4. Connecter les clients LDAP au service LDAP sécurisé

Suivez la procédure ci-dessous :

1. Suivez les étapes 1 à 11 de la section ldp.exe (Windows) pour installer les certificats clients.
2. Accédez à Action > Connect to (Action > Se connecter à).
3. Saisissez les paramètres de connexion suivants :
   
   Nom : saisissez un nom pour votre connexion, par exemple Google LDAP.
   Point de connexion : "Sélectionnez ou saisissez un nom distinctif ou un contexte de nommage"
   Saisissez votre nom de domaine au format DN (par exemple, dc=example,dc=com pour example.com).
   
   Ordinateur : "Sélectionnez ou saisissez un domaine ou un serveur"
   ldap.google.com
   
   Utiliser le chiffrement SSL : coché
   
4. Cliquez sur Advanced... (Avancé...), puis saisissez les informations suivantes :
   
   Specify credentials (Spécifier les identifiants) : coché
   Username (Nom d'utilisateur) : nom d'utilisateur des identifiants d'accès de la console d'administration
   Password (Mot de passe) : mot de passe des identifiants d'accès de la console d'administration
   Port Number (Numéro de port) : 636
   Protocol (Protocole) : LDAP
   Simple bind authentication (Authentification par liaison simple) : coché
   
5. Cliquez sur OK, puis de nouveau sur OK.
6. Si la connexion aboutit, le contenu Active Directory s'affiche dans le volet de droite dans le format DN de base.

Pour utiliser Apache Directory Studio, connectez-vous via stunnel et utilisez un identifiant d'accès (nom d'utilisateur et mot de passe) généré dans la console d'administration Google. En supposant que les identifiants sont en place et que stunnel écoute sur le port localhost 1389, procédez comme suit :

1. Cliquez sur File > New (Fichier > Nouveau).
2. Sélectionnez LDAP Browser > LDAP Connection (Navigateur LDAP > Connexion LDAP).
3. Cliquez sur Suivant.
4. Saisissez les paramètres de connexion :
   
   Nom de la connexion : choisissez un nom, par exemple Google LDAP
   Nom d'hôte : localhost
   Port : 1389 (ou le port d'écoute/d'acceptation stunnel)
   Méthode de chiffrement : aucun chiffrement (Remarque : Si stunnel est exécuté à distance, il est recommandé de chiffrer la connexion entre stunnel et le client.)
   
5. Cliquez sur Suivant.
6. Saisissez les paramètres d'authentification :
   
   Méthode d'authentification : authentification simple
   Nom distinctif ou utilisateur de liaison : nom d'utilisateur des identifiants d'accès de la console d'administration
   Mot de passe de liaison : mot de passe des identifiants d'accès de la console d'administration
   
7. Cliquez sur Suivant.
8. Saisissez le nom de domaine de base.
   Il s'agit de votre nom de domaine au format DN (dc=example,dc=com pour example.com).
9. Cliquez sur Terminer.

Atlassian Jira effectue une recherche d'utilisateur pour obtenir plus d'informations sur un utilisateur lors de l'authentification de l'utilisateur. Pour vous assurer que l'authentification des utilisateurs fonctionne correctement pour ce client LDAP, vous devez activer Lire les informations utilisateur et Lire les informations sur les groupes pour toutes les unités organisationnelles où l'option Vérifier les identifiants utilisateur est activée. Pour en savoir plus, consultez Configurer les autorisations d'accès.

Important : Les instructions ci-dessous peuvent entraîner la divulgation de keystorePassword aux utilisateurs et aux fichiers journaux. Prenez des précautions pour éviter tout accès non autorisé au shell local, au fichier journal et à la console d'administration Google. Au lieu de suivre les instructions ci-dessous, vous pouvez utiliser la méthode stunnel4 (voir Facultatif : Utiliser stunnel comme proxy).

Remarque : Les instructions suivantes supposent que Jira est installé dans /opt/atlassian/jira.

Pour connecter un client Atlassian Jira au service LDAP sécurisé :

1. Copiez le certificat et la clé sur le(s) serveur(s) Jira. (Il s'agit du certificat généré dans la console d'administration Google lors de l'ajout du client LDAP au service LDAP sécurisé.)
   
   Exemple :
   $ scp ldap-client.key user@jira-server:
   
2. Convertissez le certificat et les clés au format Java KeyStore. Vous serez invité à saisir des mots de passe au cours de cette procédure. Pour plus de facilité, sélectionnez un mot de passe sécurisé et utilisez-le à chaque invite.
   
   $ openssl pkcs12 -export -out jira-ldap.pkcs12 -in ldap-client.crt -inkey ldap-client.key

$ sudo /opt/atlassian/jira/jre/bin/keytool -v -importkeystore -srckeystore jira-ldap.pkcs12 -srcstoretype PKCS12 -destkeystore /opt/atlassian/jira/jira-ldap.jks -deststoretype JKS
   
3. Configurez Jira de façon à utiliser le keystore nouvellement créé. Suivez ces instructions pour ajouter des options :
   
   "-Djavax.net.ssl.keyStore=/opt/atlassian/jira/jira-ldap.jks -Djavax.net.ssl.keyStorePassword=password"
   
   Sous Linux :
   1. Saisissez /opt/atlassian/jira/bin/setenv.sh.
   2. Recherchez le paramètre JVM_SUPPORT_RECOMMENDED_ARGS.
   3. Ajoutez "-Djavax.net.ssl.keyStore=/opt/atlassian/jira/jira-ldap.jks -Djavax.net.ssl.keyStorePassword=password", en remplaçant "password" par le mot de passe que vous avez sélectionné ci-dessus.
4. Relancez Jira.
   
