How to configure AD and common use cases - Identity as a Service: Central de Documentação do Alibaba Cloud

Conceitos básicos do Active Directory

O Active Directory é um service de diretório central do sistema operacional Microsoft Windows Server que fornece autenticação de identidade centralizada, autorização e gerenciamento de diretório para ambientes de rede corporativa. Com o recurso network endpoint, você pode sincronizar dados do AD e realizar autenticação delegada sem expor portas públicas.

Conectar ao AD

Etapa 1: Conectar ao AD

Faça login no IDaaS console, selecione a instância IDaaS desejada e clique em Console na coluna de ações.
Clique em IdPs > Inbound > Add Inbound. Em seguida, localize o AD na lista e clique em Add.
No painel Bind AD, configure os seguintes parâmetros.
- Display Name: O nome exibido aos usuários ao fazer login ou utilizar o IDaaS.
- Network Access Endpoint: Para permitir que somente o IDaaS envie requisições ao seu AD, configure uma lista de permissões de ip no servidor. Um endpoint compartilhado utiliza endereços ip de saída públicos e fixos compartilhados. Um endpoint dedicado utiliza endereços ip de saída privados e públicos personalizados e exclusivos. Com um endpoint dedicado, o IDaaS pode acessar seu vpc da Alibaba Cloud por rede privada, dispensando a abertura de portas públicas para acessar o AD. Para mais informações, consulte Network Endpoints.
- Server address: O endereço do servidor AD. O AD normalmente usa a porta 389 (por exemplo, 127.0.0.1:389), enquanto a porta 636 é utilizada quando LDAPS ou StartTLS está ativado.
- Enable StartTLS: Ativar esta opção melhora significativamente a segurança da conexão e é altamente recomendado. Para saber como ativá-la, consulte AD security configuration.
- Administrator Account: A conta de administrador do AD que o IDaaS usa para ler informações durante a sincronização de dados ou autenticação delegada. Essa conta deve ter, no mínimo, permissões de leitura. São suportados o formato User Principal Name (UPN) (por exemplo, example@example.com) e o formato Distinguished Name (DN) (por exemplo, cn=admin,ou=TechDepartment,dc=example,dc=com) são suportados.
- Administrator Password: A senha de login da conta de administrador.

Etapa 2: Selecionar um cenário

Selecione os recursos a serem ativados para a conexão com o AD.

Recursos

Direção de sincronização: o IDaaS importa dados de usuários e organizações da source do AD selecionada para este nó. O Source Node deve ser o DN base do nó AD. O DN base do nó raiz do AD é normalmente dc=example,dc=com, onde example.com é o seu domínio.
Sincronização incremental: o IDaaS monitora alterações em dados de usuários ou organizações no AD e executa uma tarefa de sincronização aproximadamente a cada 10 minutos para importar as mudanças. Grandes volumes de dados em uma única sincronização incremental podem causar atrasos no processamento. Recomenda-se realizar uma sincronização completa periodicamente para garantir a consistência dos dados.
- No mapeamento de campos, defina um identificador de mapeamento para associar um campo de uma conta IDaaS a um campo de um usuário AD, como o número de celular. Se os campos coincidirem, as contas são vinculadas e a conta IDaaS é sobrescrita. Caso contrário, uma nova conta IDaaS é criada.
- Na primeira execução de uma sincronização incremental, uma sincronização completa é realizada automaticamente.
- A falha na importação de um registro de conta não afeta a importação dos demais.
- Consulte as informações de falha nos Synchronization logs.
- Ative a Lixeira do AD para receber eventos de objetos AD excluídos. Para saber como ativá-la, consulte incremental synchronization.
Autenticação delegada: permite que os usuários façam login no IDaaS com seu nome de usuário e senha do AD.
Atualização automática de senha: quando um usuário se autentica no IDaaS via autenticação delegada do AD e a conta IDaaS não possui senha, o IDaaS a atualiza com a senha do usuário no AD. A senha do AD deve atender à política de senhas do IDaaS; caso contrário, a atualização automática não será realizada.

