Nachdem Sie den LDAP-Client hinzugefügt haben, müssen Sie die Zugriffsberechtigungen für den Client konfigurieren. Die Seite Zugriffsberechtigungen, die nach dem Hinzufügen des LDAP-Clients automatisch angezeigt wird, enthält drei Abschnitte, in denen Sie Folgendes tun können:
- Zugriffsebene des LDAP-Clients für die Überprüfung von Nutzeranmeldedaten angeben: Wenn ein Nutzer versucht, sich in der Anwendung anzumelden, wird mit dieser Einstellung festgelegt, auf welche Organisationseinheiten der LDAP-Client zugreifen kann, um die Anmeldedaten des Nutzers zu überprüfen. Nutzer, die sich nicht in einer ausgewählten Organisationseinheit befinden, können sich nicht in der Anwendung anmelden.
- Zugriffsebene des LDAP-Clients zum Lesen von Nutzerinformationen angeben: Mit dieser Einstellung wird festgelegt, auf welche Organisationseinheiten und Gruppen der LDAP-Client zugreifen kann, um zusätzliche Nutzerinformationen abzurufen.
- Angeben, ob der LDAP-Client Gruppeninformationen lesen kann: Mit dieser Einstellung wird festgelegt, ob der LDAP-Client Gruppendetails lesen und die Gruppenmitgliedschaften eines Nutzers prüfen kann, z. B. für die Rolle eines Nutzers in der Anwendung.
Sie können später zur Seite Zugriffsberechtigungen zurückkehren, um diese Einstellungen zu ändern. Weitere Informationen und Anleitungen finden Sie in den nächsten Abschnitten.
Wichtig: Bestimmte LDAP-Clients wie Atlassian Jira und SSSD führen während der Nutzerauthentifizierung eine Nutzersuche durch, um weitere Informationen zu einem Nutzer zu erhalten. Damit die Nutzerauthentifizierung für solche LDAP-Clients korrekt funktioniert, müssen Sie Nutzerinformationen lesen für alle Organisationseinheiten aktivieren, für die Nutzeranmeldedaten prüfen aktiviert ist.
Zugriffsebene des LDAP-Clients für die Überprüfung von Nutzeranmeldedaten angeben
Verwenden Sie diese Option, wenn der LDAP-Client Nutzer gegenüber Cloud Directory authentifizieren muss.
Wenn ein Nutzer versucht, sich in der Anwendung anzumelden, wird mit der Einstellung Nutzeranmeldedaten überprüfen festgelegt, auf welche Nutzerkonten in ausgewählten Organisationseinheiten und Gruppen der LDAP-Client zugreifen kann, um die Anmeldedaten des Nutzers zu überprüfen. Nutzer, die sich nicht in einer ausgewählten Organisationseinheit oder Gruppe befinden, ODER Nutzer in der Kategorie Ausschlussgruppen können sich nicht in der Anwendung anmelden. Sie können Zugriffsberechtigungen so konfigurieren, dass Gruppen ein- oder ausgeschlossen werden.
Diese Einstellung ist für Organisationseinheiten und Gruppen standardmäßig auf Kein Zugriff festgelegt. Wenn dieser LDAP-Client von Ihrem gesamten Unternehmen verwendet wird, können Sie die Einstellung in Gesamte Domain ändern, um Nutzern in der gesamten Domain Zugriff zu gewähren. Alternativ können Sie bestimmte Organisationseinheiten oder Gruppen auswählen.
Hinweis:Es kann bis zu 24 Stunden dauern, bis Änderungen an dieser Einstellung wirksam werden.
So wählen Sie Organisationseinheiten aus, auf die ein LDAP-Client zugreifen kann, um die Nutzeranmeldedaten zu überprüfen:
- Klicken Sie unter Nutzeranmeldedaten bestätigen auf Ausgewählte Organisationseinheiten, Gruppen und ausgeschlossene Gruppen.
- Klicken Sie unter Eingeschlossene Organisationseinheiten auf Hinzufügen oder Bearbeiten.
- Wählen Sie im Fenster Eingeschlossene Organisationseinheiten die Organisationseinheiten aus, die Sie einschließen möchten.
- Klicken Sie auf SPEICHERN.
So fügen Sie Gruppen hinzu, auf die ein LDAP-Client zugreifen kann, um die Nutzeranmeldedaten zu überprüfen:
- Klicken Sie unter Nutzeranmeldedaten bestätigen auf Ausgewählte Organisationseinheiten, Gruppen und ausgeschlossene Gruppen.
- Klicken Sie unter Eingeschlossene Gruppen auf Hinzufügen oder Bearbeiten.
- Wählen Sie im Fenster Gruppen suchen und auswählen die gewünschten Gruppen aus.
- Klicken Sie auf FERTIG.
So schließen Sie Gruppen von der Überprüfung der Nutzeranmeldedaten aus:
- Klicken Sie unter Nutzeranmeldedaten bestätigen auf Ausgewählte Organisationseinheiten, Gruppen und ausgeschlossene Gruppen.
- Klicken Sie unter Ausgeschlossene Gruppen auf Hinzufügen oder Bearbeiten.
