หลังจากเพิ่มไคลเอ็นต์ LDAP แล้ว คุณจะต้องกำหนดค่าสิทธิ์การเข้าถึงสำหรับไคลเอ็นต์ หน้าสิทธิ์การเข้าถึงซึ่งจะแสดงโดยอัตโนมัติหลังจากเพิ่มไคลเอ็นต์ LDAP จะมี 3 ส่วนที่คุณสามารถดำเนินการต่อไปนี้ได้
- ระบุระดับการเข้าถึงของไคลเอ็นต์ LDAP สำหรับการยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้ - เมื่อผู้ใช้พยายามลงชื่อเข้าใช้แอปพลิเคชัน การตั้งค่านี้จะระบุหน่วยขององค์กรที่ไคลเอ็นต์ LDAP สามารถเข้าถึงเพื่อยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้ได้ ผู้ใช้ที่ไม่ได้อยู่ในหน่วยขององค์กรที่เลือกจะไม่สามารถลงชื่อเข้าใช้แอปพลิเคชันได้
- ระบุระดับการเข้าถึงของไคลเอ็นต์ LDAP สำหรับการอ่านข้อมูลผู้ใช้ - การตั้งค่านี้จะระบุหน่วยขององค์กรและกลุ่มที่ไคลเอ็นต์ LDAP สามารถเข้าถึงเพื่อดึงข้อมูลผู้ใช้เพิ่มเติมได้
- ระบุว่าไคลเอ็นต์ LDAP สามารถอ่านข้อมูลกลุ่มได้หรือไม่ - การตั้งค่านี้จะระบุว่าไคลเอ็นต์ LDAP สามารถอ่านรายละเอียดกลุ่มและตรวจสอบการเป็นสมาชิกกลุ่มของผู้ใช้ได้หรือไม่ เพื่อวัตถุประสงค์ต่างๆ เช่น บทบาทของผู้ใช้ในแอปพลิเคชัน
ในภายหลัง คุณสามารถกลับไปที่หน้าสิทธิ์การเข้าถึงเพื่อเปลี่ยนแปลงการตั้งค่าเหล่านี้ได้ โปรดดูวิธีการและรายละเอียดเพิ่มเติมในหัวข้อด้านล่าง
สำคัญ: ไคลเอ็นต์ LDAP บางรายการ เช่น Atlassian Jira และ SSSD จะทำการค้นหาผู้ใช้เพื่อรับข้อมูลเพิ่มเติมเกี่ยวกับผู้ใช้ในระหว่างการตรวจสอบสิทธิ์ผู้ใช้ เพื่อให้แน่ใจว่าการตรวจสอบสิทธิ์ผู้ใช้ทำงานได้อย่างถูกต้องสำหรับไคลเอ็นต์ LDAP ดังกล่าว คุณจะต้องเปิดอ่านข้อมูลผู้ใช้สำหรับหน่วยขององค์กรทั้งหมดที่เปิดยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้ไว้
ระบุระดับการเข้าถึงของไคลเอ็นต์ LDAP เพื่อยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้
ใช้ตัวเลือกนี้หากไคลเอ็นต์ LDAP จำเป็นต้องตรวจสอบสิทธิ์ผู้ใช้กับ Cloud Directory
เมื่อผู้ใช้พยายามลงชื่อเข้าใช้แอปพลิเคชัน การตั้งค่ายืนยันข้อมูลเข้าสู่ระบบของผู้ใช้จะระบุบัญชีผู้ใช้ภายในหน่วยขององค์กรและกลุ่มที่เลือกซึ่งไคลเอ็นต์ LDAP สามารถเข้าถึงเพื่อยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้ได้ ผู้ใช้ที่ไม่ได้อยู่ในหน่วยขององค์กรหรือกลุ่มที่เลือก หรือผู้ใช้ในหมวดหมู่กลุ่มที่ยกเว้นจะลงชื่อเข้าใช้แอปพลิเคชันไม่ได้ (คุณสามารถกำหนดค่าสิทธิ์การเข้าถึงเพื่อรวมหรือยกเว้นกลุ่มได้)
โดยค่าเริ่มต้น ระบบจะตั้งค่านี้เป็นไม่มีสิทธิ์เข้าถึงสำหรับหน่วยขององค์กรและกลุ่ม หากทั้งบริษัทใช้ไคลเอ็นต์ LDAP นี้ คุณสามารถเปลี่ยนการตั้งค่าเป็นทั้งโดเมนเพื่ออนุญาตให้ผู้ใช้ทั่วทั้งโดเมนเข้าถึงได้ หรือจะเลือกหน่วยขององค์กรหรือกลุ่มที่ต้องการก็ได้
