После добавления LDAP-клиента необходимо настроить для него права доступа. Страница Права доступа, которая автоматически открывается после добавления LDAP-клиента, содержит три раздела, в которых можно выполнить следующие действия:
- Укажите уровень доступа клиента LDAP для проверки учетных данных пользователя. Когда пользователь пытается войти в приложение, этот параметр определяет, к каким организационным подразделениям клиент LDAP может получить доступ для проверки учетных данных пользователя. Пользователи, которые не входят в выбранное организационное подразделение, не смогут войти в приложение.
- Укажите уровень доступа LDAP-клиента для чтения информации о пользователях. Эта настройка определяет, к каким организационным подразделениям и группам LDAP-клиент может получить доступ для извлечения дополнительной информации о пользователях.
- Укажите, может ли LDAP-клиент читать информацию о группах. Этот параметр определяет, может ли LDAP-клиент читать информацию о группах и проверять участие пользователя в группах, например для определения его роли в приложении.
Вы можете вернуться на страницу Разрешения на доступ и изменить эти настройки. Подробности и инструкции вы найдете ниже.
Важно! Некоторые LDAP-клиенты, например Atlassian Jira и SSSD, при аутентификации пользователей осуществляют поиск дополнительной информации. Чтобы аутентификация пользователей работала корректно для таких LDAP-клиентов, необходимо включить параметр Чтение информации о пользователях для всех организационных подразделений, в которых включен параметр Проверка учетных данных пользователей.
Укажите уровень доступа LDAP-клиента для проверки учетных данных пользователей
Выберите этот вариант, если клиенту LDAP нужно выполнять аутентификацию пользователей в каталоге Cloud Directory.
Когда пользователь пытается войти в приложение, параметр Проверка учетных данных пользователя определяет, к каким аккаунтам пользователей в выбранных организационных подразделениях и группах у LDAP-клиента есть доступ для проверки учетных данных. Пользователи, которые не входят в выбранное организационное подразделение или группу, а также пользователи из категории Исключить группы, не смогут войти в приложение. Вы можете настроить разрешения на доступ, чтобы включить или исключить группы.
По умолчанию для организационных подразделений и групп задано значение Нет доступа. Если этот LDAP-клиент используется всей компанией, вы можете изменить настройку на Весь домен, чтобы разрешить доступ пользователям во всем домене, или выбрать определенные организационные подразделения или группы.
Примечание. Изменения вступят в силу в течение 24 часов.
Чтобы выбрать организационные подразделения, к которым клиент LDAP может обращаться для проверки учетных данных пользователей:
- В разделе Проверка учетных данных пользователя нажмите Выбранные организационные подразделения, группы и исключенные группы.
- В разделе Включенные организационные подразделения нажмите Добавить или Изменить.
- В окне Включенные организационные подразделения выберите нужные подразделения.
- Нажмите Сохранить.
Чтобы включить группы, к которым LDAP-клиент может обращаться для проверки учетных данных пользователя:
- В разделе Проверка учетных данных пользователя нажмите Выбранные организационные подразделения, группы и исключенные группы.
- В разделе Включенные группы нажмите Добавить или Изменить.
- В окне Поиск и выбор групп выберите нужные группы.
- Нажмите Готово.
Чтобы исключить группы из проверки учетных данных пользователей:
- В разделе Проверка учетных данных пользователя нажмите Выбранные организационные подразделения, группы и исключенные группы.
- В разделе Исключенные группы нажмите Добавить или Изменить.
- В окне Поиск и выбор групп выберите группы, которые нужно исключить.
- Нажмите Готово.
Примечание. Чтобы быстро посмотреть список включенных организационных подразделений или список включенных или исключенных групп, наведите указатель на указанные выше настройки.
Укажите уровень доступа клиента LDAP для чтения информации о пользователях
Выберите этот вариант, если клиенту LDAP требуется доступ только для чтения, чтобы выполнять поиск пользователей.
Параметр Чтение информации о пользователях определяет, к каким организационным подразделениям клиент LDAP может обращаться для получения дополнительной информации о пользователях. По умолчанию выбран вариант Нет доступа. Вы можете выбрать вариант Весь домен или Выбранные организационные подразделения.
Чтобы выбрать организационные подразделения, к которым LDAP-клиент может обращаться для получения дополнительной информации о пользователях:
- В разделе Чтение информации о пользователе нажмите Выбранные организационные подразделения.
Выполните одно из следующих действий:
Нажмите Добавить. В окне Включенные организационные подразделения установите флажки для нужных подразделений. Вы также можете воспользоваться строкой поиска в верхней части окна для поиска организационных подразделений.
ИЛИ
Нажмите Скопировать с панели "Проверка учетных данных пользователя".
При необходимости укажите, к каким атрибутам у этого клиента есть доступ для чтения информации о пользователе. Выберите системные атрибуты, общедоступные настраиваемые атрибуты или частные настраиваемые атрибуты. Подробнее о том, как указать атрибуты, которые будут доступны клиенту LDAP…
Нажмите Сохранить.
Укажите, какие атрибуты вы хотите сделать доступными для клиента LDAP.
Существует три типа атрибутов:
Системные атрибуты – атрибуты пользователей по умолчанию, доступные для всех аккаунтов пользователей, например "Имя", "Адрес электронной почты" и "Телефон".
Примечание. Этот параметр нельзя отключить.
Общедоступные настраиваемые атрибуты – настраиваемые атрибуты пользователей, которые отмечены как видимые для организации.
Частные настраиваемые атрибуты – настраиваемые атрибуты пользователей, которые видны только пользователю и администраторам. Будьте осторожны при использовании частных настраиваемых атрибутов, так как вы раскрываете конфиденциальную информацию LDAP-клиенту.
Требования и рекомендации по выбору названий настраиваемых атрибутов:
- Названия настраиваемых атрибутов могут содержать только буквы, цифры и дефисы.
- Названия атрибутов не должны повторяться в разных наборах.
- Если название настраиваемого атрибута совпадает с названием существующего системного атрибута, будет возвращаться значение последнего.
Важно! Если названия атрибутов не соответствуют приведенным выше рекомендациям, значения этих атрибутов исключаются из ответа LDAP.
Подробные сведения и инструкции по настройке настраиваемых атрибутов приведены в статье Как создать настраиваемые атрибуты для профилей пользователей.
Укажите, может ли клиент LDAP читать информацию о группах
Используйте этот вариант, если LDAP-клиенту требуется доступ только для чтения, чтобы выполнять поиск групп.
Параметр Чтение информации о группах определяет, может ли LDAP-клиент проверять членство пользователя в группах, например для авторизации роли пользователя в приложении.
Важно! Некоторые LDAP-клиенты, например Atlassian Jira и SSSD, при аутентификации или авторизации пользователей осуществляют поиск дополнительной информации о группах, в которых они состоят. Чтобы аутентификация пользователей работала корректно для таких LDAP-клиентов, необходимо включить параметр Чтение информации о группах.
Дальнейшие действия
Когда вы настроите права доступа, нажмите Добавление LDAP-клиента.
Затем вам нужно будет скачать сгенерированный сертификат, подключить LDAP-клиент к сервису Secure LDAP и изменить статус сервиса на Включено.
Дальнейшие инструкции приведены в статье 3. Скачайте сгенерированный сертификат.