OpenLDAP configuration and use cases - Identity as a Service

Kurumsal OpenLDAP sunucunuzu IDaaS için gelen kimlik sağlayıcısı olarak bağlayarak kuruluşları ve hesapları senkronize edin. Kullanıcıların OpenLDAP kimlik bilgilerini kullanarak IDaaS veya uygulamalarda oturum açmasını sağlayın.

OpenLDAP Temelleri

OpenLDAP, Lightweight Directory Access Protocol (LDAP) protokolünün açık kaynaklı bir uygulamasıdır ve genellikle kullanıcılar, bilgisayarlar ve ağlar gibi kurumsal kaynakları yönetmek için kullanılır. Yaygın kullanımı nedeniyle OpenLDAP çoğu zaman sadece LDAP olarak adlandırılır.

Not

Ağ uç noktası özelliği sayesinde, genel bir bağlantı noktasını açığa çıkarmadan LDAP verilerini senkronize edebilir ve yetkilendirilmiş kimlik doğrulama yapabilirsiniz.

OpenLDAP Bağlantısı

Adım 1: OpenLDAP Bağlantısını Kurma

IDaaS konsolu adresine giriş yapın, hedef IDaaS örneğini seçin ve İşlemler sütunundaki Console öğesine tıklayın.
IdPs > Inbound > Add Inbound yolunu izleyin. Listeden OpenLDAP seçeneğini bulun ve Add butonuna tıklayın.
Bind OpenLDAP panelinde aşağıdaki ayarları yapılandırın.
- Display Name: Kullanıcılar IDaaS'te oturum açarken veya sistemi kullanırken görüntülenecek isimdir.
- Network Access Endpoint: Yalnızca IDaaS üzerinden gelen isteklere izin vermek istiyorsanız, sunucunuzda bir IP adresi izin listesi yapılandırın. Paylaşılan uç nokta, sabit bir genel giden IP adresi kullanır. Özel uç nokta ise özel, kişiye tanımlı bir yerel giden IP adresi ve genel giden IP adresi kullanır. Özel uç nokta, IDaaS'ın Alibaba Cloud VPC'nize yerel ağ üzerinden erişmesini sağlar; bu sayede LDAP sunucunuza erişirken genel bir bağlantı noktasını açığa çıkarmanız gerekmez. Daha fazla bilgi için bkz. Ağ Uç Noktaları.
- Server address: LDAP sunucunuzun adresidir. LDAP için varsayılan bağlantı noktası 389'dur (örneğin, 127.0.0.1:389). LDAPS veya StartTLS etkinleştirildiğinde genellikle 636 numaralı bağlantı noktası kullanılır.
- Enable StartTLS: Bu seçeneğin etkinleştirilmesi bağlantı güvenliğini önemli ölçüde artırır ve şiddetle tavsiye edilir. Talimatlar için bkz. LDAP güvenlik yapılandırması.
- Administrator Account: IDaaS, veri senkronizasyonu ve yetkilendirilmiş kimlik doğrulama için dizin bilgilerini okumak amacıyla bu LDAP yönetici hesabını kullanır. Bu hesabın en azından okuma iznine sahip olması ve Ayırt Edici Ad (DN) formatında olması gerekir (örneğin, cn=admin,ou=Technical Department,dc=example,dc=com).
- Administrator Password: Yönetici hesabının parolası.

Adım 2: Senaryo Seçimi

LDAP entegrasyonu için etkinleştirmek istediğiniz senaryoları seçin.

Her alan için önerilen yapılandırma değerleri şöyledir:

Temel Yapılandırma

Senkronizasyon Yönü: Seçilen LDAP kaynağındaki kullanıcı ve kuruluş verileri bu IDaaS düğümü altına aktarılır. Source Node alanına LDAP düğümünün DN değerini girin. Kök düğüm DN'si genellikle dc=example,dc=com (alan adınız) şeklindedir.
Zamanlanmış Tam Senkronizasyon: LDAP artımlı sorguları desteklemediğinden, IDaaS her sabah erken saatlerde LDAP kaynak düğümü altındaki tüm verilerin tam senkronizasyonunu otomatik olarak gerçekleştirir.
- Alan eşlemesinde, bir IDaaS hesabındaki alanı (örn. cep telefonu numarası) bir LDAP kullanıcı hesabındaki alana (örn. cep telefonu numarası) eşlemek için bir eşleme tanımlayıcısı ayarlayın. Eşleşme bulunursa hesaplar bağlanır ve IDaaS hesabı güncellenir. Aksi takdirde yeni bir IDaaS hesabı oluşturulur.
- Verileri hemen senkronize etmek için manuel olarak tam senkronizasyonu tetikleyin.
- IDaaS yerleşik senkronizasyon koruması içerir. Silinmesi planlanan hesap sayısı 30'dan fazla veya kuruluş sayısı 10'dan fazla ise, IDaaS yanlışlıkla veri kaybını önlemek için senkronizasyon işini otomatik olarak iptal eder. Senkronizasyon koruma ayarlarını işletmenizin ölçeğine göre düzenleyin.
  
