5. Anslut LDAP-klienter till tjänsten Säker LDAP

Gör så här:

1. Följ steg 1–11 i ldp.exe (Windows) för att installera klientcertifikaten.
2. Öppna Åtgärd > Anslut till ...
3. Ange följande anslutningsinställningar:
   
   Namn: Ange ett namn på anslutningen, till exempel Google LDAP.
   Anslutningspunkt: Välj eller ange ett unikt namn eller en namngivningskontext
   Ange domännamnet i DN-format (till exempel dc=example,dc=com för example.com).
   
   Dator: Välj eller skriv en domän eller server
   ldap.google.com
   
   Använd SSL-baserad kryptering: Markerad
   
4. Klicka på Advanced... och ange följande uppgifter:
   
   Specify credentials: Markerad
   Username: Användarnamnet för åtkomstuppgifterna från administratörskonsolen
   Password: Lösenordet för åtkomstuppgifterna från administratörskonsolen
   Port Number: 636
   Protocol: LDAP
   Simple bind authentication: Markerad
   
5. Klicka på OK och sedan på OK igen.
6. Om anslutningen lyckas visas Active Directory-innehållet i bas-DN i den högra rutan.

Om du vill använda Apache Directory Studio ansluter du via stunnel och använder en åtkomstuppgift (användarnamn och lösenord) som har genererats i Googles administratörskonsol. Om användaruppgifterna finns och stunnel lyssnar på localhost-port 1389 följer du de här stegen:

1. Klicka på Arkiv > Ny ...
2. Välj LDAP-webbläsare > LDAP-anslutning.
3. Klicka på Nästa.
4. Ange anslutningsparametrarna:
   
   Anslutningsnamn: Välj ett namn, till exempel Google LDAP
   Värdnamn: localhost
   Port: 1389 (eller stunnel-lyssnings-/acceptporten)
   Krypteringsmetod: Ingen kryptering (Obs! Om stunnel körs på distans rekommenderas kryptering mellan stunnel och klienten.)
   
5. Klicka på Nästa.
6. Ange autentiseringsparametrarna:
   
   Autentiseringsmetod: Enkel autentisering
   Bind DN eller användare: Användarnamnet för åtkomstuppgifterna från administratörskonsolen
   Bind lösenord: Lösenordet för åtkomstuppgifterna från administratörskonsolen
   
7. Klicka på Nästa.
8. Ange bas-DN.
   Det här är ditt domännamn i DN-format (dc=example,dc=com för example.com).
9. Klicka på Slutför.

Atlassian Jira utför en användarsökning för att få mer information om en användare under användarautentisering. Se till att användarautentisering fungerar korrekt för den här LDAP-klienten genom att aktivera Läs användarinformation och Läs gruppinformation för alla organisationsenheter där Verifiera användaruppgifter är aktiverat. (Anvisningar finns i Konfigurera åtkomstbehörigheter.)

Viktigt! Genom att följa anvisningarna nedan kan keystorePassword potentiellt exponeras för användare och loggfiler. Vidta försiktighetsåtgärder för att undvika obehörig åtkomst till det lokala skalet, loggfilen och Googles administratörskonsol. Som ett alternativ till följande anvisningar kan du använda stunnel4-metoden (se Valfritt: Använd stunnel som proxy).

Obs! Följande anvisningar förutsätter att Jira är installerat på /opt/atlassian/jira.

Så här ansluter du en Atlassian Jira-klient till tjänsten Säker LDAP:

1. Kopiera certifikatet och nyckeln till Jira-servern (-servrarna). (Det här är certifikatet som genereras i Googles administratörskonsol när LDAP-klienten läggs till i tjänsten Säker LDAP.)
   
   Exempel:
   $ scp ldap-client.key user@jira-server:
   
2. Konvertera certifikatet och nycklarna till Javas nyckelarkivformat (Keystore). Du uppmanas att ange lösenord under hela den här processen. För enkelhetens skull väljer du ett säkert lösenord och använder samma i alla uppmaningar.
   
   $ openssl pkcs12 -export -out jira-ldap.pkcs12 -in ldap-client.crt -inkey ldap-client.key

$ sudo /opt/atlassian/jira/jre/bin/keytool -v -importkeystore -srckeystore jira-ldap.pkcs12 -srcstoretype PKCS12 -destkeystore /opt/atlassian/jira/jira-ldap.jks -deststoretype JKS
   
3. Konfigurera Jira för användning av det nyskapade nyckelarkivet. Följ anvisningarna här för att lägga till alternativ:
   
   "-Djavax.net.ssl.keyStore=/opt/atlassian/jira/jira-ldap.jks -Djavax.net.ssl.keyStorePassword=password"
   
   På Linux:
   1. Redigera /opt/atlassian/jira/bin/setenv.sh.
   2. Leta upp inställningen JVM_SUPPORT_RECOMMENDED_ARGS.
   3. Lägg till -Djavax.net.ssl.keyStore=/opt/atlassian/jira/jira-ldap.jks -Djavax.net.ssl.keyStorePassword=password och ersätt password med lösenordet du valde ovan.
4. Starta om Jira.
   
   $ /opt/atlassian/jira/bin/stop-jira.sh
$ /opt/atlassian/jira/bin/start-jira.sh
   
5. Logga in på Jiras webbgränssnitt som administratör.
   1. Öppna Inställningar > Användarhantering. (Inställningar hittar du via kugghjulssymbolen längst upp till höger.)
   2. Klicka på Användarkataloger.
   3. Klicka på Lägg till katalog.
   4. Välj LDAP som typ.
   5. Klicka på Nästa.
6. Skriv följande:

