Po dodaniu klienta LDAP musisz skonfigurować dla niego uprawnienia dostępu. Strona Uprawnienia dostępu, która wyświetla się automatycznie po dodaniu klienta LDAP, zawiera 3 sekcje, w których możesz wykonać te czynności:
- Określ poziom dostępu klienta LDAP na potrzeby weryfikacji danych logowania użytkownika – gdy użytkownik próbuje zalogować się w aplikacji, to ustawienie określa, do których jednostek organizacyjnych klient LDAP może uzyskać dostęp, aby zweryfikować dane logowania użytkownika. Użytkownicy, którzy nie należą do wybranej jednostki organizacyjnej, nie mogą zalogować się w aplikacji.
- Określ poziom dostępu klienta LDAP do odczytu informacji o użytkownikach – to ustawienie określa, do których jednostek organizacyjnych i grup klient LDAP może uzyskać dostęp, aby pobrać dodatkowe informacje o użytkownikach.
- Określ, czy klient LDAP może odczytywać informacje o grupie – to ustawienie określa, czy klient LDAP może odczytywać szczegóły grupy i sprawdzać członkostwo użytkownika w grupie na potrzeby np. roli użytkownika w aplikacji.
Później możesz wrócić na stronę Uprawnienia dostępu, aby wprowadzić zmiany w tych ustawieniach. Więcej informacji i instrukcji znajdziesz w poniższych sekcjach.
Ważne: niektóre klienty LDAP, takie jak Atlassian Jira i SSSD, podczas uwierzytelniania użytkownika wyszukują go, aby uzyskać więcej informacji na jego temat. Aby mieć pewność, że uwierzytelnianie użytkowników działa prawidłowo w przypadku takich klientów LDAP, musisz włączyć opcję Odczytywanie informacji o użytkownikach we wszystkich jednostkach organizacyjnych, w których włączona jest opcja Weryfikowanie danych logowania użytkowników.
Określanie poziomu dostępu klienta LDAP na potrzeby weryfikacji danych logowania użytkowników
Użyj tej opcji, jeśli klient LDAP musi uwierzytelniać użytkowników w Cloud Directory.
Gdy użytkownik próbuje zalogować się w aplikacji, ustawienie Weryfikuj dane logowania użytkownika określa konta użytkowników w wybranych jednostkach organizacyjnych i grupach, do których klient LDAP może uzyskać dostęp, aby zweryfikować dane logowania użytkownika. Użytkownicy, którzy nie należą do wybranej jednostki organizacyjnej lub grupy, oraz użytkownicy z kategorii wykluczonych grup nie mogą zalogować się w aplikacji. (Możesz skonfigurować uprawnienia dostępu, aby uwzględnić lub wykluczyć grupy).
Domyślnie to ustawienie jest ustawione na Brak dostępu w przypadku jednostek organizacyjnych i grup. Jeśli ten klient LDAP jest używany przez całą firmę, możesz zmienić ustawienie na Cała domena, aby zezwolić na dostęp użytkownikom w całej domenie, lub wybrać określone jednostki organizacyjne lub grupy.
Uwaga: zastosowanie zmian wprowadzonych w tym ustawieniu może potrwać do 24 godzin.
Aby wybrać jednostki organizacyjne, do których klient LDAP może uzyskać dostęp w celu zweryfikowania danych logowania użytkownika:
- W sekcji Weryfikuj dane logowania użytkownika kliknij Wybrane jednostki organizacyjne, grupy i wykluczone grupy.
- W sekcji Uwzględnione jednostki organizacyjne kliknij Dodaj lub Edytuj.
- W oknie Uwzględnione jednostki organizacyjne wybierz konkretne jednostki organizacyjne, które chcesz uwzględnić.
- Kliknij ZAPISZ.
Aby uwzględnić grupy, do których klient LDAP może uzyskać dostęp w celu zweryfikowania danych logowania użytkownika:
- W sekcji Weryfikuj dane logowania użytkownika kliknij Wybrane jednostki organizacyjne, grupy i wykluczone grupy.
- W sekcji Uwzględnione grupy kliknij Dodaj lub Edytuj.
- W oknie Znajdź i wybierz grupy wybierz grupy, które chcesz uwzględnić.
- Kliknij GOTOWE.
Aby wykluczyć grupy z weryfikacji danych logowania użytkowników:
- W sekcji Weryfikuj dane logowania użytkownika kliknij Wybrane jednostki organizacyjne, grupy i wykluczone grupy.
- W sekcji Wykluczone grupy kliknij Dodaj lub Edytuj.
- W oknie Znajdź i wybierz grupy wybierz konkretne grupy, które chcesz wykluczyć.
- Kliknij GOTOWE.