  Sync Rules sekmesindeki Modify Sync Configuration iletişim kutusunda senkronizasyon koruma eşiklerini yapılandırabilirsiniz: Silinmesi planlanan hesap sayısı 30'dan veya kuruluş sayısı 10'dan fazla olursa senkronizasyon işi otomatik olarak iptal edilir. Advanced Settings bölümünde varsayılan User ObjectClass değeri posixAccount,inetOrgPerson,top ve varsayılan Organization ObjectClass değeri organizationalUnit,top şeklindedir.
- Tek bir hesabın içe aktarılmasındaki hata, diğer hesapların içe aktarılmasını etkilemez.
- Hata bilgilerini Sync Logs bölümünde görüntüleyebilirsiniz.
Yetkilendirilmiş Kimlik Doğrulama: Kullanıcıların LDAP kullanıcı adı ve parolalarını kullanarak IDaaS'te oturum açmasına olanak tanır.
Otomatik Parola Güncelleme: Bir kullanıcı yetkilendirilmiş kimlik doğrulama yoluyla IDaaS'te oturum açtığında, IDaaS hesabında parola yoksa parolası LDAP parolası olarak ayarlanır. LDAP parolası IDaaS parola ilkesini karşılamıyorsa bu güncelleme başarısız olur.

Gelişmiş Ayarlar

Kullanıcı/Kuruluş ObjectClass: Bir nesnenin kullanıcı mı yoksa kuruluş mu olduğunu tanımlamak için ObjectClass kullanılır. Örneğin, sorgu sonuçlarında ObjectClass=user olan nesneler kullanıcı olarak kabul edilir.

Önemli
LDAP son derece özelleştirilebilir bir yapıdadır. Kullanıcılar veya kuruluşlar için ObjectClass değerlerini özelleştirdiyseniz, ObjectClass değerlerinin LDAP şemanızla eşleştiğinden emin olun. Aksi takdirde IDaaS içinde beklenmedik veri senkronizasyon sonuçlarıyla karşılaşabilirsiniz.
Kullanıcı Oturum Açma Kimliği: Bir kullanıcı yetkilendirilmiş kimlik doğrulama ile IDaaS'te oturum açtığında, IDaaS kullanıcıyı bulmak ve parolayı eşleştirmek için bu niteliklere göre LDAP'de arama yapar. Parola doğruysa IDaaS kullanıcıya erişim izni verir. Birden fazla niteliği virgülle ayırarak VEYA koşulu oluşturabilir ve kullanıcının belirtilen niteliklerden herhangi biriyle oturum açmasına izin verebilirsiniz. Belirtilen tüm niteliklerin aynı LDAP kullanıcısına karşılık geldiğinden emin olun, aksi takdirde oturum açma işlemi başarısız olur.
Kullanıcı filter: Farklı kuruluşlardan yalnızca bir kullanıcı alt kümesini IDaaS'e senkronize etmek için özel bir filter ifadesi tanımlayın. Yalnızca koşulları karşılayan kullanıcılar senkronize edilir. Varsayılan olarak, filter ifadesi ObjectClass için bir VE koşulu içerir. Tam ifadeyi görmek için View Details seçeneğine tıklayın. Daha fazla not ve yaygın kullanım için bkz. Filtre sözdizimi.

Tam filtre ifadesi örneği (&(objectclass=posixAccount)(objectclass=inetOrgPerson)(objectclass=top)(cn=cn*)) şeklindedir; burada (cn=cn*) kullanıcı tanımlı filtre koşuludur.

Adım 3: Alan Eşleme

LDAP girişlerini mevcut IDaaS hesapları ve kuruluşlarıyla bağlamak için alan eşlemesini yapılandırın. Ayrıca IDaaS niteliklerini LDAP verileriyle doldurabilirsiniz; örneğin, IDaaS hesap adı için LDAP cep telefonu numarasını kullanabilirsiniz. Eşleme tanımlayıcısı özelliğini kullanmak için bir alan için manuel olarak etkinleştirin.