   Namn	Google Säker LDAP
   Katalogtyp	OpenLDAP
   Värdnamn	ldap.google.com
   Port	636
   Använd SSL	Markerad
   Användarnamn	Skapa ett användarnamn och ett lösenord i Googles administratörskonsol. Anvisningar finns i Skapa åtkomstuppgifter.
   Lösenord	Skapa ett användarnamn och ett lösenord i Googles administratörskonsol. Anvisningar finns i Skapa åtkomstuppgifter.
   Bas-DN	Ditt domännamn i DN-format. (till exempel dc=exempel, dc=com för exempel.com)
   Ytterligare användar-DN	Valfritt. "ou=Users"
   Ytterligare grupp-DN	Valfritt. "ou=Groups"
   LDAP-behörigheter	Skrivskyddat
   Avancerade inställningar	Ej ändrat
   Inställningar för användarschema > Attribut för användarnamn	googleUid
   Inställningar för användarschema > RDN-attribut för användarnamn	uid
   Inställningar för gruppschema > Gruppobjektklass	groupOfNames
   Inställningar för gruppschema > Filter för gruppobjekt	(objectClass=groupOfNames)
   Inställningar för medlemsschema > Attribut för gruppmedlemmar	medlem
   Inställningar för medlemsschema > Använd attributet för användarmedlemskap	Markerad

7. Bevilja en roll till en grupp.
   
   Innan Atlassian Jira kan tillåta en användare att logga in måste användaren vara medlem i en grupp som har beviljats åtkomst till Jira.
   
   Så här beviljar du en roll till en grupp:
   1. Öppna Inställningar > Program > Programåtkomst.
   2. I textrutan Välj grupp anger du namnet på den Google-grupp som du vill ge åtkomst till Jira.

Anvisningar om hur du ansluter CloudBees Core till Secure LDAP-tjänsten finns i Konfigurera CloudBees Core med Googles Cloud Identity Secure LDAP.

Gör så här:

1. Installera och konfigurera FreeRADIUS på /etc/freeradius/3.0/.
   
   När FreeRADIUS är installerat kan du lägga till LDAP-konfigurationen genom att installera pluginprogrammet för freeradius-ldap.
   
   $ sudo apt-get install freeradius freeradius-ldap
   
2. Kopiera LDAP-klientnyckeln och certifikatfilerna till /etc/freeradius/3.0/certs/ldap-client.key respektive /etc/freeradius/3.0/certs/ldap-client.crt.
   
   $ chown freeradius:freeradius
/etc/freeradius/3.0/certs/ldap-client.*
$ chmod 640 /etc/freeradius/3.0/certs/ldap-client.*
   
3. Aktivera LDAP-modulen.
   
   $ cd /etc/freeradius/3.0/mods-enabled/
$ ln -s ../mods-available/ldap ldap
   
4. Redigera /etc/freeradius/3.0/mods-available/ldap.
   1. ldap->server = 'ldaps://ldap.google.com:636'
   2. identitet = användarnamn från programuppgifterna
   3. lösenord = lösenord från programuppgifterna
   4. base_dn = 'dc=domain,dc=com'
   5. tls->start_tls = no
   6. tls->certificate_file = /etc/freeradius/3.0/certs/ldap-client.cer
   7. tls->private_key_file = /etc/freeradius/3.0/certs/ldap-client.key
   8. tls->require_cert = 'allow'
   9. Kommentera ut alla fält i brödsmulan som representerar avsnittet ldap -> post-auth -> update.
5. Redigera /etc/freeradius/3.0/sites-available/default.
   Detta ändrar FreeRadius-klientanslutningen. Om du inte använder standardklienten ska du uppdatera den relevanta klienten (inner-tunnel eller en anpassad klient) som du har konfigurerat.
   
   1. Ändra avsnittet authorize för att lägga till följande block längst ned efter PAP-utdraget (Password Authentication Protocol):
      
      if (User-Password) {
update control {
Auth-Type := ldap
}
}
      
   2. Aktivera LDAP i avsnittet authorize genom att ta bort minustecknet (-) före det.
      
      #
      # The ldap module reads passwords from the LDAP database.
      ldap
      
   3. Ändra avsnittet authenticate genom att redigera blocket Auth-Type LDAP enligt följande:
      
      # Auth-Type LDAP {
ldap
# }
      
   4. Ändra avsnittet authenticate genom att redigera blocket Auth-Type PAP på följande sätt:
      
      Auth-Type PAP {
# pap
ldap
}

Information om hur du ansluter GitLab till Secure LDAP-tjänsten finns i Konfigurera Google Secure LDAP för GitLab.

Information om hur du ansluter Itopia till Secure LDAP-tjänsten finns i Konfigurera LDAP för Google Cloud Identity på Ubuntu 16.04 för användarinloggningar.

Gör så här:

1. Öppna OpenLDAPAuthenticationConfiguration.xml eller OpenLDAPSSLAuthenticationConfiguration.xml i en textredigerare i båda följande mappar på Ivanti-webbservern:
   
   C:\ProgramData\LANDesk\ServiceDesk\servicedesk.Framework och C:\ProgramData\LANDesk\ServiceDesk\servicedesk.WebAccess (där servicedesk är instansnamnet)
2. Uppdatera värdet <Server> till ldap.google.com.
3. Uppdatera värdet <Port> till port 3268 för klartext med StartTLS aktiverat och till 3269 för SSL/TLS-port (standardvärdena är 389 för klartextporten eller 636 för SSL/TLS-porten).
4. Ange värdet <TestDN> för domännamnet i DN-format. (till exempel dc=example,dc=com för example.com).
5. Lägg till raden
   
   <add key="AuthenticationProvider" value="Touchpaper.Integrations.OpenLDAPLogon.OpenLDAPAuthenticationProvider" />
   
   eller raden
   
   <add key="AuthenticationProvider" value="Touchpaper.Integrations.OpenLDAPSSLLogon.OpenLDAPSSLAuthenticationProvider" />
   i både ..ProgramData\LANDesk\ServiceDesk\ServiceDesk.Framework\tps.config och ..ProgramData\LANDesk\ServiceDesk\WebAccess\tps.config.
6. I konfigurationscentret för Ivanti öppnar du önskad instans.
7. Intill Service Desk Framework-appen klickar du på Redigera.
   Dialogrutan Redigera app för Service Desk Framework visas.
8. I gruppen Konfigurationsparametrar väljer du Endast explicit i listan Logga in och klickar sedan på OK.
9. Klicka på Redigera bredvid Web Access-appen.
   Dialogrutan Redigera app för Web Access visas.
10. Välj Explicit only i listan Logon policy i gruppen Configuration parameters och klicka sedan på OK.

