אחרי שמוסיפים את לקוח ה-LDAP, צריך להגדיר את הרשאות הגישה של הלקוח. בדף Access permissions (הרשאות גישה), שמוצג באופן אוטומטי אחרי שמוסיפים את לקוח ה-LDAP, יש שלושה קטעים שבהם אפשר לבצע את הפעולות הבאות:
- מציינים את רמת הגישה של לקוח LDAP לאימות פרטי הכניסה של המשתמש – כשמשתמש מנסה להיכנס לאפליקציה, ההגדרה הזו מציינת לאילו יחידות ארגוניות לקוח LDAP יכול לגשת כדי לאמת את פרטי הכניסה של המשתמש. משתמשים שלא נמצאים ביחידה ארגונית שנבחרה לא יכולים להיכנס לאפליקציה.
- הגדרת רמת הגישה של לקוח LDAP לקריאת פרטי משתמשים – ההגדרה הזו מציינת לאילו יחידות ארגוניות וקבוצות לקוח LDAP יכול לגשת כדי לאחזר פרטים נוספים על משתמשים.
- האם לקוח ה-LDAP יכול לקרוא מידע על קבוצות – ההגדרה הזו מציינת אם לקוח ה-LDAP יכול לקרוא פרטים על קבוצות ולבדוק את החברות של משתמש בקבוצות, למטרות כמו התפקיד של המשתמש באפליקציה.
אפשר לחזור לדף הרשאות גישה כדי לשנות את ההגדרות האלה. בסעיפים הבאים יש הוראות ופרטים נוספים.
חשוב: לקוחות LDAP מסוימים, כמו Atlassian Jira ו-SSSD, מבצעים חיפוש משתמש כדי לקבל מידע נוסף על משתמש במהלך אימות המשתמש. כדי לוודא שאימות המשתמשים פועל בצורה תקינה בלקוחות LDAP כאלה, צריך להפעיל את האפשרות קריאת פרטי משתמש בכל היחידות הארגוניות שבהן מופעלת האפשרות אימות פרטי הכניסה של המשתמש.
ציון רמת הגישה של לקוח LDAP לאימות פרטי כניסה של משתמשים
משתמשים באפשרות הזו אם לקוח ה-LDAP צריך לאמת משתמשים מול Cloud Directory.
כשמשתמש מנסה להיכנס לאפליקציה, ההגדרה Verify user credentials (אימות פרטי הכניסה של המשתמש) מציינת את חשבונות המשתמשים בתוך יחידות ארגוניות וקבוצות נבחרות שלקוח ה-LDAP יכול לגשת אליהן כדי לאמת את פרטי הכניסה של המשתמש. משתמשים שלא נכללים ביחידה ארגונית או בקבוצה שנבחרו – או משתמשים בקטגוריה קבוצות להחרגה – לא יכולים להיכנס לאפליקציה. (אפשר להגדיר הרשאות גישה לכלול קבוצות או להחריג אותן).
הגדרת ברירת המחדל היא ללא גישה ליחידות ארגוניות ולקבוצות. אם כל החברה משתמשת בלקוח LDAP הזה, אפשר לשנות את ההגדרה לכל הדומיין כדי לאפשר גישה למשתמשים בכל הדומיין, או לבחור יחידות ארגוניות או קבוצות ספציפיות.
הערה: יכול להיות שיחלפו עד 24 שעות לפני שהשינויים בהגדרה הזו ייכנסו לתוקף.
כדי לבחור יחידות ארגוניות שלקוח LDAP יכול לגשת אליהן כדי לאמת את פרטי הכניסה של המשתמש:
- בקטע אימות פרטי הכניסה של המשתמש, לוחצים על יחידות ארגוניות נבחרות, קבוצות וקבוצות שהוחרגו.
- בקטע יחידות ארגוניות שכלולות, לוחצים על הוספה או על עריכה.
- בחלון יחידות ארגוניות כלולות, בוחרים יחידות ארגוניות ספציפיות שרוצים לכלול.
- לוחצים על שמירה.
כדי לכלול קבוצות שלקוח LDAP יכול לגשת אליהן כדי לאמת את פרטי הכניסה של המשתמש:
- בקטע אימות פרטי הכניסה של המשתמש, לוחצים על יחידות ארגוניות נבחרות, קבוצות וקבוצות שהוחרגו.
- בקטע קבוצות כלולות, לוחצים על הוספה או על עריכה.
- בחלון Find and select groups (חיפוש ובחירה של קבוצות), בוחרים את הקבוצות הספציפיות שרוצים לכלול.
- ללחוץ על סיום.
כדי להחריג קבוצות מאימות פרטי הכניסה של המשתמשים:
- בקטע אימות פרטי הכניסה של המשתמש, לוחצים על יחידות ארגוניות נבחרות, קבוצות וקבוצות שהוחרגו.
- בקטע קבוצות מוחרגות, לוחצים על הוספה או על עריכה.
- בחלון חיפוש ובחירה של קבוצות, בוחרים את הקבוצות הספציפיות שרוצים להחריג.