Alan eşleme sayfası, Account bölümünde aşağıdaki varsayılan eşlemeleri içerir:

Account Name (user.username) → Uid (tanımlayıcı olarak ayarlanabilir)
Display Name (user.displayName) → Common Name
Phone Region (user.phoneRegion) → İfade "86"
Phone (user.phoneNumber) → Telephone Number (Mapping Identifier seçeneğini etkinleştirin)

Organization bölümü şu eşlemeyi içerir: Organization Name (organizationalUnit.organizationalUnitName) → Organizational Unit. Her satır için eşlemeleri Add veya Remove edebilirsiniz. Yapılandırmadan sonra Save and Sync veya Save Only seçeneklerine tıklayın.

Not

Alan eşleme hakkında daha fazla bilgi için Alan Eşleme belgesine bakın.

LDAP Güvenlik Yapılandırması

Varsayılan olarak LDAP verileri düz metin olarak iletir, bu da veri yakalama riski taşır. LDAPS veya StartTLS iletim güvenliğini önemli ölçüde artırır. LDAP sunucunuzda bir sertifika yapılandırdıktan sonra IDaaS'te LDAPS veya StartTLS'i etkinleştirebilirsiniz. Bu seçeneklerden birini etkinleştirmenizi kesinlikle öneririz.

Sertifikayı yapılandırdıktan sonra, IDaaS'te tek tıklamayla sertifika parmak izini alın. Bu işlem, IDaaS ile LDAP sertifikası arasında bir güven ilişkisi kurarak sertifika sahteciliği yoluyla ara adam saldırılarını önler.

Basic Configuration iletişim kutusunda aşağıdakileri yapılandırın:

Basic Information: Display Name değerini girin.
Network Configuration: Network Access Endpoint seçeneğini Shared Endpoint olarak ayarlayın.
Server Configuration: Server Address protokolünü ldaps:// ve bağlantı noktasını 636 olarak ayarlayın. Certificate Verification seçeneğini Verify by Certificate Fingerprint olarak belirleyin ve sertifika parmak izini almak için Auto Retrieve seçeneğine tıklayın.
LDAP Domain Configuration: Administrator Account ve Administrator Password bilgilerini girin ve ardından OK butonuna tıklayın.

LDAP Özel Yapılandırması

ObjectClass

LDAP'de bir ObjectClass nitelik koleksiyonudur ve her nesnenin bir tane olması gerekir. Bir nesneyi kullanıcı, kuruluş veya bilgisayar olarak tanımlamak için ObjectClass kullanın. Örneğin, User ObjectClass değerini inetOrgPerson,posixAccount,top olarak ayarlarsanız, IDaaS nesneyi kullanıcı olarak kabul eder. LDAP'de bir nesneyi düzenlerken ObjectClass değerini görüntüleyebilirsiniz.

Önemli

LDAP son derece özelleştirilebilir bir yapıdadır. Kullanıcılar veya kuruluşlar için ObjectClass değerlerini özelleştirdiyseniz, ObjectClass değerlerinin LDAP şemanızla eşleştiğinden emin olun. Aksi takdirde IDaaS'te beklenmedik veri senkronizasyon sonuçlarıyla karşılaşabilirsiniz.

Oturum Açma Kimliği

Bir kullanıcı yetkilendirilmiş kimlik doğrulama ile IDaaS'te oturum açtığında, IDaaS kullanıcıyı bulmak ve parolayı eşleştirmek için bu niteliklere göre LDAP'de arama yapar. Parola doğruysa kullanıcının IDaaS'te oturum açmasına izin verilir.

Yaygın oturum açma nitelikleri arasında uid, cep telefonu numarası, e-posta adresi ve çalışan kimliği bulunur. Bunları bağlantı oluştururken veya Delegated Authentication ayarlarında tanımlayabilirsiniz. Birden fazla nitelik kullanıyorsanız, bunların benzersiz olduğundan ve aynı LDAP kullanıcısına karşılık geldiğinden emin olun. Aksi takdirde yetkilendirilmiş kimlik doğrulama başarısız olur.