När du loggar in använder du den anslutna domänanvändarens nätverkslösenord.

Undantagsloggning för LDAP-serverautentisering

Om du har problem med att konfigurera autentisering av LDAP-servern kan du aktivera undantagsloggning för att identifiera problemet. Som standard är detta inaktiverat och vi rekommenderar att du inaktiverar undantagsloggen igen när du har avslutat dina undersökningar.

Så här aktiverar du undantagsloggning för LDAP-serverautentisering:

1. Öppna lämplig XML-fil för autentiseringskonfiguration i en textredigerare:
   
   DirectoryServiceAuthenticationConfiguration.xml, OpenLDAPAuthenticationConfiguration.xml eller OpenLDAPSSLAuthenticationConfiguration.xml
2. Ändra raden
   
   <ShowExceptions>false</ShowExceptions>
   till
   <ShowExceptions>true</ShowExceptions>
   
3. Spara ändringarna.

Gör så här:

1. Konvertera certifikat- och nyckelfilerna till en PKCS12-formaterad fil. Ange följande i en kommandotolk:
   
   Om du använder macOS eller Linux använder du följande kommandon:
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Ange ett lösenord för att kryptera utdatafilen.
   

   Om du har Windows använder du följande kommandon:

   $ certutil -mergepfx ldap-client.crt ldap-client.p12
   
   Viktigt! De två filerna (<CERT_FILE>.crt och <CERT_FILE>.key) måste finnas i samma katalog. Se även till att både key och crt har samma namn (med ett annat tillägg). I det här exemplet använder vi namnen ldap-client.crt och ldap-client.key.

2. Öppna Kontrollpanelen.
3. Sök efter ”certifikat” i sökrutan och klicka på Hantera användarcertifikat.
4. Öppna Åtgärd > Alla uppgifter > Importera …
5. Välj Nuvarande användare och klicka på Nästa.
6. Klicka på Bläddra ...
7. På rullgardinsmenyn Filtyp i det nedre högra hörnet av dialogrutan väljer du Personal Information Exchange (*.pfx;* .p12).
8. Välj filen ldap-client.p12 från steg 2, klicka på Öppna och sedan på Nästa.
9. Ange lösenordet från steg 2 ovan och klicka på Nästa.
10. Välj certifikatlagret Personligt, klicka på Nästa och sedan på Slutför.
11. Kör Ldp.exe.
12. Öppna Anslutning > Anslut …
13. Ange följande anslutningsuppgifter:
    
    Server: ldap.google.com
    Port: 636
    Anslutningslös: Avmarkerad
    SSL: Markerad
    
14. Klicka på OK.
15. Öppna Visa > Träd.
16. Ange bas-DN. Detta är ditt domännamn i DN-format. (till exempel dc=exempel, dc=com för exempel.com).
17. Klicka på OK.
18. Om anslutningen lyckas visar LDP.exe Active Directory-innehållet, till exempel alla attribut som finns i bas-DN, i den högra rutan.

Information om hur du ansluter Netgate/pfSense till Secure LDAP-tjänsten finns i Konfigurera Google Cloud Identity som autentiseringskälla.

Du kan få åtkomst till LDAP-katalogen från kommandoraden genom att använda kommandot OpenLDAP ldapsearch.

Om vi antar att klientcertifikatet och nyckelfilerna är ldap-client.crt och ldap-client.key, domänen är example.com och användarnamnet är jsmith:

$ LDAPTLS_CERT=ldap-client.crt LDAPTLS_KEY=ldap-client.key ldapsearch -H ldaps://ldap.google.com -b dc=example,dc=com '(uid=jsmith)'

Detta ställer in relevanta miljövariabler så att de pekar på klientnycklarna. Du kan ersätta de andra ldapsearch-alternativen med dina önskade filter, attribut och så vidare. Mer information finns på ldapsearch-manualsidorna (”man ldapsearch”).

Gör så här:

1. Konvertera certifikat- och nyckelfilerna till en PKCS12-formaterad fil. Ange följande i en kommandotolk:
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Ange ditt lösenord för att kryptera utdatafilen.
   
2. Klicka på uppe till höger i menyraden och skriv Nyckelhanterare.
3. Öppna appen Nyckelhanterare och klicka på System i listan till vänster.
4. Klicka på alternativet Arkiv på menyn uppe till vänster och välj Importera objekt.
5. Bläddra till platsen med den genererade ldap-client.p12, välj ldap-client.p12 och klicka på Öppna.
   Ange ditt lösenord om det behövs.
   Ett certifikat med namnet LDAP-klient ska nu visas på listan över systemnyckelringscertifikat.
6. Klicka på pilen bredvid LDAP-klientcertifikatet. En privat nyckel visas nedanför.
   1. Dubbelklicka på den privata nyckeln.
   2. Välj fliken Åtkomstkontroll i dialogrutan och klicka på + nere till vänster.

   3. I fönstret som öppnas skriver du Kommando+Skift+G för att öppna ett nytt fönster och ersätter sedan den befintliga texten med /usr/bin/ldapsearch.

   4. Klicka på OK.
      
      Detta öppnar ett fönster med ldapsearch markerat.

   5. Klicka på Lägg till.

   6. Klicka på Spara ändringar och ange ditt lösenord om du uppmanas att göra det.
      
      Du är nu redo att få åtkomst till LDAP-katalogen från kommandoraden med kommandot OpenLDAP ldapsearch.

7. Om filen ldap-client.p12 som du importerade till nyckelringen tidigare har namnet LDAP Client, domänen är example.com och användarnamnet är jsmith anger du följande:
   
   $ LDAPTLS_IDENTITY="LDAP Client" ldapsearch -H ldaps://ldap.google.com:636 -b dc=example,dc=com '(uid=jsmith)'

Detta konfigurerar relevanta miljövariabler så att de pekar på det importerade klientcertifikatet. Du kan ersätta de andra ldapsearch-alternativen med dina önskade filter, attribut och så vidare. Mer information finns på sidorna för ldapsearch man (man ldapsearch).

