Todos os produtos
Search

Este produto

    Identity as a Service:Conecte-se ao OpenLDAP

    Central de documentação

    Identity as a Service:Conecte-se ao OpenLDAP

    Última atualização: Oct 31, 2026

    Conecte o OpenLDAP corporativo como um provedor de identidade de entrada para o IDaaS. Isso permite sincronizar organizações e contas, além de possibilitar que os usuários façam login no IDaaS ou em aplicativos usando suas credenciais do OpenLDAP.

    Conceitos básicos do OpenLDAP

    O OpenLDAP é uma implementação de código aberto do Lightweight Directory Access Protocol (LDAP), muito utilizado para gerenciar recursos corporativos, como usuários, computadores e redes. Devido à sua ampla adoção, o OpenLDAP costuma ser chamado apenas de LDAP.

    Nota

    Com o recurso Network access endpoints, você pode sincronizar dados do LDAP e configurar a autenticação delegada sem expor uma porta pública.

    Conecte-se ao OpenLDAP

    Etapa 1: Conecte-se ao OpenLDAP

    1. Faça login no IDaaS console, selecione a instância do IDaaS de destino e clique em Console na coluna Actions.

    2. Clique em IdPs > Inbound > Add Inbound. Em seguida, localize OpenLDAP na lista e clique em Add.

    3. No painel Bind OpenLDAP, configure as seguintes definições:

      • Display Name: o nome que os usuários podem ver ao fazer login ou usar o IDaaS.

      • Network Access Endpoint: se você deseja que apenas o IDaaS envie solicitações para este servidor LDAP, configure uma lista de permissões de endereços IP no servidor. Um endpoint compartilhado usa um endereço IP de saída público fixo e compartilhado. Um endpoint dedicado usa endereços IP de saída privados e públicos dedicados e personalizados. Por meio de um endpoint dedicado, o IDaaS pode acessar sua Virtual Private Cloud (VPC) da Alibaba Cloud por uma rede privada, alcançando seu servidor LDAP sem expor uma porta pública. Para mais informações, consulte Network access endpoints.

      • Server address: o endereço do servidor onde o LDAP está implantado. O LDAP usa a porta 389 por padrão, por exemplo, 127.0.0.1:389. A porta 636 é geralmente usada quando o LDAPS ou StartTLS está ativado.

      • Enable StartTLS: ativar esta opção melhora significativamente a segurança da conexão. Como prática recomendada, ative-a. Para obter instruções, consulte LDAP security configuration.

      • Administrator Account: o IDaaS usa esta conta de administrador do LDAP para ler informações do LDAP para sincronização de dados ou autenticação delegada. A conta deve ter pelo menos permissões de leitura e estar no formato DN (cn=admin,ou=Technical Department,dc=example,dc=com).

      • Administrator Password: a senha de login desta conta.

    Etapa 2: Selecione os cenários

    Na Etapa 2, selecione os cenários que você deseja implementar com o LDAP.

    Os valores de configuração recomendados para os campos neste exemplo são os seguintes:

    Configuração Básica

    • Direção da Sincronização: os dados de usuários e organizações da source de sincronização LDAP selecionada são importados para este nó do IDaaS. Para Source Node, insira o DN do nó LDAP. O DN do nó raiz do LDAP geralmente é dc=example,dc=com (ou seja, o seu domínio).

    • Sincronização Completa Agendada: como o LDAP não oferece suporte a consultas incrementais, o IDaaS executa automaticamente uma sincronização completa de todos os dados sob o nó da source LDAP no início de todas as manhãs.

      • Você pode definir um identificador de mapeamento no mapeamento de campos para corresponder um campo de uma conta do IDaaS (como o número de telefone celular) a um campo de um usuário LDAP (como o número de telefone celular). Se o sistema encontrar uma correspondência, ele vincula as contas e sobrescreve a conta do IDaaS com a atualização; caso contrário, ele cria uma nova conta no IDaaS.

      • Para sincronizar os dados imediatamente, acione manualmente uma sincronização completa.

      • O IDaaS possui um recurso integrado de proteção de sincronização. Quando é necessário excluir mais de 30 contas ou mais de 10 organizações, o sistema cancela automaticamente a tarefa de sincronização para evitar a exclusão acidental de dados. Ajuste as configurações de proteção de sincronização com base no tamanho da sua empresa.

        Na caixa de diálogo Modify Sync Configuration, na aba Sync Rules, você pode configurar os limiares de proteção de sincronização: quando for necessário excluir mais de 30 registros de contas ou mais de 10 registros de organizações, o sistema cancela automaticamente a tarefa de sincronização. Nas Advanced Settings, o ObjectClass de usuário padrão é posixAccount,inetOrgPerson,top e o ObjectClass de organização padrão é organizationalUnit,top.

      • A falha na importação de um único registro de conta não afeta a importação dos demais dados.

      • Visualize as informações de falha em Sync Logs.

    • Autenticação Delegada: os usuários podem fazer login no IDaaS com seu nome de usuário e senha do LDAP.