   $ /opt/atlassian/jira/bin/stop-jira.sh
$ /opt/atlassian/jira/bin/start-jira.sh
   
5. Connectez-vous à l'interface Web de Jira en tant qu'administrateur.
   1. Accédez à Paramètres > Gestion des utilisateurs. (Pour accéder aux paramètres, cliquez sur l'icône en forme de roue dentée en haut à droite.)
   2. Cliquez sur User Directories (Annuaires utilisateur).
   3. Cliquez sur Ajouter un annuaire.
   4. Sélectionnez le type LDAP.
   5. Cliquez sur Suivant.
6. Saisissez les valeurs suivantes :

   Name (Nom)	LDAP sécurisé Google
   Directory type (Type d'annuaire)	OpenLDAP
   Hostname (Nom d'hôte)	ldap.google.com
   Port	636
   Use SSL (Connexion SSL)	Coché
   Nom d'utilisateur	Générez un nom d'utilisateur et un mot de passe dans la console d'administration Google. Pour obtenir des instructions, consultez la page Générer des identifiants d'accès.
   Mot de passe	Générez un nom d'utilisateur et un mot de passe dans la console d'administration Google. Pour obtenir des instructions, consultez la page Générer des identifiants d'accès.
   Base DN (Nom de domaine de base)	Votre nom de domaine au format DN, par exemple, dc=example,dc=com pour example.com
   Additional User DN (Nom distinctif d'utilisateur supplémentaire)	Facultatif. "ou=Users"
   Additional Group DN (Nom distinctif de groupe supplémentaire)	Facultatif. "ou=Groups"
   LDAP Permissions (Autorisations LDAP)	Lecture seule
   Advanced Settings (Paramètres avancés)	Non modifié
   User Schema Settings > User Name Attribute (Paramètres de schéma utilisateur > Attribut de nom d'utilisateur)	googleUid
   User Schema Settings > User Name RDN Attribute (Paramètres de schéma utilisateur > Attribut RDN de nom d'utilisateur)	uid
   Group Schema Settings > Group Object Class (Paramètres de schéma de groupe > Classe d'objet de groupe)	groupOfNames
   Group Schema Settings > Group Object Filter (Paramètres de schéma de groupe > Filtre d'objet de groupe)	(objectClass=groupOfNames)
   Membership Schema Settings > Group Members Attribute (Paramètres de schéma d'appartenance > Attribut "Membres de groupe")	member
   Membership Schema Settings > Use the User Membership Attribute (Paramètres de schéma d'appartenance > Utiliser l'attribut "Adhésion utilisateur")	Coché

7. Attribuez un rôle à un groupe.
   
   Pour qu'Atlassian Jira puisse autoriser un utilisateur à se connecter, celui-ci doit être membre d'un groupe autorisé à accéder à Jira.
   
   Pour attribuer un rôle à un groupe, procédez comme suit :
   1. Accédez à Settings > Applications > Application access (Paramètres > Applications > Accès aux applications).
   2. Dans la zone de texte Sélectionner un groupe, saisissez le nom du groupe Google auquel vous souhaitez accorder l'accès à Jira.

Pour savoir comment connecter CloudBees Core au service LDAP sécurisé, consultez Configure CloudBees Core with Google's Cloud Identity Secure LDAP.

Suivez la procédure ci-dessous :

1. Installez et configurez FreeRADIUS dans /etc/freeradius/3.0/.
   
   Une fois FreeRADIUS installé, vous pouvez ajouter la configuration LDAP en installant le plug-in freeradius-ldap.
   
   $ sudo apt-get install freeradius freeradius-ldap
   
2. Copiez les fichiers de clé et de certificat du client LDAP respectivement dans /etc/freeradius/3.0/certs/ldap-client.key et /etc/freeradius/3.0/certs/ldap-client.crt.
   
   $ chown freeradius:freeradius
/etc/freeradius/3.0/certs/ldap-client.*
$ chmod 640 /etc/freeradius/3.0/certs/ldap-client.*
   
3. Activez le module LDAP.
   
   $ cd /etc/freeradius/3.0/mods-enabled/
$ ln -s ../mods-available/ldap ldap
   
4. Modifiez /etc/freeradius/3.0/mods-available/ldap.
   1. ldap->server = 'ldaps://ldap.google.com:636'
   2. identity = nom d'utilisateur issu des identifiants de l'application
   3. password = mot de passe issu des identifiants de l'application
   4. base_dn = 'dc=domain,dc=com'
   5. tls->start_tls = no
   6. tls->certificate_file = /etc/freeradius/3.0/certs/ldap-client.crt
   7. tls->private_key_file = /etc/freeradius/3.0/certs/ldap-client.key
   8. tls->require_cert = 'allow'
   9. Mettez en commentaire tous les champs du fil d'Ariane représentant la section 'ldap -> post-auth -> update'.
5. Modifiez /etc/freeradius/3.0/sites-available/default.
   Cette action entraîne la modification de la connexion du client FreeRadius. Si vous n'utilisez pas le client par défaut, veillez à mettre à jour le client concerné (inner-tunnel ou tout autre client personnalisé) que vous avez configuré.
   
   1. Modifiez la section authorize pour ajouter le bloc suivant en bas, après l'instruction du protocole d'authentification par mot de passe (PAP) :
      
      if (User-Password) {
update control {
Auth-Type := ldap
}
}
      
   2. Dans la section authorize, activez LDAP en supprimant le signe "-" qui le précède.
      
      #
      # The ldap module reads passwords from the LDAP database.
      ldap
      
   3. Modifiez la section authenticate en modifiant le bloc Auth-Type LDAP comme suit :
      
      # Auth-Type LDAP {
ldap
# }
      
   4. Modifiez la section authenticate en modifiant le bloc Auth-Type PAP comme suit :
      
      Auth-Type PAP {
# pap
ldap
}

Pour obtenir des informations sur la connexion de GitLab au service LDAP sécurisé, consultez l'article Google Secure LDAP relatif à la configuration pour GitLab.

Pour savoir comment connecter Itopia/Ubuntu au service LDAP sécurisé, consultez Configuring Google Cloud Identity LDAP on Ubuntu 16.04 for user logins.