หมายเหตุ: การเปลี่ยนแปลงการตั้งค่านี้อาจใช้เวลาถึง 24 ชั่วโมงจึงจะมีผล
วิธีเลือกหน่วยขององค์กรที่ไคลเอ็นต์ LDAP สามารถเข้าถึงเพื่อยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้
- ในส่วนยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้ ให้คลิกหน่วยขององค์กร กลุ่ม และกลุ่มที่ยกเว้นที่เลือก
- ในส่วนหน่วยขององค์กรที่รวมอยู่ ให้คลิกเพิ่มหรือแก้ไข
- ในหน้าต่างหน่วยขององค์กรที่รวมอยู่ ให้เลือกหน่วยขององค์กรที่ต้องการรวม
- คลิกบันทึก
วิธีรวมกลุ่มที่ไคลเอ็นต์ LDAP สามารถเข้าถึงเพื่อยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้
- ในส่วนยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้ ให้คลิกหน่วยขององค์กร กลุ่ม และกลุ่มที่ยกเว้นที่เลือก
- ในส่วนกลุ่มที่รวม ให้คลิกเพิ่มหรือแก้ไข
- ในหน้าต่างค้นหาและเลือกกลุ่ม ให้เลือกกลุ่มที่ต้องการรวม
- คลิกเสร็จสิ้น
วิธียกเว้นกลุ่มจากการยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้
- ในส่วนยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้ ให้คลิกหน่วยขององค์กร กลุ่ม และกลุ่มที่ยกเว้นที่เลือก
- ในส่วนกลุ่มที่ยกเว้น ให้คลิกเพิ่มหรือแก้ไข
- ในหน้าต่างค้นหาและเลือกกลุ่ม ให้เลือกกลุ่มที่ต้องการยกเว้น
- คลิกเสร็จสิ้น
หมายเหตุ: หากต้องการดูรายชื่อหน่วยขององค์กรที่รวมอยู่หรือดูรายชื่อกลุ่มที่รวมหรือยกเว้นอย่างรวดเร็ว ให้วางเมาส์เหนือการตั้งค่าด้านบน
ระบุระดับการเข้าถึงของไคลเอ็นต์ LDAP สำหรับการอ่านข้อมูลผู้ใช้
ใช้ตัวเลือกนี้หากไคลเอ็นต์ LDAP ต้องการสิทธิ์การเข้าถึงระดับอ่านอย่างเดียวเพื่อค้นหาผู้ใช้
การตั้งค่าอ่านข้อมูลผู้ใช้จะระบุหน่วยขององค์กรที่ไคลเอ็นต์ LDAP สามารถเข้าถึงเพื่อดึงข้อมูลผู้ใช้เพิ่มเติมได้ โดยค่าเริ่มต้น การตั้งค่านี้จะตั้งค่าเป็นไม่มีสิทธิ์เข้าถึง คุณสามารถเปลี่ยนการตั้งค่าเป็นทั้งโดเมน หรือเลือกหน่วยขององค์กรที่เลือกก็ได้
วิธีเลือกหน่วยขององค์กรที่ไคลเอ็นต์ LDAP สามารถเข้าถึงเพื่อดึงข้อมูลผู้ใช้เพิ่มเติม
- คลิกหน่วยขององค์กรที่เลือกในส่วนอ่านข้อมูลผู้ใช้
ดำเนินการอย่างใดอย่างหนึ่งต่อไปนี้
คลิกเพิ่ม ในหน้าต่างหน่วยขององค์กรที่รวมอยู่ ให้เลือกช่องสำหรับหน่วยขององค์กรที่ต้องการ นอกจากนี้ คุณยังใช้ช่องค้นหาที่ด้านบนของหน้าต่างเพื่อค้นหาหน่วยขององค์กรได้ด้วย
หรือ
คลิกคัดลอกจาก "ยืนยันข้อมูลเข้าสู่ระบบของผู้ใช้"