- ללחוץ על סיום.
הערה: כדי לראות במהירות את רשימת היחידות הארגוניות שנכללות, או את רשימת הקבוצות שנכללות או מוחרגות, מעבירים את העכבר מעל ההגדרות שלמעלה.
ציון רמת הגישה של לקוח LDAP לקריאת פרטי משתמש
משתמשים באפשרות הזו אם לקוח ה-LDAP דורש גישת קריאה בלבד כדי לבצע חיפושים של משתמשים.
ההגדרה קריאת פרטי משתמש מציינת לאילו יחידות ארגוניות לקוח LDAP יכול לגשת כדי לאחזר פרטי משתמש נוספים. כברירת מחדל, ההגדרה הזו מוגדרת לללא גישה. אפשר לשנות את ההגדרה לכל הדומיין, או לבחור באפשרות יחידות ארגוניות נבחרות.
כדי לבחור יחידות ארגוניות שלקוח ה-LDAP יכול לגשת אליהן כדי לאחזר מידע נוסף על המשתמשים:
- בקטע קריאת פרטי משתמש, לוחצים על יחידות ארגוניות נבחרות.
בצע אחת מהפעולות הבאות:
לוחצים על הוספה. בחלון יחידות ארגוניות כלולות, מסמנים את התיבות של היחידות הארגוניות הספציפיות. אפשר גם להשתמש בשדה החיפוש בחלק העליון של החלון כדי לחפש יחידות ארגוניות.
--OR--
לוחצים על העתקה מתוך 'אימות פרטי הכניסה של המשתמש'.
(אופציונלי) מציינים לאילו מאפיינים יש ללקוח הזה גישה כדי לקרוא את פרטי המשתמש. בוחרים מתוך מאפייני מערכת, מאפיינים מותאמים אישית ציבוריים ומאפיינים מותאמים אישית פרטיים. פרטים נוספים זמינים במאמר ציון המאפיינים שרוצים להפוך לזמינים ללקוח LDAP.
לוחצים על שמירה.
מציינים אילו מאפיינים רוצים להפוך לזמינים ללקוח LDAP
יש 3 סוגים של מאפיינים:
מאפייני מערכת – מאפייני משתמש שמוגדרים כברירת מחדל וזמינים לכל חשבונות המשתמשים – לדוגמה, שם, אימייל וטלפון.
הערה: אי אפשר להשבית את האפשרות הזו.
מאפיינים מותאמים אישית ציבוריים – מאפייני משתמש מותאמים אישית שמסומנים כגלויים לארגון.
מאפיינים מותאמים אישית פרטיים – מאפייני משתמש מותאמים אישית שמסומנים כמאפיינים שגלויים רק למשתמש ולאדמינים. חשוב לנקוט משנה זהירות כשמשתמשים במאפיינים מותאמים אישית פרטיים, כי אתם חושפים מידע פרטי ללקוח LDAP.
דרישות והנחיות לגבי שמות של מאפיינים מותאמים אישית:
- שמות של מאפיינים מותאמים אישית יכולים להכיל רק טקסט אלפאנומרי ומקפים.
- לא יכולים להיות שמות מאפיינים כפולים בכל הסכימות המותאמות אישית.
- אם שם המאפיין המותאם אישית זהה לשם של מאפיין מערכת קיים, המערכת תחזיר את ערך המאפיין של המערכת.
חשוב: אם שמות המאפיינים לא עומדים בהנחיות שלמעלה, ערכי המאפיינים הרלוונטיים לא ייכללו בתגובת ה-LDAP.
פרטים נוספים והוראות להגדרת מאפיינים מותאמים אישית זמינים במאמר בנושא יצירת מאפיינים מותאמים אישית לפרופילי משתמשים.
קובעים אם לקוח LDAP יכול לקרוא מידע על קבוצות
משתמשים באפשרות הזו אם לקוח ה-LDAP דורש גישת קריאה בלבד כדי לבצע חיפושים של קבוצות.
ההגדרה Read group information מציינת אם לקוח LDAP יכול לבדוק את החברות של משתמש בקבוצות למטרות כמו אישור התפקיד של משתמש באפליקציה.
חשוב: לקוחות LDAP מסוימים, כמו Atlassian Jira ו-SSSD, מבצעים חיפוש קבוצות כדי לקבל מידע נוסף על החברות של משתמש בקבוצה במהלך אימות/הרשאה של משתמש. כדי לוודא שאימות המשתמשים פועל בצורה תקינה בלקוחות LDAP כאלה, צריך להפעיל את האפשרות קריאת פרטי הקבוצה.
השלבים הבאים
אחרי שמסיימים להגדיר את הרשאות הגישה, לוחצים על הוספת לקוח LDAP.
לאחר מכן, צריך להוריד את האישור שנוצר, לחבר את לקוח ה-LDAP לשירות LDAP מאובטח ואז להעביר את סטטוס השירות למופעל עבור לקוח ה-LDAP.
לשלבים הבאים, אפשר לעבור אל 3. מורידים את האישור שנוצר.