Suivez la procédure ci-dessous :

1. Sur votre serveur Web Ivanti, ouvrez OpenLDAPAuthenticationConfiguration.xml ou OpenLDAPSSLAuthenticationConfiguration.xml dans un éditeur de texte dans les deux dossiers suivants :
   
   C:\ProgramData\LANDesk\ServiceDesk\servicedesk.Framework et C:\ProgramData\LANDesk\ServiceDesk\servicedesk.WebAccess (où servicedesk est le nom de l'instance)
2. Remplacez la valeur <Server> par ldap.google.com.
3. Remplacez la valeur <Port> par le port 3268 pour le texte clair avec StartTLS activé et par le port 3269 pour le port SSL/TLS (les valeurs par défaut sont 389 pour le port de texte clair ou 636 pour le port SSL/TLS).
4. Définissez la valeur <TestDN> sur votre nom de domaine au format DN. (par exemple, dc=example,dc=com pour example.com).
5. Ajoutez la ligne suivante à ..ProgramData\LANDesk\ServiceDesk\ServiceDesk.Framework\tps.config et à ..ProgramData\LANDesk\ServiceDesk\WebAccess\tps.config :
   
   <add key="AuthenticationProvider" value="Touchpaper.Integrations.OpenLDAPLogon.OpenLDAPAuthenticationProvider" />
   
   ou la ligne suivante :
   
   <add key="AuthenticationProvider" value="Touchpaper.Integrations.OpenLDAPSSLLogon.OpenLDAPSSLAuthenticationProvider" />
   
6. Dans le centre de configuration d'Ivanti, ouvrez l'instance requise.
7. À côté de l'application Service Desk Framework, cliquez sur Edit (Modifier).
   La boîte de dialogue Edit Application (Modifier l'application) pour Service Desk Framework s'ouvre alors.
8. Dans le groupe Configuration parameters (Paramètres de configuration), sélectionnez Explicit only (Explicite uniquement) dans la liste Logon policy (Règles de connexion), puis cliquez sur OK.
9. À côté de l'application Web Access, cliquez sur Modifier.
   La boîte de dialogue Edit Application (Modifier l'application) pour Web Access s'ouvre alors.
10. Dans le groupe Configuration parameters (Paramètres de configuration), sélectionnez Explicit only (Explicite uniquement) dans la liste Logon policy (Règle de connexion), puis cliquez sur OK.

Pour vous connecter, utilisez le mot de passe réseau de l'utilisateur de domaine associé.

Journalisation des exceptions pour l'authentification du serveur LDAP

Si vous rencontrez des problèmes pour configurer l'authentification du serveur LDAP, vous pouvez activer la journalisation des exceptions pour vous aider à identifier le problème. Cette option est désactivée par défaut, et nous vous recommandons de la désactiver à nouveau lorsque vous avez terminé vos investigations.

Pour activer la journalisation des exceptions pour l'authentification du serveur LDAP :

1. Ouvrez le fichier XML de configuration d'authentification approprié dans un éditeur de texte :
   
   DirectoryServiceAuthenticationConfiguration.xml, OpenLDAPAuthenticationConfiguration.xml ou OpenLDAPSSLAuthenticationConfiguration.xml
2. Remplacez la ligne :
   
   <ShowExceptions>false</ShowExceptions>
   par :
   <ShowExceptions>true</ShowExceptions>
   
3. Enregistrez les modifications.

Suivez la procédure ci-dessous :

1. Convertissez les fichiers de clé et de certificat en un fichier au format PKCS12. Dans une invite de commande, saisissez ce qui suit :
   
   Si vous utilisez macOS ou Linux, exécutez les commandes suivantes :
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Saisissez un mot de passe pour chiffrer le fichier de sortie.
   

   Si vous utilisez Windows, saisissez les commandes suivantes :

   $ certutil -mergepfx ldap-client.crt ldap-client.p12
   
   Important : Les deux fichiers (<CERT_FILE>.crt et <CERT_FILE>.key) doivent se trouver dans le même répertoire. Assurez-vous également que les fichiers key et crt portent le même nom (avec une extension différente). Dans cet exemple, nous utilisons les noms ldap-client.crt et ldap-client.key.

2. Accédez au panneau de configuration.
3. Dans le champ de recherche, recherchez "certificat", puis cliquez sur Gérer les certificats utilisateur.
4. Accédez à Action > All Tasks > Import… (Action > Toutes les tâches > Importer).
5. Sélectionnez Current User (Utilisateur actuel), puis cliquez sur Next (Suivant).
6. Cliquez sur Browse (Parcourir).
7. Dans la liste déroulante File type (Type de fichier) en bas à droite de la boîte de dialogue, sélectionnez Personal Information Exchange (*.pfx;*.p12) (Échange d'informations personnelles [*.pfx;*.p12]).
8. Sélectionnez le fichier ldap-client.p12 de l'étape 2, cliquez sur Ouvrir, puis sur Suivant.
9. Saisissez le mot de passe de l'étape 2, puis cliquez sur Next (Suivant).
10. Sélectionnez le magasin de certificats Personnel, cliquez sur Suivant, puis sur Terminer.
11. Exécutez Ldp.exe.
12. Accédez à Connexion > Se connecter….
13. Saisissez les informations de connexion suivantes :
    
    Serveur : ldap.google.com
    Port : 636
    Sans connexion : décoché
    SSL : coché
    
14. Cliquez sur OK.
15. Accédez à View > Tree (Affichage > Arborescence).
16. Saisissez le nom de domaine de base. Il s'agit de votre nom de domaine au format DN, par exemple dc=example,dc=com pour example.com.
17. Cliquez sur OK.
18. Si la connectivité est établie, LDP.exe affiche le contenu d'Active Directory (par exemple, tous les attributs présents dans le DN de base) dans le volet de droite.

Pour savoir comment connecter Netgate/pfSense au service LDAP sécurisé, consultez Configuring Google Cloud Identity as an Authentication Source.

Pour accéder à votre annuaire LDAP à partir de la ligne de commande, vous pouvez utiliser la commande OpenLDAP ldapsearch.

En supposant que vos fichiers de certificat client et de clé sont ldap-client.crt et ldap-client.key, que votre domaine est example.com et que le nom d'utilisateur est jsmith :

$ LDAPTLS_CERT=ldap-client.crt LDAPTLS_KEY=ldap-client.key ldapsearch -H ldaps://ldap.google.com -b dc=example,dc=com '(uid=jsmith)'

Cela permet de définir les variables d'environnement pertinentes pour qu'elles pointent vers les clés client. Vous pouvez remplacer les autres options "ldapsearch" par les filtres souhaités, les attributs demandés, etc. Pour en savoir plus, consultez les pages de manuel ldapsearch ("man ldapsearch").