    • Atualização Automática de Senha: quando um usuário faz login no IDaaS por meio da autenticação delegada do LDAP, se a senha da conta do IDaaS estiver vazia, o sistema a atualiza para a senha da conta LDAP. A senha do LDAP deve atender aos requisitos da política de senhas do IDaaS; caso contrário, o sistema não poderá atualizar a senha automaticamente.

    Configurações Avançadas

    • ObjectClass de Usuário/Organização: você pode usar o ObjectClass para definir qual tipo de objeto é um usuário ou uma organização. Por exemplo, os objetos com ObjectClass=user  nos resultados da consulta são tratados como usuários.

      Importante

      O LDAP é altamente personalizável. Se você personalizou o ObjectClass de usuários ou organizações, certifique-se de que os valores de ObjectClass sejam consistentes, para que os dados sincronizados com o IDaaS atendam às suas expectativas.

    • Identidade de Login do Usuário: quando um usuário faz login no IDaaS usando a autenticação delegada do LDAP, o IDaaS pesquisa o usuário no LDAP com base nesses atributos e verifica a senha. Se a senha estiver correta, o sistema permite que o usuário faça login no IDaaS. Você pode separar vários atributos com vírgulas (,), o que cria uma relação OR, permitindo que o usuário faça login com qualquer um dos atributos. Certifique-se de que os múltiplos atributos correspondam ao mesmo usuário LDAP; caso contrário, o usuário não conseguirá fazer login.

    • filter de Usuário: se você precisar sincronizar com o IDaaS apenas alguns usuários espalhados por diferentes organizações, personalize a instrução filter. Apenas os usuários que atendem às condições serão sincronizados com o IDaaS. Por padrão, a instrução filter inclui uma condição AND para o ObjectClass. Clique em View Details para visualizar a instrução completa. Para mais considerações e usos comuns, consulte Filter.

      Um exemplo completo da instrução de filtro é (&(objectclass=posixAccount)(objectclass=inetOrgPerson)(objectclass=top)(cn=cn*)), onde (cn=cn*) é a condição de filtro adicionada pelo usuário.

    Etapa 3: Mapeamento de campos

    Se o IDaaS já contiver dados existentes, talvez seja necessário vincular usuários e organizações do LDAP a contas e organizações do IDaaS. Você também pode querer usar determinados valores de campo dos usuários LDAP como dados de conta do IDaaS, por exemplo, usar o número de telefone celular de um usuário LDAP como o nome da conta do IDaaS. Nesses casos, configure o mapeamento de campos na Etapa 3. Para usar o recurso de identificador de mapeamento, clique manualmente para ativá-lo, por exemplo, para o campo de número de telefone celular.

    Na página de mapeamento de campos, os mapeamentos padrão na seção Account são os seguintes:

    • Account Name(user.username) → Uid (pode ser definido como o identificador)

    • Display name(user.displayName) → Common Name

    • Phone Region(user.phoneRegion) → a expressão "86"

    • Phone(user.phoneNumber) → Telephone Number (ative o Mapping Identifier)

    Mapeamento da seção Organization: Organization Name(organizationalUnit.organizationalUnitName) → Organizational Unit. Para cada linha, clique em Add ou Remove para ajustar o mapeamento. Após concluir a configuração, clique em Save and Sync ou Save Only.

    Nota

    Para mais informações sobre o mapeamento de campos, consulte Field mapping.

    Configuração de segurança do LDAP

    Por padrão, o LDAP não criptografa nem protege os dados durante a transmissão, o que representa um risco de roubo de dados em texto simples. O LDAPS ou StartTLS melhora efetivamente a segurança da transmissão de dados. Após configurar um certificado no LDAP, você pode usar o LDAPS ou StartTLS no IDaaS. Recomendamos fortemente que você ative um deles.

    Após configurar o certificado, você pode obter a impressão digital do certificado com um clique no IDaaS para estabelecer uma relação de confiança entre o IDaaS e o certificado LDAP, o que reduz o risco de falsificação de certificado.

    Na caixa de diálogo Basic Configuration, conclua a seguinte configuração:

    • Basic Information: insira o Display Name.

    • Network Configuration: defina o Network Access Endpoint como Shared Endpoint.

    • Server Configuration: defina o protocolo do Server address como ldaps:// e a porta como 636. Defina a Certificate Verification como Verify by Certificate Fingerprint e, em seguida, clique em Auto Retrieve para obter a impressão digital do certificado.

    • LDAP Domain Configuration: insira a Administrator Account e a Administrator Password e, em seguida, clique em OK.

    Configuração personalizada do LDAP

    ObjectClass

    No LDAP, um ObjectClass é uma coleção de atributos, e todo objeto deve ter um ObjectClass. Você pode usar um ObjectClass para definir um objeto como um usuário, uma organização ou um computador. Por exemplo, para um objeto específico, quando você define o UserObjectClass como "inetOrgPerson,posixAccount,top" no IDaaS, o IDaaS trata o objeto como um usuário. Ao editar um objeto no LDAP, você pode ver o ObjectClass.