Uwaga: aby szybko wyświetlić listę uwzględnionych jednostek organizacyjnych lub listę uwzględnionych lub wykluczonych grup, najedź kursorem na powyższe ustawienia.
Określanie poziomu dostępu klienta LDAP do odczytu informacji o użytkownikach
Użyj tej opcji, jeśli klient LDAP wymaga dostępu tylko do odczytu, aby wyszukiwać użytkowników.
Ustawienie Odczytywanie informacji o użytkownikach określa, do których jednostek organizacyjnych klient LDAP może uzyskiwać dostęp, aby pobierać dodatkowe informacje o użytkownikach. Domyślnie to ustawienie jest ustawione na Brak dostępu. Możesz zmienić ustawienie na Cała domena lub wybrać Wybrane jednostki organizacyjne.
Aby wybrać jednostki organizacyjne, do których klient LDAP może uzyskać dostęp w celu pobrania dodatkowych informacji o użytkownikach:
- W sekcji Odczytywanie informacji o użytkownikach kliknij Wybrane jednostki organizacyjne.
Wykonaj jedną z tych czynności:
Kliknij Dodaj. W oknie Uwzględnione jednostki organizacyjne zaznacz pola obok określonych jednostek organizacyjnych. Możesz też użyć pola wyszukiwania u góry okna, aby wyszukać jednostki organizacyjne.
--LUB--
Kliknij Kopiuj z panelu „Weryfikowanie danych logowania użytkowników”.
(Opcjonalnie) Określ, do których atrybutów ten klient może mieć dostęp, aby odczytywać informacje o użytkowniku. Wybierz atrybuty systemowe, publiczne atrybuty niestandardowe i prywatne atrybuty niestandardowe. Więcej informacji znajdziesz w artykule Określanie atrybutów, które mają być dostępne dla klienta LDAP.
Kliknij ZAPISZ.
Określ, które atrybuty chcesz udostępnić klientowi LDAP.
Dostępne są 3 typy atrybutów:
Atrybuty systemowe – domyślne atrybuty użytkownika dostępne dla wszystkich kont użytkowników, np. imię i nazwisko, adres e-mail i numer telefonu.
Uwaga: tej opcji nie możesz wyłączyć.
Publiczne atrybuty niestandardowe – niestandardowe atrybuty użytkownika, które są oznaczone jako widoczne dla organizacji.
Prywatne atrybuty niestandardowe – niestandardowe atrybuty użytkownika, które są oznaczone jako widoczne tylko dla użytkownika i administratorów. Zachowaj ostrożność podczas korzystania z prywatnych atrybutów niestandardowych, ponieważ ujawniasz informacje prywatne klientowi LDAP.
Wymagania i wytyczne dotyczące nazw atrybutów niestandardowych:
- Nazwy atrybutów niestandardowych mogą zawierać tylko tekst alfanumeryczny i łączniki.
- Nazwy atrybutów nie mogą się powtarzać w niestandardowych schematach.
- Jeśli nazwa atrybutu niestandardowego jest zgodna z istniejącym atrybutem systemowym, zwrócimy wartość atrybutu systemowego.
Ważne: jeśli nazwy atrybutów nie są zgodne z powyższymi wytycznymi, wartości tych atrybutów są wykluczane z odpowiedzi LDAP.
Więcej informacji i instrukcje dotyczące konfigurowania atrybutów niestandardowych znajdziesz w artykule Tworzenie niestandardowych atrybutów profili użytkowników.
Określanie, czy klient LDAP może odczytywać informacje o grupach
Użyj tej opcji, jeśli klient LDAP wymaga dostępu tylko do odczytu, aby wyszukiwać grupy.
Ustawienie Odczyt informacji o grupie określa, czy klient LDAP może sprawdzać członkostwo użytkownika w grupach na potrzeby takich działań jak autoryzacja roli użytkownika w aplikacji.
Ważne: niektóre klienty LDAP, takie jak Atlassian Jira i SSSD, podczas uwierzytelniania lub autoryzacji użytkownika wyszukują grupy, aby uzyskać więcej informacji o jego członkostwie w grupie. Aby uwierzytelnianie użytkowników działało prawidłowo w przypadku takich klientów LDAP, musisz włączyć opcję Odczytywanie informacji o grupach.
Dalsze kroki
Po ukończeniu konfigurowania uprawnień dostępu kliknij DODAJ KLIENTA LDAP.
Następnie musisz pobrać wygenerowany certyfikat, połączyć klienta LDAP z usługą Bezpieczny LDAP, a następnie zmienić stan usługi na Włączona dla klienta LDAP.
Dalsze kroki znajdziesz w artykule 3. Pobierz wygenerowany certyfikat.