Suivez la procédure ci-dessous :

1. Convertissez les fichiers de clé et de certificat en un fichier au format PKCS12. Dans une invite de commande, saisissez la commande suivante :
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Saisissez votre mot de passe pour chiffrer le fichier de sortie.
   
2. Cliquez sur  en haut à droite de la barre de menu, puis saisissez Trousseaux d'accès.
3. Ouvrez l'application Trousseaux d'accès, puis cliquez sur Système dans la liste de gauche.
4. Cliquez sur l'option Fichier dans la barre de menu en haut à gauche, puis sélectionnez Importer des éléments.
5. Accédez à l'emplacement du fichier ldap-client.p12 généré, sélectionnez ldap-client.p12, puis cliquez sur Ouvrir.
   Si vous y êtes invité, saisissez votre mot de passe.
   Un certificat nommé Client LDAP devrait maintenant apparaître dans la liste des certificats du trousseau système.
6. Cliquez sur la flèche à côté du certificat client LDAP. Une clé privée s'affiche en dessous.
   1. Double-cliquez sur la clé privée.
   2. Dans la boîte de dialogue, sélectionnez l'onglet Access Control (Contrôle des accès), puis cliquez sur + en bas à gauche.

   3. Dans la fenêtre qui s'ouvre, appuyez sur Commande+Maj+G pour ouvrir une nouvelle fenêtre, puis remplacez le texte existant par /usr/bin/ldapsearch.

   4. Cliquez sur Go (Accéder).
      
      Une fenêtre affichant "ldapsearch" en surbrillance s'ouvre.

   5. Cliquez sur Ajouter.

   6. Cliquez sur Enregistrer les modifications, puis saisissez votre mot de passe si vous y êtes invité.
      
      Vous pouvez désormais accéder à votre annuaire LDAP depuis la ligne de commande, à l'aide de la commande OpenLDAP ldapsearch.

7. En supposant que le fichier ldap-client.p12 que vous avez importé précédemment dans le trousseau d'accès s'appelle LDAP Client, que votre domaine est example.com et que le nom d'utilisateur est jsmith, saisissez ce qui suit :
   
   $ LDAPTLS_IDENTITY="LDAP Client" ldapsearch -H ldaps://ldap.google.com:636 -b dc=example,dc=com '(uid=jsmith)'

Les variables d'environnement pertinentes à faire pointer vers le certificat du client importé sont ainsi définies. Vous pouvez remplacer les autres options "ldapsearch" par les filtres souhaités, les attributs demandés, etc. Pour plus d'informations, reportez-vous aux pages relatives à "man ldapsearch" (man ldapsearch).

Suivez la procédure ci-dessous :

1. Si nécessaire, installez et configurez OpenVPN. Si vous l'avez déjà fait, ouvrez la page des paramètres dans OpenVPN.
   
   La configuration générale d'un VPN dépasse le cadre de cet article d'aide. Une fois que vous en avez configuré un, vous pouvez ajouter une authentification et une autorisation utilisateur via LDAP. Vous devrez notamment installer le plug-in openvpn-auth-ldap.
   
   $ sudo apt-get install openvpn openvpn-auth-ldap
   
2. Copiez les fichiers de clé et de certificat du client LDAP dans /etc/openvpn/ldap-client.key et /etc/openvpn/ldap-client.crt.
3. Créez un fichier /etc/openvpn/auth-ldap.conf contenant les éléments suivants (en supposant que example.com est le nom de domaine) :
   
   <LDAP>
URL ldaps://ldap.google.com:636 #
Timeout 15
TLSEnable false
TLSCACertDir /etc/ssl/certs
TLSCertFile /etc/openvpn/ldap-client.crt
TLSKeyFile /etc/openvpn/ldap-client.key
</LDAP>
<Authorization>
BaseDN "dc=example,dc=com"
SearchFilter "(uid=%u)" # (or choose your own LDAP filter for users)
RequireGroup false
</Authorization>
   
4. Modifiez le fichier de configuration OpenVPN, qui porte un nom du type /etc/openvpn/server.conf ou similaire. Au bas du fichier, ajoutez les éléments suivants :
   
   plugin /usr/lib/openvpn/openvpn-auth-ldap.so /etc/openvpn/auth-ldap.conf
verify-client-cert optional
   
5. Redémarrez le serveur OpenVPN.
   
   $ sudo systemctl restart openvpn@server
   
6. Configurez les clients VPN pour qu'ils utilisent les noms d'utilisateur et les mots de passe des utilisateurs. Par exemple, dans une configuration de client OpenVPN, ajoutez auth-user-pass à la fin du fichier de configuration du client OpenVPN et démarrez le client OpenVPN :
   
   $ openvpn --config /path/to/client.conf
   
7. Suivez les instructions pour utiliser stunnel comme proxy.

Pour savoir comment connecter OpenVPN Access Server au service LDAP sécurisé, consultez Configuring Google Secure LDAP with OpenVPN Access Server.

Pour savoir comment connecter PaperCut au service LDAP sécurisé, consultez How to sync and authenticate Google Workspace and Google Cloud Identity users in PaperCut.

Pour savoir comment connecter Puppet Enterprise au service LDAP sécurisé, consultez Google Cloud Directory for PE.

Important : Avant de commencer, assurez-vous d'avoir installé Softerra LDAP Browser version 4.5 (4.5.19808.0) ou ultérieure. Consultez LDAP Browser 4.5.

Suivez la procédure ci-dessous :

1. Convertissez les fichiers de clé et de certificat en un fichier au format PKCS12. Dans une invite de commande, saisissez ce qui suit :
   
   Si vous utilisez macOS ou Linux, exécutez les commandes suivantes :
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Saisissez un mot de passe pour chiffrer le fichier de sortie.
   

   Si vous utilisez Windows, saisissez les commandes suivantes :

   $ certutil -mergepfx ldap-client.crt ldap-client.p12
   
   Important : Les deux fichiers (<CERT_FILE>.crt et <CERT_FILE>.key) doivent se trouver dans le même répertoire. Assurez-vous également que les fichiers key et crt portent le même nom (avec une extension différente). Dans cet exemple, nous utilisons les noms ldap-client.crt et ldap-client.key.