Filtre Sözdizimi

Önemli

ObjectClass ve filter değerlerini değiştirmek LDAP filtreleme koşullarını etkiler. Tam senkronizasyon sırasında, IDaaS artık filtreyi karşılamayan hesapları ve kuruluşları siler. Değişiklik yapmadan önce senkronizasyon koruma eşiklerini ayarlamanızı ve filtreleme sonuçlarının beklentilerinizi karşıladığından emin olmak için kapsamlı testler yapmanızı öneririz (örneğin, test amaçlı başka bir IDaaS örneği kullanarak).

Genel Bakış

Farklı kuruluşlardan yalnızca bir kullanıcı alt kümesini IDaaS'e senkronize etmek için özel bir filter ifadesi tanımlayın. Yalnızca filtreyi karşılayan kullanıcılar senkronize edilir. Varsayılan olarak, filter ifadesi ObjectClass için bir VE koşulu içerir. Tam ifadeyi görmek için View Details seçeneğine tıklayın.

Tam filtre ifadesi (&(objectclass=posixAccount)(objectclass=inetOrgPerson)(objectclass=top)(cn=cn*)) şeklindedir; burada (cn=cn*) özel filtre koşuludur.

Sonuçları doğrulamak için filter ifadesini bir LDAP yönetim aracında test edin.

Örneğin, Custom sekmesinde Filter giriş kutusuna (cn=xiaoyan) yazın ve Start butonuna tıklayın. Arama sonuçları, uid=xiaoyan,ou=OrgName,dc=company,dc=cn gibi eşleşen kullanıcı DN kayıtlarını gösterir.

Aşağıda LDAP filtreleri için yaygın sözdizimleri ve ifadeler verilmiştir.

Yaygın Sözdizimi

Operator	Description	Example
=	Eşittir	(cn=Alice)
>=	Büyük veya eşit	(pwdLastSet>=1319563845000000000)
<=	Küçük veya eşit	(employeeNumber<=1000)
&	VE (tüm koşullar sağlanmalıdır)	(&(cn=CN*)(title=RD))
\|	VEYA (en az bir koşul sağlanmalıdır)	(\|(cn=Test)(cn=Admin))
!	DEĞİL (koşul sağlanmamalıdır)	(!(cn=Test)(cn=Admin))

Yaygın İfadeler

Scenario	Example
Kullanıcı adı "CN" ile başlar	(cn=CN*)
Belirli bir e-posta adresine sahip kullanıcı	(mail=alice@example.com)

LDAP Senkronizasyon Yapılandırması

Base DN Alma

Base DN, LDAP'deki belirli bir düğümün yol tanımlayıcısıdır. IDaaS yalnızca bu düğümün alt ağacındaki verileri sorgular ve senkronize eder. Kaynak düğümün Base DN değerini Synchronization Direction ayarlarında belirtin.

Bir DN formatı ou=Some Organization,dc=example,dc=com şeklindedir. Kök düğümün DN'si genellikle dc=example,dc=com (alan adınız) şeklindedir. Bir düğümün DN değerini doğrudan LDAP'de de görüntüleyebilirsiniz.

Örneğin, LDAP Admin'de dizin ağacındaki üst düzey giriş dc=company,dc=cn kök düğüm DN'sidir. Altındaki organizasyon birimlerini (OU'lar) ve kullanıcı girişlerini (CN'ler) görüntülemek için bunu genişletebilirsiniz.

Ek olarak, bir düğümün yolu değiştiğinde Base DN değeri de değişir. Bir düğüm taşındığında veya yeniden adlandırıldığında senkronizasyon hatalarını önlemek için, IDaaS kaynak düğümün Base DN değerini yapılandırırken düğümün ObjectGuid değerini de bir düğüm parmak izi olarak kullanır. Base DN değişir ve düğüm parmak iziyle eşleşmezse veri senkronizasyonu engellenir. Kaynak düğümü yeniden yapılandırdıktan sonra senkronizasyon devam edebilir.

Zamanlanmış Tam Senkronizasyon

LDAP artımlı sorguları desteklemediğinden, IDaaS her sabah erken saatlerde LDAP kaynak düğümü altındaki tüm verilerin tam senkronizasyonunu otomatik olarak gerçekleştirir. Verileri hemen senkronize etmek için manuel olarak tam senkronizasyonu tetikleyin.

IDaaS yerleşik senkronizasyon koruması içerir. Silinmesi planlanan hesap sayısı 30'dan fazla veya kuruluş sayısı 10'dan fazla ise, IDaaS yanlışlıkla veri kaybını önlemek için senkronizasyon işini otomatik olarak iptal eder. Senkronizasyon koruma ayarlarını işletmenizin ölçeğine uygun şekilde düzenleyin.