(ไม่บังคับ) ระบุแอตทริบิวต์ที่ไคลเอ็นต์นี้สามารถเข้าถึงเพื่ออ่านข้อมูลของผู้ใช้ เลือกจากแอตทริบิวต์ของระบบ แอตทริบิวต์ที่กำหนดเองแบบสาธารณะ และแอตทริบิวต์ที่กำหนดเองแบบส่วนตัว โปรดดูรายละเอียดเพิ่มเติมที่หัวข้อระบุแอตทริบิวต์ที่ต้องการให้พร้อมใช้งานสำหรับไคลเอ็นต์ LDAP
คลิกบันทึก
ระบุแอตทริบิวต์ที่ต้องการให้ไคลเอ็นต์ LDAP ใช้ได้
แอตทริบิวต์มี 3 ประเภทคือ
แอตทริบิวต์ของระบบ - แอตทริบิวต์ผู้ใช้เริ่มต้นที่ใช้ได้กับบัญชีผู้ใช้ทั้งหมด เช่น ชื่อ อีเมล และโทรศัพท์
หมายเหตุ: โปรดทราบว่าคุณไม่สามารถปิดตัวเลือกนี้ได้
แอตทริบิวต์ที่กำหนดเองแบบสาธารณะ - แอตทริบิวต์ผู้ใช้ที่กำหนดเองซึ่งทำเครื่องหมายว่าแสดงต่อองค์กร
แอตทริบิวต์ที่กำหนดเองแบบส่วนตัว - แอตทริบิวต์ผู้ใช้ที่กำหนดเองซึ่งทำเครื่องหมายว่าแสดงต่อผู้ใช้และผู้ดูแลระบบเท่านั้น โปรดใช้ความระมัดระวังเมื่อใช้แอตทริบิวต์ที่กำหนดเองแบบส่วนตัว เนื่องจากคุณกำลังเปิดเผยข้อมูลส่วนตัวต่อไคลเอ็นต์ LDAP
ข้อกำหนดและหลักเกณฑ์ในการตั้งชื่อแอตทริบิวต์ที่กำหนดเองมีดังนี้
- ชื่อของแอตทริบิวต์ที่กำหนดเองต้องมีเฉพาะข้อความที่เป็นตัวอักษรและตัวเลขคละกัน รวมถึงขีดกลางเท่านั้น
- ชื่อแอตทริบิวต์ต้องไม่ซ้ำกันในสคีมาที่กำหนดเองทั้งหมด
- หากชื่อแอตทริบิวต์ที่กำหนดเองตรงกับแอตทริบิวต์ของระบบที่มีอยู่ เราจะแสดงผลค่าแอตทริบิวต์ของระบบ
สำคัญ: หากชื่อแอตทริบิวต์ไม่เป็นไปตามหลักเกณฑ์ข้างต้น ระบบจะไม่รวมค่าแอตทริบิวต์ที่เป็นปัญหาไว้ในการตอบกลับ LDAP
ดูรายละเอียดและวิธีการเพิ่มเติมเกี่ยวกับการตั้งค่าแอตทริบิวต์ที่กำหนดเองได้ที่หัวข้อสร้างแอตทริบิวต์ที่กำหนดเองสำหรับโปรไฟล์ผู้ใช้
ระบุว่าไคลเอ็นต์ LDAP สามารถอ่านข้อมูลกลุ่มได้หรือไม่
ใช้ตัวเลือกนี้หากไคลเอ็นต์ LDAP ต้องการสิทธิ์การเข้าถึงระดับอ่านอย่างเดียวเพื่อค้นหากลุ่ม
การตั้งค่าอ่านข้อมูลกลุ่มจะระบุว่าไคลเอ็นต์ LDAP สามารถตรวจสอบการเป็นสมาชิกกลุ่มของผู้ใช้เพื่อวัตถุประสงค์ต่างๆ เช่น การให้สิทธิ์บทบาทของผู้ใช้ในแอปพลิเคชันได้หรือไม่
สำคัญ: ไคลเอ็นต์ LDAP บางรายการ เช่น Atlassian Jira และ SSSD จะทำการค้นหากลุ่มเพื่อดูข้อมูลเพิ่มเติมเกี่ยวกับการเป็นสมาชิกกลุ่มของผู้ใช้ในระหว่างการตรวจสอบสิทธิ์/การให้สิทธิ์ผู้ใช้ คุณจะต้องเปิดอ่านข้อมูลกลุ่มเพื่อให้แน่ใจว่าการตรวจสอบสิทธิ์ผู้ใช้ทำงานได้อย่างถูกต้องสำหรับไคลเอ็นต์ LDAP ดังกล่าว
ขั้นตอนถัดไป
หลังจากที่กำหนดสิทธิ์การเข้าถึงแล้ว ให้คลิกเพิ่มไคลเอ็นต์ LDAP
ขั้นตอนต่อไป คุณจะต้องดาวน์โหลดใบรับรองที่สร้างขึ้น เชื่อมต่อไคลเอ็นต์ LDAP กับบริการ LDAP ที่ปลอดภัย จากนั้นเปลี่ยนสถานะบริการสำหรับไคลเอ็นต์ LDAP ให้เป็นเปิด
ดูขั้นตอนถัดไปที่ 3. ดาวน์โหลดใบรับรองที่สร้างขึ้น