Configurações avançadas

objectClass de usuário ou organização: o atributo objectClass define se um objeto é um usuário ou uma organização. Por exemplo, um objeto no resultado da consulta com objectClass=user é tratado como usuário. Normalmente, não é necessário modificar essa configuração.
Identidade de login do usuário: ao usar a autenticação delegada do AD para fazer login no IDaaS, o sistema utiliza esses atributos para localizar o usuário no AD e verificar a senha. Se a senha estiver correta, o acesso é concedido. Separe múltiplos atributos por vírgula para criar uma relação OR, permitindo que o usuário faça login com qualquer um dos atributos especificados. Certifique-se de que esses atributos correspondam ao mesmo usuário AD exclusivo; do contrário, o login falhará.
Filtro de usuário: para sincronizar apenas um subconjunto de usuários de diferentes organizações, crie uma instrução filter personalizada. Somente os usuários que atenderem às condições do filtro serão sincronizados com o IDaaS. Por padrão, a instrução filter inclui uma condição objectClass combinada com o operador AND. Clique em View details para visualize a instrução completa. Para mais informações e exemplos de uso comuns, consulte Filter.

A instrução de filtro completa é (&(objectclass=top)(objectclass=person)(objectclass=organizationalPerson)(objectclass=user)(cn=cn*)), onde (cn=cn*) especifica uma correspondência curinga no atributo cn.

Etapa 3: Mapeamento de campos

Para vincular usuários e organizações do AD a contas e organizações já existentes no IDaaS, configure o mapeamento de campos. Esse recurso também permite preencher dados de contas IDaaS com valores de campos de usuários do AD, como usar o número de celular de um usuário AD como nome da conta IDaaS. Para usar o identificador de mapeamento, ative-o manualmente no campo desejado, como o campo de celular.

A página de mapeamento de campos é dividida nas seções Account e Organization. Na seção Account, mapeie atributos de usuários do AD (como sAMAccountName, userPrincipalName e cn) para campos de contas IDaaS. As regras de mapeamento suportam Select Field, Expression e No Mapping. Para ativar um identificador de mapeamento, clique em Mapping Identifier na linha do campo correspondente. Na seção Organization, mapeie unidades organizacionais para Organization Name. Após concluir a configuração, clique em Save and Sync ou Save Only.

Para mais informações sobre mapeamento de campos, consulte field mapping.

Configuração de segurança do AD

Por padrão, os dados LDAP são transmitidos em texto simples, o que representa risco de interceptação. O uso de LDAPS ou StartTLS melhora significativamente a segurança da transmissão de dados. Após configure um certificado no AD, é possível utilizar LDAPS ou StartTLS no IDaaS. Recomendamos fortemente que você ative uma dessas opções.

No Server Manager, conclua a configuração do certificado instalando as funções necessárias, promovendo o servidor a controlador de domínio e adicionando um certificado que utilize o algoritmo de assinatura SHA256.

Com o certificado configurado, recupere a impressão digital do certificado no IDaaS com um único clique. Isso estabelece uma relação de confiança entre o IDaaS e o certificado do AD, reduzindo o risco de falsificação de certificado.

Na seção Server Configuration, selecione ldap:// como protocolo, defina a porta como 389 e selecione Enable StartTLS. Para Certificate Verification, há duas opções disponíveis: Do Not Verify e Verify by Certificate Fingerprint. Após selecione Verify by Certificate Fingerprint, clique em Auto Obtain para preencher automaticamente a impressão digital do certificado.

Nota

Para verifique rapidamente se a impressão digital do certificado exibida na interface do AD é a mesma recuperada pelo IDaaS, execute o seguinte script:

openssl s_client -connect server_host:port | openssl x509 -noout -pubkey | openssl pkey -pubin -outform DER | openssl dgst -sha256

Configuração personalizada do AD

objectClass

No AD, um objectClass é uma coleção de atributos, e todo objeto deve ter um objectClass. Use o objectClass para definir um objeto como usuário, organização ou computador. Por exemplo, localize o usuário com as instruções de filtro objectclass=person ou objectclass=user. Visualize o objectClass nas Properties de um objeto AD.

