Рекомендации по настройке синхронизации LDAP с каталогом ALD Pro
В статье описаны дополнительные настройки интеграции LDAP с ALD Pro.
Основную настройку выполняйте по инструкции «Настройка синхронизации по LDAP» ↗, а приведённые ниже параметры используйте как дополнение к ней.
Интеграция имеет ограничения. Они и возможный порядок обхода описаны в разделе «Ограничение и его обходное решение» данной статьи.
1. Настройка LDAP
Шаг 1. Откройте настройки метода аутентификации и выберите LDAP.
Шаг 2. Заполните три параметра, указанные в таблице. Все остальные поля заполните по основной инструкции.
| Параметр | Значение |
|---|---|
| DN каталога пользователей | cn=users, cn=accounts, dc=aldadminus, dc=lan |
| Фильтр пользователей | (&(uid=*) (objectClass=PosixAccount) (nsAccountLock=False)) |
| Логин | uid=service_account, cn=users, cn=accounts, dc=ald, dc=company, dc=lan |
2. Сопоставление атрибутов
Шаг 1. Перейдите в меню «Организации → Аутентификация → LDAP → Сопоставление атрибутов».
Шаг 2. Измените только два параметра, как указано ниже. Остальные значения оставьте без изменений — согласно основной инструкции.
| Параметр | Значение |
|---|---|
| Логин | krbPrincipalName |
| Заблокирован | Очистить поле (оставить пустым) |
3. Настройка экспорта групп
Шаг 1. Перейдите в меню «Организации → Аутентификация → LDAP → Экспорт групп → Включить».
Шаг 2. Настройте экспорт групп по значениям из таблицы. Остальные параметры оставьте согласно основной инструкции.
| Параметр | Значение |
|---|---|
| DN каталог групп | cn=groups, cn=accounts, dc=aldadminus, dc=lan |
| Фильтр групп | (&(objectClass=posixgroup)(objectClass=ipausergroup) (cn=group_name)) |
| Идентификатор | ipaUniqueID |
4. Ограничение и его обходное решение
При интеграции Корпоративного сервера 2024 с ALD Pro повторная LDAP-синхронизация приводит к блокировке ранее синхронизированных пользователей. После этого они не могут войти в Корпоративный сервер 2024 под своими учетными записями. Поэтому рекомендуется выполнить первоначальную синхронизацию, а затем отключить автоматическую синхронизацию. При необходимости новых пользователей можно синхронизировать вручную.
Обходное решение актуально для версий КС24 ниже 2.0.2024.14752 / ALD Pro ниже 3.1.0.
Обходное решение рекомендуется использовать только для первоначальной синхронизации пользователей.
4.1. Отключение автоматической синхронизации
Чтобы отключить автоматическую синхронизацию:
- Откройте инструкцию «Настройка периода синхронизации» ↗;
- Найдите параметр
period; - Установите значение 00:00:00.
После этого автоматическая синхронизация будет отключена.
4.2. Подготовка к ручной синхронизации
Для повторной синхронизации необходимо сбросить дату последней синхронизации. Это можно сделать одним из двух способов.
Способ 1. Через веб-интерфейс
Шаг 1. Перед синхронизацией откройте меню «Организации → Аутентификация → LDAP».
Шаг 2. Измените один из параметров, например укажите второй контроллер домена.
Шаг 3. Нажмите «Сохранить».
Шаг 4. Верните исходное значение изменённого параметра и снова нажмите «Сохранить».
После нажатия «Сохранить» дата последней синхронизации сбрасывается, и Корпоративный сервер 2024 синхронизирует все объекты согласно настройкам.
Способ 2. Через базу данных
Шаг 1. Перед синхронизацией можно сбросить дату последней синхронизации непосредственно в базе данных.
Выполните в консоли следующую команду:
psql -h localhost -p 5432 -d cddisk -U postgres -W -c 'update "LdapSyncSchedule" set "LastDate" = null where "CustomerId" = 1;'
Шаг 2. При необходимости скорректируйте параметры команды с учётом вашей конфигурации.
| Параметр | Описание |
|---|---|
| localhost | Адрес сервера базы данных. В приведённом примере команда выполняется непосредственно на сервере базы данных. |
| 5432 | Порт базы данных; значение по умолчанию — 5432. |
| cddisk | Имя базы данных. |
| postgres | Учётная запись, у которой есть право на изменение данных. |
| -W | Ключ, который требует интерактивно ввести пароль учётной записи. |
| CustomerId | Идентификатор организации. Его можно посмотреть на вкладке «Организации». |
4.3. Вход новых пользователей без предварительной синхронизации
Если в ALD Pro появился новый пользователь, он также может войти в Корпоративный сервер 2024 под своей доменной учетной записью до выполнения очередной синхронизации.
После успешной аутентификации система создаст запись пользователя в базе данных.
