2. 設定存取權限

新增 LDAP 用戶端後，您必須設定用戶端的存取權限。新增 LDAP 用戶端後，系統會自動顯示「存取權限」頁面，其中包含三個部分，可讓您執行下列操作：

  • 指定 LDAP 用戶端驗證使用者憑證的存取層級：當使用者嘗試登入應用程式時，這項設定會指定 LDAP 用戶端可以存取哪些組織單位，以驗證使用者憑證。不屬於所選組織單位的使用者無法登入應用程式。
  • 指定 LDAP 用戶端讀取使用者資訊的存取層級：這項設定可指定 LDAP 用戶端能存取哪些組織單位和群組，以擷取其他使用者資訊。
  • 指定 LDAP 用戶端是否可讀取群組資訊：這項設定可指定 LDAP 用戶端是否可讀取群組詳細資料，以及檢查使用者的群組成員資格，例如使用者在應用程式中的角色。

之後，您可以返回「Access permissions」(存取權限) 頁面變更這些設定。如需更多詳細資料與操作說明，請參閱以下各節。

重要事項：某些 LDAP 用戶端 (例如 Atlassian Jira 和 SSSD) 會在使用者驗證期間執行使用者查詢，以取得更多使用者相關資訊。為確保這類 LDAP 用戶端的使用者驗證功能正常運作，您必須為所有已啟用「驗證使用者憑證」的組織單位啟用「讀取使用者資訊」。

指定 LDAP 用戶端驗證使用者憑證的存取層級

如果 LDAP 用戶端需要向 Cloud Directory 驗證使用者，請使用這個選項。

當使用者嘗試登入應用程式時，「驗證使用者憑證」設定會指定 LDAP 用戶端可存取哪些所選組織單位和群組中的使用者帳戶，以便驗證使用者憑證。如果使用者不屬於所選組織單位或群組，或屬於「排除群組」類別，就無法登入應用程式。(您可以設定存取權限，納入或排除群組)。

根據預設，組織單位和群組的這項設定會設為「無存取權」。如果整個公司都使用這個 LDAP 用戶端，您可以將設定變更為「Entire domain」(整個網域)，允許整個網域的使用者存取，也可以選擇特定組織單位或群組。

注意：這項設定的變更最多可能需要 24 小時才會生效。

選擇 LDAP 用戶端可存取的組織單位，驗證使用者憑證：

  1. 在「Verify user credentials」(驗證使用者憑證) 下方，按一下「Selected organizational units, groups, and excluded groups」(所選組織單位、群組和排除的群組)。
  2. 在「納入的組織單位」下方，按一下「新增」或「編輯」。
  3. 在「Included organizational units」(納入的組織單位) 視窗中，選擇要納入的特定組織單位。
  4. 按一下 [儲存]。

如要加入 LDAP 用戶端可存取的群組，以驗證使用者憑證：

  1. 在「Verify user credentials」(驗證使用者憑證) 下方，按一下「Selected organizational units, groups, and excluded groups」(所選組織單位、群組和排除的群組)。
  2. 在「納入的群組」下方，按一下「新增」或「編輯」。
  3. 在「Find and select groups」(尋找並選取群組) 視窗中，選擇要納入的特定群組。
  4. 按一下 [完成]。

如要排除群組，不驗證使用者憑證：

  1. 在「Verify user credentials」(驗證使用者憑證) 下方，按一下「Selected organizational units, groups, and excluded groups」(所選組織單位、群組和排除的群組)。
  2. 在「排除的群組」下方，按一下「新增」或「編輯」。
  3. 在「尋找並選取群組」視窗中，選擇要排除的特定群組。
  4. 按一下 [完成]。

注意：如要快速查看納入的組織單位清單，或納入/排除的群組清單，請將滑鼠游標懸停在上述設定上。

指定 LDAP 用戶端讀取使用者資訊的存取層級

如果 LDAP 用戶端需要唯讀存取權才能執行使用者查詢，請使用這個選項。

「Read user information」(讀取使用者資訊) 設定會指定 LDAP 用戶端可存取哪些組織單位，以擷取其他使用者資訊。這項設定預設為「No access」(無存取權)。您可以將設定變更為「Entire domain」(整個網域)，或選擇「Selected organizational units」(所選組織單位)。

選擇 LDAP 用戶端可存取哪些組織單位，擷取其他使用者資訊：

  1. 在「讀取使用者資訊」下方，點選 [已選取的機構單位]。

  2. 執行下列其中一個步驟：

    按一下 [新增]。在「Included organizational units」(包含的組織單位) 視窗中，勾選特定組織單位的方塊。您也可以使用視窗頂端的搜尋欄位，搜尋組織單位。

    --或--

    按一下 [從「驗證使用者憑證」面板複製]。

  3. (選用) 指定這個用戶端可存取哪些屬性，以讀取使用者資訊。您可以選擇系統屬性、公開自訂屬性和私人自訂屬性。詳情請參閱「指定要提供給 LDAP 用戶端的屬性」。

  4. 按一下 [儲存]。

指定要提供給 LDAP 用戶端的屬性

屬性分為 3 種：

  • 系統屬性：所有使用者帳戶皆可使用的預設使用者屬性，例如姓名、電子郵件和電話。

    注意：您無法停用這個選項。

  • 公開自訂屬性：標示為機構內使用者皆可檢視的自訂使用者屬性。

  • 私人自訂屬性：標示為僅供使用者和管理員查看的自訂使用者屬性。使用私人自訂屬性時請務必謹慎，因為您會向 LDAP 用戶端公開私人資訊。

自訂屬性命名規定和規範：

  • 自訂屬性名稱只能包含英數字元和連字號。
  • 所有自訂結構定義的屬性名稱皆不得重複。
  • 如果自訂屬性名稱與現有系統屬性相符，系統會傳回系統屬性值。

重要事項：如果屬性名稱不符合上述規範，LDAP 回應會排除有問題的屬性值。

如要進一步瞭解如何設定自訂屬性，請參閱「為使用者個人資料建立自訂屬性」。

指定 LDAP 用戶端是否能讀取群組資訊

如果 LDAP 用戶端需要唯讀存取權才能執行群組查詢，請使用這個選項。

「讀取群組資訊」設定可指定 LDAP 用戶端是否能檢查使用者的群組成員資格，以便授權使用者在應用程式中的角色。

重要事項：某些 LDAP 用戶端 (例如 Atlassian Jira 和 SSSD) 會執行群組查詢，在使用者驗證/授權期間取得使用者群組成員資格的詳細資訊。為確保這類 LDAP 用戶端的使用者驗證功能正常運作，您必須開啟「讀取群組資訊」。

後續步驟

完成設定存取權限之後，按一下 [新增 LDAP 用戶端]。

接下來，您需要下載產生的憑證、將 LDAP 用戶端連上安全 LDAP 服務，然後將 LDAP 用戶端的服務狀態切換為「開啟」。

如需後續步驟的相關資訊，請參閱 3. 下載產生的憑證。