Gör så här:

1. Installera och konfigurera OpenVPN vid behov. Om du redan har gjort det öppnar du inställningssidan i OpenVPN.
   
   Generell VPN-konfiguration ingår inte i denna hjälpartikel. När en VPN har konfigurerats kan du lägga till användarautentisering och auktorisering via LDAP. Du måste i synnerhet installera plugin-programmet openvpn-auth-ldap.
   
   $ sudo apt-get install openvpn openvpn-auth-ldap
   
2. Kopiera LDAP-klientnyckeln och certifikatfilerna till /etc/openvpn/ldap-client.key och /etc/openvpn/ldap-client.crt.
3. Skapa en fil, /etc/openvpn/auth-ldap.conf, som innehåller följande (förutsatt att example.com är domännamnet):
   
   <LDAP>
URL ldaps://ldap.google.com:636 #
Timeout 15
TLSEnable false
TLSCACertDir /etc/ssl/certs
TLSCertFile /etc/openvpn/ldap-client.crt
TLSKeyFile /etc/openvpn/ldap-client.key
</LDAP>
<Authorization>
BaseDN "dc=example,dc=com"
SearchFilter "(uid=%u)" # (or choose your own LDAP filter for users)
RequireGroup false
</Authorization>
   
4. Redigera OpenVPN-konfigurationsfilen som ofta heter /etc/openvpn/server.conf eller liknande. Lägg till följande längst ned i filen:
   
   plugin /usr/lib/openvpn/openvpn-auth-ldap.so /etc/openvpn/auth-ldap.conf
verify-client-cert optional
   
5. Starta om OpenVPN-servern.
   
   $ sudo systemctl restart openvpn@server
   
6. Konfigurera VPN-klienterna så att de använder användarnas användarnamn och lösenord. I en OpenVPN-klientkonfiguration lägger du till exempel till auth-user-pass i slutet av OpenVPN-klientkonfigurationsfilen och startar OpenVPN-klienten:
   
   $ openvpn --config /path/to/client.conf
   
7. Följ anvisningarna för att använda stunnel som proxy.

Information om hur du ansluter OpenVPN Access Server till Secure LDAP-tjänsten finns i Konfigurera Google Secure LDAP med OpenVPN Access Server.

Anvisningar om hur du ansluter PaperCut till Secure LDAP-tjänsten finns i Så här synkroniserar och autentiserar du Google Workspace- och Google Cloud Identity-användare i PaperCut.

Information om hur du ansluter Puppet Enterprise till Secure LDAP-tjänsten finns i Google Cloud Directory for PE.

Viktigt! Innan du börjar ska du kontrollera att du har installerat Softerra LDAP Browser med versionsnummer 4.5 (4.5.19808.0) eller senare. Se LDAP Browser 4.5.

Gör så här:

1. Konvertera certifikat- och nyckelfilerna till en PKCS12-formaterad fil. Ange följande i en kommandotolk:
   
   Om du använder macOS eller Linux använder du följande kommandon:
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Ange ett lösenord för att kryptera utdatafilen.
   

   Om du har Windows använder du följande kommandon:

   $ certutil -mergepfx ldap-client.crt ldap-client.p12
   
   Viktigt! De två filerna (<CERT_FILE>.crt och <CERT_FILE>.key) måste finnas i samma katalog. Se även till att både key och crt har samma namn (med ett annat tillägg). I det här exemplet använder vi namnen ldap-client.crt och ldap-client.key.

2. Installera nyckelparet i Softerra LDAP Browser.
   1. Öppna Verktyg > Certifikathanteraren.
   2. Klicka på Importera ...
   3. Klicka på Nästa.
   4. Klicka på Bläddra ...
   5. I rullgardinsmenyn Filtyp i det nedre högra hörnet av dialogrutan väljer du Utbyte av personuppgifter (*.pfx;*.p12).
   6. Välj filen ldap-client.p12 från steg 2 ovan.
   7. Klicka på Öppna och klicka sedan på Nästa.
   8. Ange lösenordet från steg 2 ovan och klicka på Nästa.
   9. Välj certifikatlagret Personligt.
   10. Klicka på Nästa.
   11. Klicka på Slutför.
3. Lägg till en serverprofil.
   1. Gå till Arkiv > Ny > Ny profil …
   2. Ange ett namn för profilen, till exempel Google LDAP.
   3. Klicka på Nästa.
      
      Ange följande:
      
      Värd: ldap.google.com
      Port: 636
      Bas-DN: Ditt domännamn i DN-format. (t.ex. dc=example,dc=com för example.com)
      Använd säker anslutning (SSL): Markerad
      
   4. Klicka på Nästa.
   5. Välj Extern (SSL-certifikat).
   6. Klicka på Nästa.
   7. Klicka på Slutför.

Information om hur du ansluter Sophos Mobile till Secure LDAP-tjänsten finns i Ansluta Sophos Mobile till Google Cloud Identity / Google Cloud Directory med Secure LDAP.

När du ansluter Splunk till Secure LDAP-tjänsten ska du använda Splunk version 8.1.4 eller senare. När du använder äldre Splunk-versioner, till exempel Splunk-version 8.1.3, kan för många LDAP-frågor skickas till LDAP-servern, vilket kan leda till att LDAP-kvoten snabbt tar slut. Mer information om problem med Splunk version 8.1.3 finns i Kända problem med Splunk.

Gör så här:

1. Kopiera LDAP-klientnyckel och -certifikatfiler till /home/splunk/splunkadmin/etc/openldap/certs/ldap-client.key och /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.cert.
   