- Wählen Sie im Fenster Gruppen suchen und auswählen die Gruppen aus, die Sie ausschließen möchten.
- Klicken Sie auf FERTIG.
Hinweis:Wenn Sie sich die Liste der eingeschlossenen Organisationseinheiten oder die Liste der eingeschlossenen oder ausgeschlossenen Gruppen schnell ansehen möchten, bewegen Sie den Mauszeiger auf die oben genannten Einstellungen.
Zugriffsebene des LDAP-Clients zum Lesen von Nutzerinformationen angeben
Verwenden Sie diese Option, wenn der LDAP-Client Lesezugriff benötigt, um Nutzersuchen durchzuführen.
Mit der Einstellung Nutzerinformationen lesen wird festgelegt, auf welche Organisationseinheiten der LDAP-Client zugreifen kann, um zusätzliche Nutzerinformationen abzurufen. Standardmäßig ist diese Einstellung auf Kein Zugriff festgelegt. Sie können die Einstellung in Gesamte Domain ändern oder Ausgewählte Organisationseinheiten auswählen.
So wählen Sie Organisationseinheiten aus, auf die der LDAP-Client zugreifen kann, um zusätzliche Nutzerinformationen abzurufen:
- Klicken Sie unter Nutzerinformationen lesen auf Ausgewählte Organisationseinheiten.
Führen Sie einen der folgenden Schritte aus:
Klicken Sie auf Hinzufügen. Setzen Sie im Fenster Eingeschlossene Organisationseinheiten ein Häkchen bei den gewünschten Organisationseinheiten. Sie können auch das Suchfeld oben im Fenster verwenden, um nach Organisationseinheiten zu suchen.
--ODER--
Klicken Sie auf Aus „Nutzeranmeldedaten überprüfen“ kopieren.
Optional: Geben Sie an, auf welche Attribute dieser Client zugreifen kann, um die Informationen eines Nutzers zu lesen. Wählen Sie aus Systemattributen, öffentlichen benutzerdefinierten Attributen und privaten benutzerdefinierten Attributen aus. Weitere Informationen finden Sie unter Attribute für den LDAP-Client angeben.
Klicken Sie auf SPEICHERN.
Geben Sie an, welche Attribute für den LDAP-Client verfügbar sein sollen
Es gibt drei Arten von Attributen:
Systemattribute: Standardmäßige Nutzerattribute, die für alle Nutzerkonten verfügbar sind, z. B. Name, E-Mail-Adresse und Telefonnummer.
Hinweis: Sie können diese Option nicht deaktivieren.
Öffentliche benutzerdefinierte Attribute: Benutzerdefinierte Nutzerattribute, die als für die Organisation sichtbar gekennzeichnet sind.
Private benutzerdefinierte Attribute: Benutzerdefinierte Nutzerattribute, die nur für den Nutzer und Administratoren sichtbar sind. Seien Sie vorsichtig, wenn Sie private benutzerdefinierte Attribute verwenden, da Sie private Informationen für den LDAP-Client offenlegen.
Anforderungen und Richtlinien für die Benennung benutzerdefinierter Attribute:
- Namen für benutzerdefinierte Attribute dürfen nur alphanumerischen Text und Bindestriche enthalten.
- In allen benutzerdefinierten Schemas dürfen keine doppelten Attributnamen vorhanden sein.
- Wenn der benutzerdefinierte Attributname mit einem vorhandenen Systemattribut übereinstimmt, wird der Systemattributwert zurückgegeben.
Wichtig:Wenn Attributnamen nicht den oben genannten Richtlinien entsprechen, werden die betreffenden Attributwerte aus der LDAP-Antwort ausgeschlossen.
Weitere Informationen und eine Anleitung zum Einrichten benutzerdefinierter Attribute finden Sie unter Benutzerdefinierte Attribute für Nutzerprofile erstellen.
Angeben, ob der LDAP-Client Gruppeninformationen lesen kann
Verwenden Sie diese Option, wenn der LDAP-Client Lesezugriff benötigt, um Gruppensuchen durchzuführen.
Mit der Einstellung Gruppeninformationen lesen wird festgelegt, ob der LDAP-Client die Gruppenmitgliedschaften eines Nutzers prüfen kann, um beispielsweise die Rolle eines Nutzers in der Anwendung zu autorisieren.
Wichtig: Bestimmte LDAP-Clients wie Atlassian Jira und SSSD führen während der Nutzerauthentifizierung/-autorisierung eine Gruppensuche durch, um weitere Informationen zur Gruppenmitgliedschaft eines Nutzers zu erhalten. Damit die Nutzerauthentifizierung für solche LDAP-Clients richtig funktioniert, müssen Sie Gruppeninformationen lesen aktivieren.
Nächste Schritte
Klicken Sie nach dem Konfigurieren der Zugriffsberechtigungen auf LDAP-CLIENT HINZUFÜGEN.
Als Nächstes müssen Sie das generierte Zertifikat herunterladen, den LDAP-Client mit dem Secure LDAP-Dienst verbinden und dann den Dienststatus für den LDAP-Client auf An setzen.
Informationen zu den nächsten Schritten finden Sie unter 3. Laden Sie das generierte Zertifikat herunter.