2. 配置访问权限

添加 LDAP 客户端后，您需要配置相应客户端的访问权限。访问权限页面（系统会在添加 LDAP 客户端后自动显示该页面）包含三个部分，可供您执行以下操作：

  • 指定 LDAP 客户端验证用户凭据时的访问权限级别 - 当用户尝试登录应用时，此设置会指定 LDAP 客户端可以访问哪些组织部门以验证用户的凭据。不在所选组织部门中的用户无法登录该应用。
  • 指定 LDAP 客户端的访问权限级别以读取用户信息 - 此设置指定 LDAP 客户端可以访问哪些组织部门和群组以检索其他用户信息。
  • 指定 LDAP 客户端是否可以读取群组信息 - 此设置指定 LDAP 客户端是否可以读取群组详细信息并查看用户的群组成员资格，以实现授予用户在应用中的角色等目的。

之后，您可以返回访问权限页面更改这些设置。有关详情和操作说明，请参阅以下各部分中的内容。

重要提示：部分 LDAP 客户端（如 Atlassian Jira 和 SSSD）会在用户身份验证过程中执行用户查询，以便获取更多用户信息。为确保此类 LDAP 客户端的用户身份验证能正常完成，您必须为已开启验证用户凭据的所有组织部门开启读取用户信息。

指定 LDAP 客户端验证用户凭据时的访问权限级别

如果 LDAP 客户端需要针对 Cloud Directory 对用户进行身份验证，请使用此选项。

当用户尝试登录相应应用时，验证用户凭据设置会指定 LDAP 客户端可以访问所选组织部门和群组中的哪些用户账号以验证用户的凭据。不在所选组织部门或群组中的用户或“排除群组”中的用户无法登录该应用。（您可以配置访问权限来包含或排除群组。）

默认情况下，系统会为组织部门和群组将此设置设为无访问权限。如果整个公司都使用此 LDAP 客户端，您可以将此设置更改为整个网域，以便向整个网域中的用户授予访问权限。您也可以选择特定组织部门或群组。

注意：您对此设置所做的更改最长可能需要 24 小时才能生效。

如需选择 LDAP 客户端可以访问的组织部门以验证用户凭据，请执行以下操作：

  1. 在“验证用户凭据”下方，点击所选组织部门、群组和已排除的群组。
  2. 在“包含的组织部门”下方，点击添加或修改。
  3. 在“包含的组织部门”窗口中，选择您要添加的特定组织部门。
  4. 点击保存。

要包含 LDAP 客户端可以访问的群组以验证用户凭据，请按以下步骤操作：

  1. 在“验证用户凭据”下方，点击所选组织部门、群组和已排除的群组。
  2. 在“包含的群组”下方，点击添加或修改。
  3. 在“查找并选择群组”窗口中，选择您要包含的特定群组。
  4. 点击完成。

如需在验证用户凭据时排除群组，请按以下步骤操作：

  1. 在“验证用户凭据”下方，点击所选组织部门、群组和已排除的群组。
  2. 在“已排除的群组”下方，点击添加或修改。
  3. 在“查找并选择群组”窗口中，选择您要排除的特定群组。
  4. 点击完成。

注意：如需快速查看包含的组织部门列表，或查看包含或排除的群组列表，请将鼠标悬停在上述设置上。

指定 LDAP 客户端的访问权限级别以读取用户信息

如果 LDAP 客户端需要只读访问权限以执行用户查询，请使用此选项。

读取用户信息设置会指定 LDAP 客户端可以访问哪些组织部门以检索其他用户信息。此设置默认设为“无访问权限”。您可以将此设置更改为“整个网域”，或选择“特定组织部门”。

如需选择 LDAP 客户端可以访问的组织部门以检索其他用户信息，请执行以下操作：

  1. 在“读取用户信息”下方，点击所选组织部门。

  2. 执行以下其中一项操作：

    点击添加。在“包含的组织部门”窗口中，选中特定组织部门对应的复选框。您还可以使用窗口顶部的搜索字段来搜索组织部门。

    --OR--

    点击从“验证用户凭据”面板复制。

  3. （可选）指定此客户端可以通过访问哪些属性来读取用户的信息。您可以在系统属性、公开的自定义属性和不公开的自定义属性间选择。有关详情，请参阅指定允许 LDAP 客户端访问哪些属性。

  4. 点击保存。

指定允许 LDAP 客户端访问哪些属性

属性有以下 3 种类型：

  • 系统属性 - 适用于所有用户账号的默认用户属性，例如姓名、电子邮件地址和电话号码。

    注意：您无法停用此选项。

  • 公开的自定义属性 - 标记为整个组织可见的自定义用户属性。

  • 不公开的自定义属性 - 标记为仅用户本人和管理员可见的自定义用户属性。请谨慎选择不公开的自定义属性，因为这会将不公开的信息提供给 LDAP 客户端。

自定义属性的命名要求和指南：

  • 自定义属性的名称只能包含字母数字字符和连字符。
  • 所有自定义架构的属性名称不得重复。
  • 如果自定义属性名称与现有的某个系统属性名称一致，我们将返回该系统属性值。

重要提示：如果属性名称没有遵循上述指南要求，系统会将有问题的属性值从 LDAP 响应中排除。

有关设置自定义属性的更多详情和说明，请参阅为用户个人资料创建自定义属性。

指定 LDAP 客户端是否可以读取群组信息

如果 LDAP 客户端需要只读访问权限以执行群组查询，请使用此选项。

读取群组信息设置指定 LDAP 客户端是否可以读取用户的群组成员资格信息，以实现授予用户在应用中的角色等目的。

重要提示：部分 LDAP 客户端（如 Atlassian Jira 和 SSSD）会在用户身份验证/授权过程中执行群组查询，以便获取更多关于用户的群组成员资格的信息。为确保此类 LDAP 客户端的用户身份验证正常运作，您必须开启读取群组信息。

后续步骤

完成访问权限配置后，请点击添加 LDAP 客户端。

接下来，您必须下载已生成的证书，将 LDAP 客户端连接到安全 LDAP 服务，然后为 LDAP 客户端将服务状态切换为开启。

如要了解后续步骤，请参阅 3. 下载已生成的证书。