   $ cat /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.crt /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.key > /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem

$ sudo chown $(splunkuser):$(splunkuser) /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.*

$ sudo chmod 644 /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.*
   
2. Redigera ldap.conf-filen och lägg till följande konfigurationer:

   ssl start_tls
TLS_REQCERT never
TLS_CERT /home/splunkadmin/splunk/etc/openldap/certs/ldap.pem
TLS_KEY /home/splunkadmin/splunk/etc/openldap/certs/ldap.pem

3. Lägg till följande konfigurationer i användarens fil /home/splunkadmin/.ldaprc:
   
   TLS_CERT /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem
TLS_KEY /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem
   
4. Lägg till LDAP-strategin med Splunk-webbgränssnittet. Ange följande uppgifter och klicka sedan på Spara:
   

SSSD gör en användarsökning för att få mer information om en användare under användarautentiseringen. Se till att användarautentisering fungerar korrekt för den här LDAP-klienten genom att aktivera Läs användarinformation och Läs gruppinformation för alla organisationsenheter där Verifiera användaruppgifter är aktiverat. (Anvisningar finns i Konfigurera åtkomstbehörigheter.)

Så här ansluter du en SSSD-klient på Red Hat 8 eller CentOS 8 till tjänsten Säker LDAP:

1. Lägg till SSSD-klienten i tjänsten Säker LDAP:
   1. Öppna Appar > LDAP > LÄGG TILL KLIENT.
      Kontrollera att du loggar in med ditt företagskonto och inte med ditt personliga Gmail-konto.
   2. Ange klientuppgifterna och klicka på FORTSÄTT.
   3. Konfigurera Åtkomstbehörigheterna:
      Verifiera användaruppgifter — Hela domnäen
      Läs användaruppgifter — Hela domänen
      Läs gruppinformation — På
   4. Klicka på LÄGG TILL LDAP-KLIENT.
   5. Ladda ned certifikatet som skapats.
   6. Klicka på FORTSÄTT TILL KLIENTINFORMATION.
   7. Ändra tjänststatusen till PÅ.
2. Installera beroenden:
   
   dnf install openldap-clients sssd-ldap
install -d --mode=700 --owner=sssd --group=root /etc/sssd/ldap
   
   packa upp certifikatets .zip-fil och kopiera .crt- och .key-filerna till /etc/sssd/ldap
   
3. (Valfritt) Testa med ldapsearch:

   LDAPTLS_REQCERT=never \
LDAPTLS_KEY=Google.key \
LDAPTLS_CERT=Google.crt \
ldapsearch -H ldaps://ldap.google.com:636/ \
-b dc=example,dc=com \
-D usertoverify@example.com \
-W \
'(mail=usertoverify@example.com)' \
mail dn
   
   Ange användarens Google-lösenord när du uppmanas att göra det.
   
   Obs! Användaren måste ha en tilldelad Google Workspace Enterprise- eller Cloud Identity Premium-licens.

4. Skapa filen /etc/sssd/sssd.conf med följande innehåll:
   

   [sssd]
services = nss, pam
domains = example.com

   [domain/example.com]
ldap_tls_cert = /etc/sssd/ldap/Google.crt
ldap_tls_key = /etc/sssd/ldap/Google.key
ldap_tls_reqcert = never
ldap_uri = ldaps://ldap.google.com
ldap_search_base = dc=example,dc=com
id_provider = ldap
auth_provider = ldap
ldap_schema = rfc2307bis
ldap_user_uuid = entryUUID

5. Uppdatera behörigheterna och SELinux-etiketterna:
   
   chown 0:0 /etc/sssd/sssd.conf /etc/sssd/ldap/*
chmod 600 /etc/sssd/sssd.conf /etc/sssd/ldap/*
restorecon -FRv /etc/sssd
   
6. Starta om SSSD:
   
   systemctl restart sssd
   
7. Test:
   
   ssh till server:

   ssh -l user@example.com {HOSTNAME}

Felsökning

1. Kontrollera SSSD-versionen (måste vara större än eller lika med 1.15.2):
   
   # sssd --version
2.2.3
   

2. På RHEL/CentOS (eller en distro med SELinux-tillämpning) måste SSSD-konfigurationsfilerna och certifikatfilen och nyckeln finnas i en katalog som är tillgänglig för rollen sss_conf_t:

   # egrep "object_r:sssd_conf_t" /etc/selinux/targeted/contexts/files/file_contexts

   Sök i /var/log/audit/audit.log efter meddelanden om AVC-avvisning.
   

3. Kontrollera att /etc/nsswitch.conf har sss för passwd-, shadow-, group- och netgroup-enheterna:
   
   passwd: files sss
shadow: files sss
group: files sss
netgroup: files sss
   
   Här åsidosätter lokala filer LDAP-användare.
   
4. Kontrollera om det finns konfigurationsfel i /var/log/sssd.conf:
   

   Exempel:
   [sssd] [sss_ini_add_snippets] (0x0020): Config merge error: File /etc/sssd/sssd.conf did not pass access check. Skipping.

   Åtgärd: Du måste köra chmod 600 på .conf-filen.

   Exempel:
   [sssd] [sss_ini_call_validators] (0x0020): [rule/allowed_domain_options]: Attribute 'ldap_groups_use_matching_rule_in_chain' is not allowed in section 'domain/{DOMAIN}'. Check for typos.

   [sssd] [sss_ini_call_validators] (0x0020): [rule/allowed_domain_options]: Attribute 'ldap_initgroups_use_matching_rule_in_chain' is not allowed in section 'domain/{DOMAIN}'. Check for typos.

   Åtgärd: Ta bort gruppmatchning som inte stöds för LDAP-tillägg från sss.conf.

5. Kontrollera /var/log/sssd_{DOMAIN}.log efter fel av typen LDAP/network/auth.
   
   Exempel:

   [sssd[be[example.com]]] [sss_ldap_init_sys_connect_done] (0x0020): ldap_install_tls failed: [Connect error] [error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed (self signed certificate)]

   Åtgärd: Du behöver lägga till ldap_tls_recert = never i sssd.conf.

   Du kan öka detaljnivån för fel genom att lägga till troubleshooter_level = 9 i sss.conf under domänavsnittet och starta om sssd.