2. Dans Softerra LDAP Browser, installez la paire de clés.
   1. Accédez à Tools > Certificate Manager (Outils > Gestionnaire de certificats).
   2. Cliquez sur Import… (Importer).
   3. Cliquez sur Next (Suivant).
   4. Cliquez sur Browse (Parcourir).
   5. Dans la liste déroulante File type (Type de fichier) en bas à droite de la boîte de dialogue, sélectionnez Personal Information Exchange (*.pfx;*.p12) (Échange d'informations personnelles [*.pfx;*.p12]).
   6. Sélectionnez le fichier ldap-client.p12 créé à l'étape 2 ci-dessus.
   7. Cliquez sur Open (Ouvrir), puis sur Next (Suivant).
   8. Saisissez le mot de passe de l'étape 2, puis cliquez sur Next (Suivant).
   9. Sélectionnez le magasin de certificats Personnel.
   10. Cliquez sur Suivant.
   11. Cliquez sur Terminer.
3. Ajoutez un profil de serveur.
   1. Accédez à Fichier > Nouveau > Nouveau profil.
   2. Saisissez un nom pour le profil tel que Google LDAP.
   3. Cliquez sur Suivant.
      
      Saisissez les informations suivantes :
      
      Hôte : ldap.google.com
      Port : 636
      Nom distinctif de base : votre nom de domaine au format DN. (par exemple, dc=example,dc=com pour example.com)
      Utiliser une connexion sécurisée (SSL) : coché
      
   4. Cliquez sur Suivant.
   5. Sélectionnez External (SSL Certificate) (Externe [certificat SSL]).
   6. Cliquez sur Suivant.
   7. Cliquez sur Terminer.

Pour savoir comment connecter Sophos Mobile au service LDAP sécurisé, consultez Connecting Sophos Mobile to Google Cloud Identity / Google Cloud Directory using Secure LDAP.

Lorsque vous connectez Splunk au service LDAP sécurisé, veillez à utiliser Splunk version 8.1.4 ou ultérieure. Lorsque vous utilisez des versions plus anciennes de Splunk, telles que la version 8.1.3, un nombre excessif de requêtes LDAP peut être envoyé au serveur LDAP, ce qui peut entraîner l'épuisement rapide de votre quota LDAP. Pour en savoir plus sur les problèmes liés à Splunk version 8.1.3, consultez Problèmes connus de Splunk.

Suivez la procédure ci-dessous :

1. Copiez les fichiers de la clé et du certificat client LDAP dans /home/splunk/splunkadmin/etc/openldap/certs/ldap-client.key et /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.crt.
   
   $ cat /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.crt /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.key > /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem

$ sudo chown $(splunkuser):$(splunkuser) /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.*

$ sudo chmod 644 /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.*
   
2. Modifiez le fichier ldap.conf en ajoutant les configurations suivantes :

   ssl start_tls
TLS_REQCERT never
TLS_CERT /home/splunkadmin/splunk/etc/openldap/certs/ldap.pem
TLS_KEY /home/splunkadmin/splunk/etc/openldap/certs/ldap.pem

3. Ajoutez les configurations suivantes dans le fichier /home/splunkadmin/.ldaprc de l'utilisateur :
   
   TLS_CERT /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem
TLS_KEY /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem
   
4. Ajoutez la stratégie LDAP à l'aide de l'interface utilisateur Web de Splunk. Saisissez les informations suivantes, puis cliquez sur Enregistrer :
   

SSSD effectue une recherche utilisateur pour obtenir plus d'informations sur celui-ci lors de son authentification. Pour vous assurer que l'authentification des utilisateurs fonctionne correctement pour ce client LDAP, vous devez activer Lire les informations utilisateur et Lire les informations sur les groupes pour toutes les unités organisationnelles où l'option Valider les identifiants utilisateur est activée. Pour en savoir plus, consultez Configurer les autorisations d'accès.

Pour connecter un client SSSD sur Red Hat 8 ou CentOS 8 au service LDAP sécurisé :

1. Ajoutez le client SSSD au service LDAP sécurisé :
   1. Dans la console d'administration Google, accédez à Applications > LDAP > AJOUTER UN CLIENT.
      Veillez à vous connecter avec votre compte professionnel, et non avec votre compte Gmail personnel.
   2. Saisissez les informations sur le client, puis cliquez sur CONTINUER.
   3. Configurez les autorisations d'accès :
      Vérifier des identifiants utilisateur : Tout le domaine
      Lire les informations relatives à l'utilisateur : Tout le domaine
      Lire les informations relatives au groupe : Activé
   4. Cliquez sur AJOUTER UN CLIENT LDAP.
   5. Téléchargez le certificat généré.
   6. Cliquez sur ACCÉDER AUX INFORMATIONS DU CLIENT.
   7. Définissez l'état du service sur ACTIVÉ.
2. Installez les dépendances :
   
   dnf install openldap-clients sssd-ldap
install -d --mode=700 --owner=sssd --group=root /etc/sssd/ldap
   
   Décompressez le fichier ZIP du certificat et copiez les fichiers .crt et .key dans /etc/sssd/ldap
   
3. (Facultatif) Testez avec ldapsearch :

   LDAPTLS_REQCERT=never \
LDAPTLS_KEY=Google.key \
LDAPTLS_CERT=Google.crt \
ldapsearch -H ldaps://ldap.google.com:636/ \
-b dc=example,dc=com \
-D usertoverify@example.com \
-W \
'(mail=usertoverify@example.com)' \
mail dn
   
   Saisissez le mot de passe Google de l'utilisateur lorsque vous y êtes invité.
   
   Remarque : L'utilisateur doit disposer d'une licence Google Workspace Enterprise ou Cloud Identity Premium.