    Importante

    O LDAP é altamente personalizável. Se você personalizou o ObjectClass de usuários ou organizações, certifique-se de que os valores de ObjectClass sejam consistentes, para que os dados sincronizados com o IDaaS atendam às suas expectativas.

    Identidade de login

    Quando um usuário faz login no IDaaS usando a autenticação delegada do LDAP, o IDaaS pesquisa o usuário no LDAP com base nesses atributos e verifica a senha. Se a senha estiver correta, o sistema permite que o usuário faça login no IDaaS.

    Geralmente, você pode usar atributos como uid, o número de telefone celular, o endereço de e-mail e o ID do funcionário para fazer login. Se necessário, defina-os ao criar a conexão ou em Delegated Authentication. Se você usar vários atributos, certifique-se de que sejam exclusivos e correspondam ao mesmo usuário LDAP; caso contrário, os usuários não poderão usar a autenticação delegada.

    Filter

    Importante

    Modificar o ObjectClass e o filter afeta as condições de filtragem do LDAP. Durante uma sincronização completa, o sistema exclui as contas e organizações do IDaaS que não atendem mais às condições de filtragem. Ajuste a cota de proteção de sincronização antes de fazer alterações e teste completamente se os resultados da filtragem atendem às expectativas (por exemplo, usando outra instância do IDaaS para testes).

    Visão Geral

    Se você precisar sincronizar com o IDaaS apenas alguns usuários espalhados por diferentes organizações, personalize a instrução filter. Apenas os usuários que atendem às condições serão sincronizados com o IDaaS. Por padrão, a instrução filter inclui uma condição AND para o ObjectClass. Clique em View Details para visualizar a instrução completa.

    A instrução de filtro completa é (&(objectclass=posixAccount)(objectclass=inetOrgPerson)(objectclass=top)(cn=cn*)), onde (cn=cn*) é a condição de filtro personalizada adicionada.

    Insira a instrução filter na ferramenta LDAP Admin para verificar os resultados filtrados.

    Por exemplo, na aba Custom, na caixa Filter, insira (cn=xiaoyan) e, em seguida, clique em Start. Os resultados da pesquisa exibem os registros DN de usuários correspondentes, como uid=xiaoyan,ou=Organization Name,dc=company,dc=cn.

    A seguir estão a sintaxe e as instruções comuns dos filtros LDAP.

    Sintaxe comum

    Operador

    Descrição

    Exemplo

    =

    Igual a

    (cn=Alice)

    >=

    Maior ou igual a

    (pwdLastSet>=1319563845000000000)

    <=

    Menor ou igual a

    (employeeNumber<=1000)

    &

    AND. Todas as condições devem ser atendidas.

    (&(cn=CN*)(title=RD))

    OR. Pelo menos uma condição deve ser atendida.

    (

    (cn=Test)(cn=Admin))

    !

    NOT. As condições não devem ser atendidas.

    (!(cn=Test)(cn=Admin))

    Instruções comuns

    Cenário

    Exemplo

    O nome de usuário começa com "CN"

    (cn=CN*)

    O usuário com um endereço de e-mail especificado

    (mail=alice@example.com)

    Configuração de sincronização do LDAP

    Obtenha o Base DN

    Um Base DN é o identificador de caminho de um nó no LDAP. O IDaaS executa operações, como consultas e sincronização de dados, apenas sob este nó. Defina o Base DN do nó da source em Synchronization Direction.

    O formato de um DN é ou=Some Organization,dc=example,dc=com. O DN do nó raiz geralmente é dc=example,dc=com (ou seja, o seu domínio). Você também pode visualizar o DN de um nó diretamente no LDAP.

    Por exemplo, na ferramenta LDAP Admin, dc=company,dc=cn no nível superior da árvore de diretórios é o DN do nó raiz. Expanda-o para visualizar as unidades organizacionais (OUs) e as entradas de usuário (CNs) abaixo dele.

    Além disso, quando o caminho de um nó muda, o Base DN do nó também muda. Para evitar erros de sincronização de dados do LDAP causados por ajustes no caminho do nó, ao configurar o Base DN do nó da source de sincronização no IDaaS, o IDaaS também usa o ObjectGuid do nó como a impressão digital do nó. Quando o Base DN do nó muda e não corresponde mais à impressão digital do nó, o sistema bloqueia a sincronização de dados. O sistema retoma a sincronização após você reconfigurar o nó da source.

    Sincronização completa agendada

    Como o LDAP não oferece suporte a consultas incrementais, o IDaaS executa automaticamente uma sincronização completa de todos os dados sob o nó da source LDAP no início de todas as manhãs. Para sincronizar os dados imediatamente, acione manualmente uma sincronização completa.

    O IDaaS possui um recurso integrado de proteção de sincronização. Quando é necessário excluir mais de 30 contas ou mais de 10 organizações, o sistema cancela automaticamente a tarefa de sincronização para evitar a exclusão acidental de dados. Ajuste as configurações de proteção de sincronização com base no tamanho da sua empresa.