SSSD gör en användarsökning för att få mer information om en användare under användarautentiseringen. Se till att användarautentisering fungerar korrekt för den här LDAP-klienten genom att aktivera Läs användarinformation och Läs gruppinformation för alla organisationsenheter där Verifiera användaruppgifter är aktiverat. (Anvisningar finns i Konfigurera åtkomstbehörigheter.)

Så här ansluter du en SSSD-klient till tjänsten Säker LDAP:

1. Installera SSSD-version >= 1.15.2.
   
   $ sudo apt-get install sssd
   
2. Om klientcertifikatet och nyckelfilerna heter /var/ldap-client.crt och /var/ldap-client.key och domänen är example.com redigerar du /etc/sssd/sssd.conf med en konfiguration som:

   
   [sssd]
   services = nss, pam
   domains = exempel.com

   [domän/example.com]
   ldap_tls_cert = /var/ldap-client.crt
   ldap_tls_key = /var/ldap-client.key
   ldap_uri = ldaps://ldap.google.com
   ldap_search_base = dc=example,dc=com
   id_provider = ldap
   auth_provider = ldap
   ldap_schema = rfc2307bis
   ldap_user_uuid = entryUUID
   ldap_groups_use_matching_rule_in_chain = true
   ldap_initgroups_use_matching_rule_in_chain = true
   

3. Ändra ägare och behörighet för konfigurationsfilen:
   
   $ sudo chown root:root /etc/sssd/sssd.conf
$ sudo chmod 600 /etc/sssd/sssd.conf

4. Starta om SSSD:
   
   $ sudo service sssd restart

Tips! Om du använder SSSD-modulen på Linux-datorer utan externa IP-adresser på Google Compute Engine kan du fortfarande ansluta till tjänsten Säker LDAP så länge du har intern åtkomst till Google-tjänster aktiverad. Mer information finns i Konfigurera privat Google-åtkomst.

Följ stegen nedan för att ansluta macOS-klienten för användarkontoautentisering med tjänsten Säker LDAP.

Systemkrav

• macOS-enheten måste vara Catalina version 10.15.4 eller senare.
• Ett användar-id för en avancerad Google-administratör krävs för att slutföra steg 1 i förberedelsefasen.
• Du behöver lokala administratörsbehörigheter för att utföra denna konfiguration.

Innehåll:

• Förberedelsefas
• Implementeringsfas
• Begränsningar och riktlinjer
• Felsökning

Förberedelsefas

Anvisningarna i det här avsnittet fokuserar på hur du konfigurerar och testar macOS-autentisering manuellt med hjälp av tjänsten Säker LDAP.

Steg 1: Registrera macOS som en LDAP-klient i Googles administratörskonsol

Anvisningar finns i Lägga till LDAP-klienter eller titta på den här demon av Säker LDAP. Du laddar även ned ett automatiskt genererat TLS-klientcertifikat under denna process.

Steg 2: Importera certifikatet till systemnyckelringen

1. Kopiera certifikatet (zip-filen som laddades ned i steg 1) och nyckeln till macOS-datorn.
   Tips! Packa upp filen för att hitta certifikat- och nyckelfiler.
2. Importera nyckelparet till systemnyckelringen:

   1. Konvertera nyckeln och certifikatet till en PKCS 12-fil (p12). Kör följande kommando i terminalen:
      
      openssl pkcs12 -export -out ldap-client.p12 -in ldap-client.crt -inkey ldap-client.key
      
      Tips! Skriv ned namnet på .p12-filen.
      
      Du blir ombedd att ange ett lösenord. Ange ett lösenord som krypterar p12-filen.

   2. Öppna appen Nyckelhanterare.

   3. Klicka på nyckelringen System.

   4. Klicka på Arkiv.

   5. Välj filen ldap-client.p12 som skapades ovan.

   6. Ange administratörslösenordet om du uppmanas att göra det för att kunna ändra systemnyckelringen.

   7. Ange lösenordet som du skapade ovan för att avkryptera .p12-filen.

      Obs! Ett nytt certifikat och en tillhörande privat nyckel visas i listan över nycklar. Den kan heta LDAP-klient. Skriv ned certifikatets namn för nästa steg nedan.
      
   8. Följ steg 6 i avsnittet ldapsearch (macOS) i den här artikeln för att konfigurera åtkomstkontroll för den privata nyckeln för att lägga till appar som anges nedan. Om den privata nyckeln inte visas i kategorin Alla objekt kan du testa att byta till kategorin Mina certifikat och leta reda på rätt post för privat nyckel genom att utöka motsvarande certifikat.
      
      Appen ldapsearch, som anges i anvisningarna, är endast relevant om felsökning behövs och inte för andra ändamål. Den tas vanligtvis bort innan användarna får åtkomst till macOS.
      
      Följande tre appar måste läggas till i listan för åtkomstkontroll:
      
      /System/Library/CoreServices/Applications/Directory Utility
/usr/libexec/opendirectoryd
/usr/bin/dscl

3. Lägg till en rad i filen /etc/openldap/ldap.conf och se till att LDAP-klienten har exakt samma certifikatnamn som visas i macOS Keychain Access-appen efter import av .p12-filen (namnet kommer från X.509 Subject Common Name för det genererade certifikatet):
   
   sudo bash -c 'echo -e "TLS_IDENTITY\tLDAP Client" >> /etc/openldap/ldap.conf'

Steg 3: Rikta enheten mot Google-katalogen för autentisering

Öppna appen Directory Utility för att skapa en ny LDAP-katalognod:

1. Klicka på låset om du vill göra ändringar och ange lösenordet.
2. Välj LDAPv3 och klicka på pennikonen för att redigera inställningarna.
3. Klicka på Nytt …
4. Ange ldap.google.com som servernamn, välj Encrypt using SSL och klicka på Manual.
5. Välj det nya servernamnet och klicka på Redigera …
6. Ange ett beskrivande namn, till exempel Google Secure LDAP, som konfigurationsnamn.
7. Välj Kryptera med SSL och se till att porten är inställd på 636.
8. Öppna fliken Sök och mappningar.
   1. Välj RFC2307 i rullgardinsmenyn Access this LDAPv3 server using.
   2. När du uppmanas att göra det anger du domänrelaterad information i Search Base Suuffix. Ange till exempel dc=zomato,dc=com för domännamnet zomato.com.
   3. Klicka på OK.
   4. Konfigurera attribut under posttypen Användare:
      1. Välj Användare i avsnittet Posttyper och attribut och klicka på knappen +.
      2. Välj Attribute Types i popup-fönstret, välj GeneratedUID och klicka sedan på OK för att stänga popup-fönstret.
         