4. Créez le fichier /etc/sssd/sssd.conf avec le contenu suivant :
   

   [sssd]
services = nss, pam
domains = example.com

   [domain/example.com]
ldap_tls_cert = /etc/sssd/ldap/Google.crt
ldap_tls_key = /etc/sssd/ldap/Google.key
ldap_tls_reqcert = never
ldap_uri = ldaps://ldap.google.com
ldap_search_base = dc=example,dc=com
id_provider = ldap
auth_provider = ldap
ldap_schema = rfc2307bis
ldap_user_uuid = entryUUID

5. Mettez à jour les autorisations et les étiquettes SELinux :
   
   chown 0:0 /etc/sssd/sssd.conf /etc/sssd/ldap/*
chmod 600 /etc/sssd/sssd.conf /etc/sssd/ldap/*
restorecon -FRv /etc/sssd
   
6. Redémarrez SSSD :
   
   systemctl restart sssd
   
7. Testez :
   
   ssh au serveur :

   ssh -l user@example.com {HOSTNAME}

Dépannage

1. Vérifiez la version de SSSD (elle doit être supérieure ou égale à 1.15.2) :
   
   # sssd --version
2.2.3
   

2. Sous RHEL/CentOS (ou toute autre distribution utilisant l'application forcée de SELinux), les fichiers de configuration et le fichier de certificat SSSD doivent se trouver dans un répertoire accessible par le rôle sssd_conf_t :

   # egrep "object_r:sssd_conf_t" /etc/selinux/targeted/contexts/files/file_contexts

   Vérifiez si le fichier /var/log/audit/audit.log contient des messages de refus de cache AVC (Access Vector Cache).
   

3. Vérifiez que /etc/nsswitch.conf contient "sss" pour les entités passwd, shadow, group et netgroup :
   
   passwd: files sss
shadow: files sss
group: files sss
netgroup: files sss
   
   Ici, les fichiers locaux remplaceront les utilisateurs LDAP.
   
4. Vérifiez si /var/log/sssd.conf contient des erreurs de configuration :
   

   Exemple :
   [sssd] [sss_ini_add_snippets] (0x0020): Config merge error: File /etc/sssd/sssd.conf did not pass access check. Skipping.

   Action : vous devez exécuter la commande chmod 600 sur le fichier .conf.

   Exemple :
   [sssd] [sss_ini_call_validators] (0x0020): [rule/allowed_domain_options]: Attribute 'ldap_groups_use_matching_rule_in_chain' is not allowed in section 'domain/{DOMAIN}'. Check for typos.

   [sssd] [sss_ini_call_validators] (0x0020): [rule/allowed_domain_options]: Attribute 'ldap_initgroups_use_matching_rule_in_chain' is not allowed in section 'domain/{DOMAIN}'. Check for typos.

   Action: Remove the unsupported group match LDAP extensions from sssd.conf.

5. Recherchez des erreurs LDAP/network/auth dans le fichier /var/log/sssd_{DOMAINE}.log.
   
   Exemple :

   [sssd[be[example.com]]] [sss_ldap_init_sys_connect_done] (0x0020): ldap_install_tls failed: [Connect error] [error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed (self signed certificate)]

   Action: You need to add "ldap_tls_reqcert = never" to sssd.conf.

   To increase verbosity of errors, add "debug_level = 9" in sssd.conf under the domain section and restart sssd.

SSSD effectue une recherche utilisateur pour obtenir plus d'informations sur celui-ci lors de son authentification. Pour vous assurer que l'authentification des utilisateurs fonctionne correctement pour ce client LDAP, vous devez activer Lire les informations utilisateur et Lire les informations sur les groupes pour toutes les unités organisationnelles où l'option Valider les identifiants utilisateur est activée. Pour en savoir plus, consultez Configurer les autorisations d'accès.

Pour connecter un client SSSD au service LDAP sécurisé :

1. Installez SSSD version >= 1.15.2.
   
   $ sudo apt-get install sssd
   
2. En supposant que vos fichiers de certificat et de clé client sont nommés /var/ldap-client.crt et /var/ldap-client.key, et que votre domaine est example.com, modifiez /etc/sssd/sssd.conf avec une configuration telle que :

   
   [sssd]
   services = nss, pam
   domains = example.com

   [domain/example.com]
   ldap_tls_cert = /var/ldap-client.crt
   ldap_tls_key = /var/ldap-client.key
   ldap_uri = ldaps://ldap.google.com
   ldap_search_base = dc=example,dc=com
   id_provider = ldap
   auth_provider = ldap
   ldap_schema = rfc2307bis
   ldap_user_uuid = entryUUID
   ldap_groups_use_matching_rule_in_chain = true
   ldap_initgroups_use_matching_rule_in_chain = true
   

3. Modifiez la propriété et l'autorisation du fichier de configuration :
   
   $ sudo chown root:root /etc/sssd/sssd.conf
$ sudo chmod 600 /etc/sssd/sssd.conf

4. Redémarrez SSSD :
   
   $ sudo service sssd restart

Conseil : Si vous utilisez le module SSSD sur des ordinateurs Linux sans adresse IP externe sur Google Compute Engine, vous pouvez toujours vous connecter au service LDAP sécurisé, à condition que l'accès interne aux services Google soit activé. Pour en savoir plus, consultez Configurer l'accès privé à Google.

Pour connecter le client macOS à des fins d'authentification du compte utilisateur à l'aide du service LDAP sécurisé, procédez comme suit :

Configuration requise

• macOS doit correspondre à la version Catalina 10.15.4 ou ultérieure.
• Un ID utilisateur super-administrateur Google est requis pour terminer l'étape 1 de la phase de préparation.
• Vous devez disposer des autorisations d'administrateur local pour effectuer cette configuration.

Sommaire :

• Phase de préparation
• Phase de déploiement
• Limites et consignes
• Dépannage

 Phase de préparation

Les instructions de cette section expliquent comment configurer et tester manuellement l'authentification macOS à l'aide du service LDAP sécurisé.

Étape 1 : Intégrez macOS en tant que client LDAP dans la console d'administration Google

Pour obtenir des instructions, consultez Ajouter des clients LDAP ou regardez cette démonstration du service LDAP sécurisé. Vous téléchargerez également un certificat client TLS généré automatiquement au cours de ce processus.

Étape 2 : Importez le certificat dans le trousseau système

1. Copiez le certificat (le fichier ZIP téléchargé à l'étape 1) et la clé sur l'ordinateur macOS.
   Conseil : Décompressez le fichier pour trouver les fichiers de certificat et de clé.
2. Importez la paire de clés dans le trousseau système :

   1. Convertissez la clé et le certificat en un fichier PKCS 12 (p12). Exécutez la commande suivante dans le terminal :
      
      openssl pkcs12 -export -out ldap-client.p12 -in ldap-client.crt -inkey ldap-client.key
      
      Conseil : Notez le nom du fichier .p12.
      