No Active Directory Users and Computers, clique com o botão direito no usuário desejado (por exemplo, shufen), escolha Properties, acesse a aba Attribute Editor e localize o atributo objectClass. Seu valor é top; person; organizationalPerson; user.

Identidade de login

Ao usar a autenticação delegada do AD para fazer login no IDaaS, o sistema utiliza esses atributos para localizar o usuário no AD e verificar a senha. Se a senha estiver correta, o acesso é concedido.

Os atributos mais usados para login incluem userPrincipalName, sAMAccountName, número de celular, e-mail e ID de funcionário. Defina esses atributos durante a criação ou nas configurações de autenticação delegada. Ao usar múltiplos atributos, certifique-se de que sejam únicos e correspondam ao mesmo usuário AD; do contrário, a autenticação delegada falhará.

Filter

Importante

Modificar as configurações de objectClass e filter altera as condições de filtro do AD. Ao realizar uma sincronização completa, o IDaaS exclui contas e organizações que não corresponderem às novas condições de filtro. Antes de fazer alterações, ajuste o limiar de proteção de sincronização e teste minuciosamente os resultados do filtro para garantir que estejam conforme o esperado — por exemplo, usando uma instância IDaaS separada para testes.

Introdução

Se você precisar sincronizar apenas um subconjunto de usuários de diferentes organizações com o IDaaS, defina uma instrução filter personalizada. O IDaaS sincroniza somente os usuários que satisfazem as condições definidas. Por padrão, a instrução filter inclui uma condição objectClass combinada com o operador AND. Clique em View details para visualize a instrução completa.

As seções a seguir descrevem a sintaxe e as instruções mais comuns do filter do AD.

Sintaxe comum

Operador	Descrição	Exemplo
=	Igual a	(cn=Alice)
>=	Maior ou igual a	(pwdLastSet>=1319563845000000000)
<=	Menor ou igual a	(sAMAccountName<=a)
&	AND — todas as condições devem ser atendidas	(&(cn=CN*)(memberOf=cn=Test,ou=HQ,dc=Domain,dc=com))
		OR — basta uma condição ser atendida	(	(cn=Test)(cn=Admin))
!	NOT — a condição não deve ser atendida	(!(memberOf=cn=Test,ou=HQ,dc=Domain,dc=com))

Instruções comuns

Cenário	Exemplo
Nome de usuário começa com "CN"	(cn=CN*)
Usuário com endereço de e-mail específico	(	(proxyAddresses=*:alice@example.com)(mail=alice@example.com))
Usuário pertencente a um grupo específico	(memberOf=cn=Test,ou=HQ,dc=Domain,dc=com)

Configuração de sincronização do AD

Obter o DN base

O DN base é um identificador de caminho para um nó específico no AD. O IDaaS realiza consultas e sincronização de dados apenas dentro desse nó. Defina o DN base para o nó de source nas configurações de Synchronization Direction.

O formato do DN é ou=SomeOrganization,dc=example,dc=com. O DN do nó raiz é normalmente dc=example,dc=com, onde example.com é o seu domínio. Você também pode visualize o DN de um nó diretamente no centro de gerenciamento do AD.

No Active Directory Administrative Center, expanda o nó (local) à esquerda e selecione o contêiner desejado (por exemplo, Users). O DN base do nó é exibido na barra de navegação superior, em um formato como CN=Users,DC=xxx,DC=xxx.

Quando o caminho de um nó é alterado, seu DN base também muda. Para evitar erros de sincronização causados por ajustes de caminho, o IDaaS registra o objectGUID do nó como uma impressão digital ao configure o DN base do nó de source. Se o DN base mudar e não coincidir mais com a impressão digital, a sincronização de dados é bloqueada e só é retomada após a reconfiguração do nó de source.

Sincronização incremental

Quando dados de usuários ou organizações no AD são alterados dentro do escopo do nó de source configurado, o IDaaS detecta as mudanças e sincroniza os dados modificados.