אחרי שמוסיפים את לקוח ה-LDAP, צריך להגדיר את הרשאות הגישה של הלקוח. בדף הרשאות גישה, שמוצג באופן אוטומטי אחרי שמוסיפים את לקוח ה-LDAP, יש שלושה קטעים שבהם אפשר לבצע את הפעולות הבאות:
- מציינים את רמת הגישה של לקוח ה-LDAP לאימות פרטי הכניסה של המשתמש – כשמשתמש מנסה להיכנס לאפליקציה, ההגדרה הזו מציינת לאילו יחידות ארגוניות יש ללקוח ה-LDAP גישה כדי לאמת את פרטי הכניסה של המשתמש. משתמשים שלא נמצאים ביחידה הארגונית שנבחרה לא יכולים להיכנס לאפליקציה.
- מציינים את רמת הגישה של לקוח ה-LDAP לקריאת פרטי משתמשים – ההגדרה הזו מציינת לאילו יחידות ארגוניות וקבוצות לקוח ה-LDAP יכול לגשת כדי לאחזר פרטי משתמשים נוספים.
- הגדרת ההרשאה של לקוח ה-LDAP לקרוא מידע על קבוצות – ההגדרה הזו קובעת אם לקוח ה-LDAP יכול לקרוא פרטים של קבוצות ולבדוק את החברויות של המשתמש בקבוצות, למטרות כמו התפקיד של המשתמש באפליקציה.
בהמשך, אתם יכולים לחזור לדף Access permissions כדי לשנות את ההגדרות האלה. בקטעים הבאים מפורטים פרטים והוראות נוספים.
חשוב: לקוחות LDAP מסוימים, כמו Atlassian Jira ו-SSSD, מבצעים חיפוש משתמשים כדי לקבל מידע נוסף על משתמש במהלך אימות המשתמש. כדי לוודא שאימות המשתמשים פועל בצורה תקינה בלקוחות LDAP כאלה, צריך להפעיל את ההגדרה קריאת פרטי משתמש בכל היחידות הארגוניות שבהן ההגדרה אימות פרטי כניסה של משתמשים מופעלת.
מציינים את רמת הגישה של לקוח ה-LDAP לאימות פרטי הכניסה של המשתמשים
השתמשו באפשרות הזו אם לקוח ה-LDAP צריך לאמת משתמשים מול Cloud Directory.
כשמשתמש מנסה להיכנס לאפליקציה, ההגדרה אימות פרטי הכניסה של המשתמש מציינת את חשבונות המשתמשים ביחידות הארגוניות ובקבוצות שנבחרו, שלקוח ה-LDAP יכול לגשת אליהם כדי לאמת את פרטי הכניסה של המשתמש. משתמשים שלא נמצאים ביחידה הארגונית או בקבוצה שנבחרו, או משתמשים בקטגוריה החרגת קבוצות, לא יכולים להיכנס לאפליקציה. (אתם יכולים להגדיר הרשאות גישה כדי לכלול או להחריג קבוצות).
כברירת מחדל, ההגדרה הזו מוגדרת כאין גישה ליחידות ארגוניות ולקבוצות. אם כל החברה משתמשת בלקוח ה-LDAP הזה, אתם יכולים לשנות את ההגדרה לכל הדומיין כדי לאפשר גישה למשתמשים בכל הדומיין, או לבחור יחידות ארגוניות או קבוצות ספציפיות.
הערה: יכול להיות שיעברו עד 24 שעות עד שהשינויים בהגדרה הזו ייכנסו לתוקף.
כדי לבחור יחידות ארגוניות שלקוח LDAP יכול לגשת אליהן כדי לאמת את פרטי הכניסה של המשתמש:
- בקטע אימות פרטי הכניסה של המשתמשים, לוחצים על יחידות ארגוניות וקבוצות נבחרות, וקבוצות מוחרגות.
- בקטע יחידות ארגוניות כלולות, לוחצים על הוספה או על עריכה.
- בחלון Included organizational units, בוחרים את היחידות הארגוניות הספציפיות שרוצים לכלול.
- לוחצים על שמירה.
כדי לכלול קבוצות שלקוח LDAP יכול לגשת אליהן כדי לאמת את פרטי הכניסה של המשתמש:
- בקטע אימות פרטי הכניסה של המשתמשים, לוחצים על יחידות ארגוניות, קבוצות וקבוצות מוחרגות שנבחרו.
- בקטע קבוצות שנכללות, לוחצים על הוספה או על עריכה.
- בחלון Find and select groups, בוחרים את הקבוצות הספציפיות שרוצים לכלול.
- ללחוץ על סיום.
כדי להחריג קבוצות מאימות פרטי הכניסה של המשתמשים:
- בקטע אימות פרטי הכניסה של המשתמשים, לוחצים על יחידות ארגוניות וקבוצות נבחרות, וקבוצות מוחרגות.
- בקטע קבוצות מוחרגות, לוחצים על הוספה או עריכה.
- בחלון חיפוש ובחירה של קבוצות, בוחרים את הקבוצות הספציפיות שרוצים להחריג.