      Vous êtes invité par le système à saisir un mot de passe. Saisissez un mot de passe pour chiffrer le fichier p12.

   2. Ouvrez l'application Trousseaux d'accès.

   3. Cliquez sur le trousseau Système.

   4. Cliquez sur File > Import Items (Fichier > Importer des éléments).

   5. Sélectionnez le fichier ldap-client.p12 créé ci-dessus.

   6. Si vous y êtes invité, saisissez le mot de passe administrateur pour autoriser la modification du trousseau système.

   7. Saisissez le mot de passe que vous avez créé ci-dessus pour déchiffrer le fichier .p12.

      Remarque : Un nouveau certificat et la clé privée associée devraient s'afficher dans la liste des clés. Le nom du certificat peut être LDAP Client (Client LDAP). Notez le nom du certificat pour l'étape suivante ci-dessous.
      
   8. Suivez l'étape 6 de la section ldapsearch (macOS) de cet article pour configurer le contrôle des accès pour la clé privée afin d'ajouter les applications spécifiées ci-dessous. Si la clé privée ne s'affiche pas dans la catégorie Tous les éléments, essayez de passer à la catégorie Mes certificats et recherchez l'entrée de clé privée appropriée en développant le certificat correspondant.
      
      L'application ldapsearch, comme indiqué dans les instructions, n'est utile que si un dépannage est nécessaire, et non à d'autres fins. Il est généralement supprimé avant de donner aux utilisateurs l'accès à macOS.
      
      Les trois applications suivantes doivent être ajoutées à la liste de contrôle d'accès :
      
      /System/Library/CoreServices/Applications/Directory Utility
/usr/libexec/opendirectoryd
/usr/bin/dscl

3. Ajoutez une ligne au fichier /etc/openldap/ldap.conf, en vous assurant que "LDAP Client" correspond exactement au nom du certificat affiché dans l'application Trousseaux d'accès de macOS après l'importation du fichier .p12 (le nom provient du nom commun de l'objet X.509 du certificat généré) :
   
   sudo bash -c 'echo -e "TLS_IDENTITY\tLDAP Client" >> /etc/openldap/ldap.conf'

Étape 3 : Dirigez l'appareil vers l'annuaire Google pour l'authentification

Ouvrez l'application Utilitaire d'annuaire pour créer un nœud d'annuaire LDAP :

1. Cliquez sur le cadenas pour apporter des modifications, puis saisissez votre mot de passe.
2. Sélectionnez LDAPv3, puis cliquez sur l'icône en forme de crayon pour modifier les paramètres.
3. Cliquez sur New… (Nouveau).
4. Saisissez ldap.google.com comme nom de serveur, sélectionnez Chiffrer à l'aide de SSL, puis cliquez sur Manuel.
5. Sélectionnez le nouveau nom du serveur et cliquez sur Edit… (Modifier).
6. Saisissez un nom descriptif, tel que Google Secure LDAP, pour le nom de la configuration.
7. Sélectionnez Chiffrer à l'aide de SSL et assurez-vous que le port est défini sur 636.
8. Accédez à l'onglet Search & Mappings (Recherche et mises en correspondance).
   1. Sélectionnez RFC2307 dans la liste déroulante Accéder à ce serveur LDAPv3 à l'aide de.
   2. Lorsque vous y êtes invité, saisissez les informations du domaine dans Search Base suffix (Suffixe de base de recherche). Par exemple, saisissez dc=zomato,dc=com pour le nom de domaine zomato.com.
   3. Cliquez sur OK.
   4. Configurez les attributs sous le type d'enregistrement Utilisateurs :
      1. Dans la section Types d'enregistrements et attributs, sélectionnez Utilisateurs, puis cliquez sur le bouton +.
      2. Dans la fenêtre pop-up, choisissez Types d'attributs,sélectionnez GeneratedUID,puis cliquez sur OK pour fermer la fenêtre pop-up.
         
         GeneratedUID doit s'afficher sous "Users" (Utilisateurs) une fois développé.
         
      3. Cliquez sur le GeneratedUID, puis sur l'icône + dans la zone de droite.
      4. Saisissez apple-generateduid dans la zone de texte, puis cliquez sur Entrée.
      5. Sous le nœud Users, cliquez sur l'attribut NFSHomeDirectory.
      6. Dans l'écran de droite, remplacez la valeur de cet attribut par #/Users/$uid$
      7. Cliquez sur OK, puis saisissez votre mot de passe pour enregistrer les modifications.
9. Dans la fenêtre Utilitaire d'annuaire, configurez la nouvelle configuration LDAP :
   1. Accédez à l'onglet Règles de recherche.
   2. Cliquez sur l'icône en forme de cadenas pour apporter des modifications, puis saisissez le mot de passe de l'utilisateur actuel lorsque vous y êtes invité.
   3. Dans la liste déroulante, faites passer l'option sélectionnée de Search Path (Chemin d'accès de recherche) à Custom path (Chemin d'accès personnalisé).
   4. Ouvrez l'onglet Authentication (Authentification), puis cliquez sur l'icône +.
   5. Sélectionnez /LDAPv3/ldap.google.com dans la liste "Domaines de l'annuaire", puis cliquez sur Ajouter.
   6. Cliquez sur le bouton Appliquer, puis saisissez votre mot de passe administrateur si vous y êtes invité.
10. Exécutez les quatre commandes suivantes pour désactiver les mécanismes d'authentification DIGEST-MD5, CRAM-MD5, NTLM et GSSAPI SASL. macOS utilisera Simple Bind pour s'authentifier à l'aide du service LDAP sécurisé de Google :
    
    sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string DIGEST-MD5" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string CRAM-MD5" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string NTLM" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string GSSAPI" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist
    
11. Redémarrez pour actualiser la configuration d'OpenDirectory.

Étape 4 : Créez un compte mobile (permet de se connecter hors connexion)

Tout utilisateur Google Workspace ou Cloud Identity peut se connecter à l'aide d'un compte réseau (compte Google) à l'aide de son nom d'utilisateur et de son mot de passe. Ce processus de connexion nécessite une connexion réseau. Si un utilisateur doit se connecter avec ou sans connexion réseau, un compte mobile peut être créé. Un compte mobile vous permet d'utiliser le nom d'utilisateur et le mot de passe de votre compte réseau (compte Google) pour vous connecter, que vous soyez connecté au réseau ou non. Pour en savoir plus, consultez Créer et configurer des comptes mobiles sur Mac.