         GeneratedUID ska visas under Användare när det har utökats.
         
      3. Klicka på GeneratedUID och klicka på ikonen + i rutan till höger.
      4. Skriv apple-generateduid i textrutan och klicka på Retur.
      5. Klicka på attributet NFSHomeDirectory under noden Användare.
      6. Uppdatera värdet för attributet till #/Users/$uid$ på skärmen till höger.
      7. Klicka på OK och ange ditt lösenord för att spara ändringarna.
9. Konfigurera den nya LDAP-konfigurationen i fönstret Directory Utility:
   1. Öppna fliken Sökpolicy.
   2. Klicka på låsikonen om du vill göra ändringar och ange lösenordet för den aktuella användaren när du uppmanas att göra det.
   3. Ändra rullgardinsmenyn från Sökväg till Anpassad sökväg.
   4. Öppna fliken Autentisering och klicka på ikonen +.
   5. Välj /LDAPv3/ldap.google.com i listan Katalogdomäner och klicka sedan på Lägg till.
   6. Klicka på knappen Använd och ange administratörslösenordet om du uppmanas att göra det.
10. Kör följande fyra kommandon för att inaktivera autentiseringsmekanismerna Smith-MD5, CRAM-MD5, NTLM och GSSAPI SASL. macOS använder Simple Bind för att autentisera med Googles tjänst Säker LDAP:
    
    sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string DIGEST-MD5" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string CRAM-MD5" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string NTLM" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string GSSAPI" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist
    
11. Starta om om du vill läsa in OpenDirectory-konfigurationen igen.

Steg 4: Skapa ett mobilkonto (tillåter offlineinloggning)

Alla användare av Google Workspace eller Cloud Identity kan logga in med ett nätverkskonto (Google-konto) med hjälp av användarnamn och lösenord. Den här inloggningsprocessen kräver nätverksanslutning. Om en användare måste logga in med eller utan anslutning till nätverket kan ett mobilkonto skapas. Med ett mobilkonto kan du använda användarnamnet och lösenordet för nätverkskontot (Google-kontot) för att logga in, oavsett om du är ansluten till nätverket eller inte. Mer information finns i Skapa och konfigurera mobila konton på Mac.

Så här skapar du ett mobilkonto för användare med Säker LDAP:

1. Kör följande kommando för att ansluta till Secure LDAP-servern och konfigurera en hemsökväg och ett eller flera mobilkonton:
   
   sudo /System/Library/CoreServices/ManagedClient.app/Contents/Resources/createmobileaccount -n $uid -v
   
   Tips! Ersätt $uid med användarnamnsdelen av e-postadressen som är kopplad till användarens Google-konto. jsmith är till exempel användarnamnsdelen för jsmith@solarmora.com.

2. När du uppmanas att ange användarnamnet för SecureToken-administratören anger du ditt administratörsanvändarnamn och sedan ditt lösenord i nästa prompt. Detta lägger till $uid i FileVault. Detta behövs om macOS-disken är krypterad.

Steg 5: (Valfritt) Ange inställningen för inloggningsskärmen

1. Öppna Systeminställningar > Användare och grupper > Inloggningsalternativ längst ned till vänster.
2. Öppna låset genom att ange administratörsuppgifter.
3. Ändra Visa inloggningsfönstret som till Namn och lösenord.

Steg 6: Starta om och logga in på enheten

1. Kontrollera att enheten är ansluten till internet. Om du inte har en internetanslutning fungerar inte inloggningen för Secure LDAP-användaren.
   Obs! Internetanslutning krävs endast för den första inloggningen. Efterföljande inloggningar kan ske utan internetåtkomst.
2. Logga in på enheten med användarkontot som är konfigurerat för att använda Säker LDAP för autentisering.

Implementeringsfas

Anvisningarna i det här avsnittet fokuserar på att automatisera enhetskonfigurationen för användarna. Utför steg 1 och 2 nedan på samma macOS-enhet som du använde för att slutföra den manuella konfigurationen under förberedelsefasen.

Steg 1: Skapa en Mac-profil med certifikat med Apple Configurator 2

1. Installera Apple Configurator 2 på datorn där du manuellt konfigurerade macOS-autentisering med Säker LDAP.
2. Öppna Apple Configurator 2, skapa en ny profil och klicka på Konfigurera i avsnittet Certifikat för att importera .p12-filen som skapats tidigare.

   Obs! Se till att .p12 har ett lösenord. Ange lösenordet i avsnittet Lösenord för certifikatet.

3. Spara den här profilen.
4. (För enheter med M1- eller M2-processorer hoppar du över det här steget och fortsätter till steg 5. ) Öppna profilen i en textredigerare och lägg till följande rader i den första <dict>-taggen:
   
   <key>PayloadScope</key>
<string>System</string>
   
   Detta läggs till eftersom Apple Configurator inte stöder profiler för macOS ännu.
   
5. I den andra <dict>-taggen lägger du, parallellt med certifikatdata, till följande rader:
   
   <key>AllowAllAppsAccess</key>
<true/>
   
   Detta säkerställer att certifikatet kan nås av alla appar.

Steg 2: Konvertera katalogkonfigurationsfilen (plist) till xml

I det här steget extraherar du alla manuella konfigurationer som du slutförde i steg 3 i förberedelsefasen till en XML-fil. Du kan använda den här filen och Mac-profilen som skapades i steg 1 ovan för att automatiskt konfigurera andra macOS-enheter.

