Nadat u de LDAP-client hebt toegevoegd, moet u de toegangsrechten voor de client configureren. De pagina 'Toegangsrechten' , die automatisch wordt weergegeven na het toevoegen van de LDAP-client, bevat drie secties waar u het volgende kunt doen:
- Specificeer het toegangsniveau van de LDAP-client voor het verifiëren van gebruikersgegevens . Wanneer een gebruiker probeert in te loggen op de applicatie, bepaalt deze instelling tot welke organisatie-eenheden de LDAP-client toegang heeft om de gebruikersgegevens te verifiëren. Gebruikers die niet tot een geselecteerde organisatie-eenheid behoren, kunnen niet inloggen op de applicatie.
- Specificeer het toegangsniveau van de LDAP-client voor het lezen van gebruikersinformatie — Deze instelling bepaalt tot welke organisatie-eenheden en -groepen de LDAP-client toegang heeft om aanvullende gebruikersinformatie op te halen.
- Geef aan of de LDAP-client groepsgegevens kan lezen — Deze instelling bepaalt of de LDAP-client groepsgegevens kan lezen en het groepslidmaatschap van een gebruiker kan controleren, bijvoorbeeld om de rol van een gebruiker in de applicatie te bepalen.
Later kunt u terugkeren naar de pagina Toegangsrechten om deze instellingen te wijzigen. Zie de onderstaande secties voor meer informatie en instructies.
Belangrijk: bepaalde LDAP-clients, zoals Atlassian Jira en SSSD, voeren een gebruikersopzoeking uit om meer informatie over een gebruiker te verkrijgen tijdens de gebruikersverificatie. Om ervoor te zorgen dat gebruikersverificatie correct werkt voor dergelijke LDAP-clients, moet u 'Gebruikersinformatie lezen' inschakelen voor alle organisatie-eenheden waar 'Gebruikersgegevens verifiëren' is ingeschakeld.
Specificeer het toegangsniveau van de LDAP-client voor het verifiëren van gebruikersgegevens.
Gebruik deze optie als de LDAP-client gebruikers moet authenticeren via Cloud Directory.
Wanneer een gebruiker probeert in te loggen op de applicatie, bepaalt de instelling 'Gebruikersgegevens verifiëren' welke gebruikersaccounts binnen geselecteerde organisatie-eenheden en -groepen de LDAP-client kan benaderen om de inloggegevens van de gebruiker te verifiëren. Gebruikers die niet tot een geselecteerde organisatie-eenheid of -groep behoren, of gebruikers in de categorie ' uitgesloten groepen' , kunnen niet inloggen op de applicatie. (U kunt toegangsrechten configureren om groepen wel of niet toe te staan.)
Standaard staat deze instelling op ' Geen toegang' voor organisatie-eenheden en -groepen. Als deze LDAP-client door uw hele bedrijf wordt gebruikt, kunt u de instelling wijzigen naar 'Hele domein' om toegang te verlenen aan gebruikers in het hele domein, of u kunt specifieke organisatie-eenheden of -groepen selecteren.
Let op: het kan tot 24 uur duren voordat wijzigingen in deze instelling van kracht worden.
Om organisatie-eenheden te selecteren waartoe een LDAP-client toegang heeft om de gebruikersgegevens te verifiëren:
- Klik onder Gebruikersgegevens verifiëren op Geselecteerde organisatie-eenheden, groepen en uitgesloten groepen .
- Klik onder ' Inbegrepen organisatie-eenheden' op 'Toevoegen' of 'Bewerken' .
- In het venster 'Inbegrepen organisatie-eenheden' kunt u de specifieke organisatie-eenheden selecteren die u wilt opnemen.
- Klik op OPSLAAN .
Om groepen op te nemen waartoe een LDAP-client toegang heeft om de gebruikersgegevens te verifiëren:
- Klik onder Gebruikersgegevens verifiëren op Geselecteerde organisatie-eenheden, groepen en uitgesloten groepen .
- Klik onder Inbegrepen groepen op Toevoegen of Bewerken .
- In het venster 'Groepen zoeken en selecteren' kiest u de specifieke groepen die u wilt opnemen.
- Klik op KLAAR .
Om groepen uit te sluiten van de verificatie van gebruikersgegevens:
- Klik onder Gebruikersgegevens verifiëren op Geselecteerde organisatie-eenheden, groepen en uitgesloten groepen .
- Klik onder Uitgesloten groepen op Toevoegen of Bewerken .
- In het venster 'Groepen zoeken en selecteren' kiest u de specifieke groepen die u wilt uitsluiten.