- ללחוץ על סיום.
הערה: כדי לראות במהירות את רשימת היחידות הארגוניות שנכללות, או את רשימת הקבוצות שנכללות או מוחרגות, צריך להעביר את העכבר מעל ההגדרות שלמעלה.
מציינים את רמת הגישה של לקוח ה-LDAP לקריאת פרטי משתמשים
כדאי להשתמש באפשרות הזו אם לקוח ה-LDAP דורש גישת קריאה בלבד כדי לבצע חיפושי משתמשים.
ההגדרה קריאת פרטי משתמש קובעת לאילו יחידות ארגוניות לקוח ה-LDAP יכול לגשת כדי לאחזר פרטי משתמש נוספים. כברירת מחדל, ההגדרה הזו מוגדרת לערך No access. אפשר לשנות את ההגדרה לכל הדומיין או לבחור באפשרות יחידות ארגוניות נבחרות.
כדי לבחור יחידות ארגוניות שלקוח ה-LDAP יכול לגשת אליהן כדי לאחזר מידע נוסף על משתמשים:
- בקטע קריאת פרטי משתמש, לוחצים על יחידות ארגוניות נבחרות.
בצע אחת מהפעולות הבאות:
לוחצים על הוספה. בחלון יחידות ארגוניות כלולות, מסמנים את התיבות של יחידות ארגוניות ספציפיות. אפשר גם להשתמש בשדה החיפוש שבחלק העליון של החלון כדי לחפש יחידות ארגוניות.
--או--
לוחצים על העתקה מ "אימות פרטי הכניסה של המשתמש".
(אופציונלי) מציינים לאילו מאפיינים הלקוח הזה יכול לגשת כדי לקרוא את פרטי המשתמש. אפשר לבחור מתוך מאפייני מערכת, מאפיינים ציבוריים בהתאמה אישית ומאפיינים פרטיים בהתאמה אישית. פרטים נוספים זמינים במאמר ציון המאפיינים שרוצים שיהיו זמינים ללקוח ה-LDAP.
לוחצים על שמירה.
מציינים אילו מאפיינים רוצים שיהיו זמינים ללקוח ה-LDAP
יש 3 סוגים של מאפיינים:
מאפייני מערכת – מאפייני משתמש שמוגדרים כברירת מחדל וזמינים לכל חשבונות המשתמשים, לדוגמה: שם, אימייל וטלפון.
הערה: אי אפשר להשבית את האפשרות הזו.
מאפיינים מותאמים אישית שגלויים לכולם – מאפייני משתמש מותאמים אישית שגלויים לכל הארגון.
מאפיינים פרטיים בהתאמה אישית – מאפייני משתמש בהתאמה אישית שמסומנים כגלויים רק למשתמש ולאדמינים. חשוב להיזהר כשמשתמשים במאפיינים פרטיים בהתאמה אישית, כי אתם חושפים מידע פרטי ללקוח ה-LDAP.
דרישות והנחיות למתן שמות למאפיינים מותאמים אישית:
- שמות של מאפיינים מותאמים אישית יכולים להכיל רק טקסט אלפאנומרי ומקפים.
- אסור שיהיו שמות מאפיינים כפולים בכל הסכימות בהתאמה אישית.
- אם שם המאפיין המותאם אישית תואם לשם מאפיין מערכת קיים, המערכת תחזיר את ערך מאפיין המערכת.
חשוב: אם שמות המאפיינים לא עומדים בהנחיות שלמעלה, ערכי המאפיינים הרלוונטיים לא נכללים בתגובת ה-LDAP.
פרטים נוספים והוראות להגדרת מאפיינים מותאמים אישית זמינים במאמר יצירת מאפיינים מותאמים אישית לפרופילים של משתמשים.
צריך לציין אם לקוח ה-LDAP יכול לקרוא מידע על קבוצות
אפשר להשתמש באפשרות הזו אם לקוח ה-LDAP דורש הרשאת קריאה בלבד כדי לבצע חיפושים בקבוצות.
ההגדרה קריאת מידע על קבוצות קובעת אם לקוח ה-LDAP יכול לבדוק את החברויות של המשתמש בקבוצות, למטרות כמו אישור התפקיד של המשתמש באפליקציה.
חשוב: לקוחות LDAP מסוימים, כמו Atlassian Jira ו-SSSD, מבצעים חיפוש קבוצה כדי לקבל מידע נוסף על החברות של המשתמש בקבוצה במהלך האימות או ההרשאה של המשתמש. כדי לוודא שאימות המשתמשים פועל בצורה תקינה בלקוחות LDAP כאלה, צריך להפעיל את האפשרות קריאת מידע על קבוצות.
השלבים הבאים
אחרי שמסיימים להגדיר את הרשאות הגישה, לוחצים על הוספת לקוח LDAP.
בשלב הבא, צריך להוריד את האישור שנוצר, לחבר את לקוח ה-LDAP לשירות ה-LDAP המאובטח, ואז להעביר את סטטוס השירות של לקוח ה-LDAP למצב מופעל.
לשלבים הבאים, ראו 3. מורידים את האישור שנוצר.