)s)"
  ],
  [
  "OU=Users,DC=apac,DC=corp,DC=com",
  "SCOPE_SUBTREE",
  "(sAMAccountName=%(user)s)"
  ],
  [
  "OU=Users,DC=emea,DC=corp,DC=com",
  "SCOPE_SUBTREE",
  "(sAMAccountName=%(user)s)"
  ]
]

13. 在 LDAP Group Search 文本字段中，指定应当搜索哪些组以及如何搜索它们。在本例中，使用：

 [
"dc=example,dc=com",
"SCOPE_SUBTREE",
"(objectClass=group)"
 ]

• 第一行指定应当搜索组的基本 DN。

• 第二行指定范围，与用户指令的范围相同。

• 第三行指定在您使用的 LDAP 中组对象的 objectclass 是什么。

14. 在 LDAP User Attribute Map 文本字段中输入用户属性。在本例中，使用：

{
"first_name": "givenName",
"last_name": "sn",
"email": "mail"
}

上面的示例按姓从键 sn 中检索用户。您可以对用户使用相同的 LDAP 查询，以找出他们存储在哪些键下。

15. Depending on the selected LDAP Group Type, different parameters are available in the LDAP Group Type Parameters field to account for this. LDAP_GROUP_TYPE_PARAMS is a dictionary, which will be converted by the controller to kwargs and passed to the LDAP Group Type class selected. There are two common parameters used by any of the LDAP Group Type; name_attr and member_attr. Where name_attr defaults to cn and member_attr defaults to member:

{"name_attr": "cn", "member_attr": "member"}

要确定特定 LDAP 组类型所需的参数，请参阅有关类 init 参数的 django_auth_ldap 文档。

16. 在 LDAP User Flags by Group 文本字段中输入用户配置集标志。在本例中，使用以下语法将 LDAP 用户设置为“Superusers”和“Auditors”：

{
"is_superuser": "cn=superusers,ou=groups,dc=website,dc=com",
"is_system_auditor": "cn=auditors,ou=groups,dc=website,dc=com"
}

上例检索在其配置集中标记为 superusers 或 auditor 的用户。

17. 如需完成映射字段的详情，请参阅 LDAP 机构和团队映射。

18. 完成后请点击 Save。

使用此表单上输入的这些值，您现在可以通过 LDAP 进行成功身份验证。

{
"LDAP Organization": {
  "admins": "cn=engineering_admins,ou=groups,dc=example,dc=com",
  "remove_admins": false,
  "users": [
    "cn=engineering,ou=groups,dc=example,dc=com",
    "cn=sales,ou=groups,dc=example,dc=com",
    "cn=it,ou=groups,dc=example,dc=com"
  ],
  "remove_users": false
},
"LDAP Organization 2": {
  "admins": [
    "cn=Administrators,cn=Builtin,dc=example,dc=com"
  ],
  "remove_admins": false,
  "users": true,
  "remove_users": false
}
}

{
"LDAP Engineering": {
  "organization": "LDAP Organization",
  "users": "cn=engineering,ou=groups,dc=example,dc=com",
  "remove": true
},
"LDAP IT": {
  "organization": "LDAP Organization",
  "users": "cn=it,ou=groups,dc=example,dc=com",
  "remove": true
},
"LDAP Sales": {
  "organization": "LDAP Organization",
  "users": "cn=sales,ou=groups,dc=example,dc=com",
  "remove": true
}
}

23.2. 为 LDAP 启用日志记录¶

要为 LDAP 启用日志记录，您必须在 Settings 配置窗口中将级别设置为 DEBUG：

1. 从左侧导航窗格中点 Settings，再点系统选项列表中的 Logging settings。

2. 点 Edit。

3. 将 Logging Aggregator Level Threshold 字段设置为 Debug。

4. 点击 Save 保存您的更改。

AUTH_LDAP_GLOBAL_OPTIONS = {
    ldap.OPT_REFERRALS: False,
}