- Klik op KLAAR .
Opmerking: Om snel de lijst met opgenomen organisatie-eenheden te bekijken, of om de lijst met opgenomen of uitgesloten groepen te bekijken, beweegt u de muis over de bovenstaande instellingen.
Specificeer het toegangsniveau van de LDAP-client voor het lezen van gebruikersinformatie.
Gebruik deze optie als de LDAP-client alleen-leestoegang nodig heeft om gebruikers op te zoeken.
De instelling 'Gebruikersinformatie lezen' bepaalt tot welke organisatie-eenheden de LDAP-client toegang heeft om aanvullende gebruikersinformatie op te halen. Standaard staat deze instelling op ' Geen toegang' . U kunt de instelling wijzigen naar 'Hele domein' of ' Geselecteerde organisatie-eenheden' .
Om de organisatie-eenheden te selecteren waartoe de LDAP-client toegang heeft om aanvullende gebruikersinformatie op te halen:
- Klik onder Gebruikersinformatie lezen op Geselecteerde organisatie-eenheden .
Doe een van de volgende dingen:
Klik op Toevoegen . Vink in het venster ' Inbegrepen organisatie-eenheden' de vakjes aan voor de specifieke organisatie-eenheden. U kunt ook het zoekveld bovenaan het venster gebruiken om naar organisatie-eenheden te zoeken.
--OF--
Klik op 'Kopiëren' bij 'Gebruikersgegevens verifiëren' .
(Optioneel) Geef aan tot welke attributen deze client toegang heeft om de informatie van een gebruiker te lezen. Kies uit systeemattributen , openbare aangepaste attributen en privé aangepaste attributen . Zie ' Geef aan welke attributen u beschikbaar wilt stellen voor de LDAP-client' voor meer informatie.
Klik op OPSLAAN .
Geef aan welke attributen u beschikbaar wilt stellen voor de LDAP-client.
Er zijn 3 soorten attributen:
Systeemkenmerken — Standaard gebruikerskenmerken die beschikbaar zijn voor alle gebruikersaccounts, zoals naam, e-mailadres en telefoonnummer.
Let op: deze optie kan niet worden uitgeschakeld.
Openbare aangepaste attributen — Aangepaste gebruikersattributen die zijn gemarkeerd als zichtbaar voor de organisatie.
Privé-aangepaste attributen — Aangepaste gebruikersattributen die alleen zichtbaar zijn voor de gebruiker en beheerders. Wees voorzichtig met het gebruik van privé-aangepaste attributen, aangezien u hiermee vertrouwelijke informatie aan de LDAP-client blootstelt.
Vereisten en richtlijnen voor de naamgeving van aangepaste attributen:
- Namen voor aangepaste attributen mogen alleen alfanumerieke tekens en koppeltekens bevatten.
- Er mogen geen dubbele attribuutnamen voorkomen in alle aangepaste schema's.
- Als de naam van het aangepaste attribuut overeenkomt met een bestaand systeemattribuut, retourneren we de waarde van het systeemattribuut.
Belangrijk: Als attribuutnamen niet aan bovenstaande richtlijnen voldoen, worden de betreffende attribuutwaarden uitgesloten van het LDAP-antwoord.
Voor meer informatie en instructies over het instellen van aangepaste kenmerken, zie Aangepaste kenmerken maken voor gebruikersprofielen .
Geef aan of de LDAP-client groepsgegevens kan lezen.
Gebruik deze optie als de LDAP-client alleen-leestoegang nodig heeft om groepszoekopdrachten uit te voeren.
De instelling 'Groepsinformatie lezen' bepaalt of de LDAP-client de groepslidmaatschappen van een gebruiker mag controleren, bijvoorbeeld om de rol van een gebruiker in de applicatie te autoriseren.
Belangrijk: bepaalde LDAP-clients, zoals Atlassian Jira en SSSD, voeren een groepsopzoeking uit om meer informatie te verkrijgen over het groepslidmaatschap van een gebruiker tijdens de gebruikersauthenticatie/autorisatie. Om ervoor te zorgen dat gebruikersauthenticatie correct werkt voor dergelijke LDAP-clients, moet u 'Groepsinformatie lezen' inschakelen.
Volgende stappen
Nadat u de toegangsrechten hebt geconfigureerd, klikt u op LDAP-CLIENT TOEVOEGEN .
Vervolgens moet u het gegenereerde certificaat downloaden, de LDAP-client verbinden met de Secure LDAP-service en de servicestatus voor de LDAP-client op ' Aan' zetten.
Zie voor uw volgende stappen 3. Download het gegenereerde certificaat .