1. Kopiera /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist till skrivbordet eller en annan plats.
2. Konvertera den till XML så att du kan inspektera den i vilken textredigerare som helst. Kör följande kommando i Terminal:
   
   sudo plutil -convert xml1 <path>/ldap.google.com.plist
   
   Du kan komma åt filen som <path>/ldap.google.com.plist.
   
3. Ändra behörigheten för filen ovan så att du kan öppna XML-filen. Se till att den inte är tom.

Steg 3: Skapa ett Python-skript för att automatisera konfigurationen på slutanvändarnas enheter

Kopiera python-skriptet nedan och spara det som en python-fil (.py-fil).

Obs! Det här exempelskriptet är utformat för att vara kompatibelt med Python-version 3.10.x. Det här skriptet tillhandahålls i befintligt skick. Googles erbjuder inte support för exempelskript.

Ldap_python_config.py

#!/usr/bin/python
from OpenDirectory import ODNode, ODSession, kODNodeTypeConfigure
from Foundation import NSMutableData, NSData

import os
import sys

# Reading plist
GOOGLELDAPCONFIGFILE = open(sys.argv[1], "r")
CONFIG = GOOGLELDAPCONFIGFILE.read()
GOOGLELDAPCONFIGFILE.close()

# Write the plist
od_session = ODSession.defaultSession()
od_conf_node, err = ODNode.nodeWithSession_type_error_(od_session, kODNodeTypeConfigure, None)
request = NSMutableData.dataWithBytes_length_(b' '*32, 32)
request.appendData_(NSData.dataWithBytes_length_(str.encode(CONFIG), len(CONFIG)))
response, err = od_conf_node.customCall_sendData_error_(99991, request, None)

# Edit the default search path and append the new node to allow for login
os.system("dscl -q localhost -append /Search CSPSearchPath /LDAPv3/ldap.google.com")
os.system("bash -c 'echo -e \"TLS_IDENTITY\tLDAP Client\" >> /etc/openldap/ldap.conf' ")

Steg 4: Konfigurera slutanvändarenheter automatiskt

Gå till andra macOS-enheter som du vill konfigurera och följ de här stegen:

1. Kopiera Mac-profilfilen som skapades i steg 1, XML-konfigurationsfilen som skapades i steg 2 och python-skriptet från steg 3 till enheten.
2. Kör följande kommando för att installera det beroende som krävs för skriptet:
   python3 -m pip install pyobjc-framework-opendirectory
3. Kör följande kommando:
   sudo python </path/to/saved_python_script> </path/to/ldap.google.com.plist generated in step 2>
4. Om du vill importera certifikat till macOS-nyckelringen dubbelklickar du på Mac-profilfilen som genererades i steg 1 och anger lokala administratörsuppgifter för macOS när du uppmanas att göra det. Du blir sedan ombedd att ange .p12-lösenordet som du angav under förberedelsefasen.
5. Starta om macOS-datorn.
6. Skapa mobilkonton enligt anvisningarna i steg 4 i förberedelsefasen och ange eventuellt ytterligare inställningar som beskrivs i steg 5 i förberedelsefasen.

Begränsningar och riktlinjer

• För användare som loggar in på macOS med sina Google-användaruppgifter måste användarnamnet för Workspace-kontot skilja sig åt från användar-id:t för macOS-användarprofilen. Annars blockeras inloggningen.
• När en användare börjar logga in på macOS med Googles användaruppgifter måste lösenordshantering (återställning) göras på Googles webbplats (till exempel på myaccount.google.com eller på Googles administratörskonsol). Om du väljer att hantera lösenord med en lösning från tredje part ska du se till att det senaste lösenordet synkroniseras med Google.
• Om administratören skapar en ny användare eller återställer en befintlig användares lösenord med inställningen Fråga om en lösenordsändring vid nästa inloggning aktiverad kan användaren inte logga in på Mac med det tillfälliga lösenordet som administratören har angett.
  Lösning: Användaren måste logga in på Google med en annan enhet (till exempel sin mobila enhet eller en annan dator), ange ett permanent lösenord och sedan logga in på macOS med det nya lösenordet.
• Mac-enheten måste ha en fungerande internetanslutning så att ldap.google.com kan nås under den första inloggningen efter ovanstående konfiguration. Eventuella efterföljande inloggningar behöver inte internetåtkomst så länge du har valt att konfigurera ett mobilkonto.
• Google Säker LDAP-integration med macOS testas på macOS Catalina, Big Sur och Monterey.

Felsökning

Om det uppstår problem med att ansluta till tjänsten Säker LDAP följer du anvisningarna nedan.

Steg 1: Verifiera anslutningen.

Verifiera anslutningen med odutil.
Kör kommandot odutil show nodenames i terminalen.
Verifiera att statusen för /LDAPv3/ldap.google.com är online. Om den inte är online testar du telnet-alternativet.

Verifiera anslutningen med hjälp av nc.
Kör följande kommando i terminalen: nc -zv ldap.google.com 636
Om du inte kan ansluta till Google med den här metoden kan du testa att ansluta med IPv4.

Verifiera anslutningen med IPv4.
Du kan byta enhet för att använda IPv4 med följande steg:

1. Öppna Systeminställningar > Nätverk > Wi-Fi > Avancerat.
2. På Avancerat-menyn öppnar du TCP/IP-fliken.
3. Ändra valet i rullgardinsmenyn från Konfigurera IPv6 till Endast länklokal.
4. Klicka på OK och sedan på Använd för att spara ändringarna.
5. Kontrollera tjänstautentisering via ldapsearch-anslutning och giltig sökning.

Steg 2: Kontrollera om du kan se katalogobjekt.

1. Öppna Directory Utility och öppna sedan fliken Directory Editor.
2. Välj noden /LDAPv3/ldap.google.com i rullgardinsmenyn.
3. Kontrollera om du kan se användare och grupper från din Google-domän.