Pour créer un compte mobile pour les utilisateurs du service LDAP sécurisé :

1. Exécutez la commande suivante pour vous connecter au serveur LDAP sécurisé et configurer un chemin d'accès au répertoire d'accueil et un ou plusieurs comptes mobiles :
   
   sudo /System/Library/CoreServices/ManagedClient.app/Contents/Resources/createmobileaccount -n $uid -v
   
   Conseil : Remplacez $uid par la partie nom d'utilisateur de l'adresse e-mail associée au compte Google de l'utilisateur. Par exemple, jdupond est le nom d'utilisateur de jdupond@solarmora.com.

2. Lorsque vous êtes invité à saisir le nom d'utilisateur administrateur SecureToken, saisissez votre nom d'utilisateur administrateur, puis votre mot de passe à l'invite suivante. $uid sera alors ajouté à FileVault. Cette étape est nécessaire si le disque macOS est chiffré.

Étape 5 : (Facultatif) Définissez les préférences de l'écran de connexion

1. Accédez à Préférences Système > Utilisateurs et groupes > Options de connexion en bas à gauche.
2. Déverrouillez le cadenas en fournissant les identifiants de l'administrateur.
3. Remplacez l'option Afficher la fenêtre d'ouverture de session comme par Nom et mot de passe.

Étape 6 : Redémarrez votre appareil et connectez-vous

1. Vérifiez que l'appareil est bien connecté à Internet. Si vous n'avez pas de connexion Internet, la connexion de l'utilisateur LDAP sécurisé ne fonctionnera pas.
   Remarque : Une connexion Internet n'est nécessaire que pour la première connexion. Les connexions suivantes peuvent s'effectuer sans accès à Internet.
2. Connectez-vous à l'appareil avec le compte utilisateur configuré pour utiliser le LDAP sécurisé pour l'authentification.

 Phase de déploiement

Les instructions de cette section décrivent comment automatiser la configuration de l'appareil pour vos utilisateurs. Effectuez les étapes 1 et 2 ci-dessous sur l'appareil macOS sur lequel vous avez effectué la configuration manuelle lors de la phase de préparation.

Étape 1 : Créez un profil Mac avec un certificat à l'aide d'Apple Configurator 2

1. Installez Apple Configurator 2 sur la machine sur laquelle vous avez configuré manuellement l'authentification macOS avec le service LDAP sécurisé.
2. Ouvrez Apple Configurator 2, créez un profil, puis, dans la section "Certificate" (Certificat), cliquez sur "Configure" (Configurer) et importez le fichier .p12 généré précédemment.

   Remarque : Assurez-vous que ce fichier .p12 est protégé par un mot de passe. Saisissez ce mot de passe dans la section "Password" (Mot de passe) du certificat.

3. Enregistrez ce profil.
4. (Pour les appareils équipés de processeurs M1 ou M2, ignorez cette étape et passez à l'étape 5. ) Ouvrez ce profil dans un éditeur de texte, puis ajoutez les lignes suivantes dans le premier tag <dict> :
   
   <key>PayloadScope</key>
<string>System</string>
   
   Ces lignes ont été ajoutées, car Apple Configurator n'est pas encore compatible avec les profils macOS.
   
5. Dans le deuxième tag <dict> et parallèlement aux données de certificat, ajoutez les lignes suivantes :
   
   <key>AllowAllAppsAccess</key>
<true/>
   
   Vous aurez ainsi la garantie que ce certificat sera accessible à toutes les applications.

Étape 2 : Convertissez le fichier de configuration Directory (plist) au format XML

Au cours de cette étape, vous allez extraire toutes les configurations manuelles que vous avez effectuées à l'étape 3 de la phase de préparation dans un fichier XML. Vous pouvez utiliser ce fichier et le profil Mac créé à l'étape 1 ci-dessus pour configurer automatiquement d'autres appareils macOS.

1. Copiez le fichier /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist sur votre bureau ou ailleurs.
2. Convertissez-le au format XML pour pouvoir l'inspecter dans n'importe quel éditeur de texte. Exécutez la commande suivante dans le terminal :
   
   sudo plutil -convert xml1 <path>/ldap.google.com.plist
   
   Vous pouvez accéder au fichier en tant que <path>/ldap.google.com.plist.
   
3. Modifiez les autorisations du fichier ci-dessus afin de pouvoir ouvrir le fichier XML. Vérifiez qu'il n'est pas vide.

Étape 3 : Créez un script Python pour automatiser la configuration sur les appareils de vos utilisateurs finaux

Copiez le script Python ci-dessous et enregistrez-le en tant que fichier Python (fichier .py).

Remarque : Cet exemple de script est conçu pour être compatible avec la version 3.10.x de Python. Ce script est fourni en l'état. L'assistance Google ne peut pas vous aider pour les exemples de scripts.

Ldap_python_config.py

#!/usr/bin/python
from OpenDirectory import ODNode, ODSession, kODNodeTypeConfigure
from Foundation import NSMutableData, NSData

import os
import sys

# Reading plist
GOOGLELDAPCONFIGFILE = open(sys.argv[1], "r")
CONFIG = GOOGLELDAPCONFIGFILE.read()
GOOGLELDAPCONFIGFILE.close()

# Write the plist
od_session = ODSession.defaultSession()
od_conf_node, err = ODNode.nodeWithSession_type_error_(od_session, kODNodeTypeConfigure, None)
request = NSMutableData.dataWithBytes_length_(b' '*32, 32)
request.appendData_(NSData.dataWithBytes_length_(str.encode(CONFIG), len(CONFIG)))
response, err = od_conf_node.customCall_sendData_error_(99991, request, None)

# Edit the default search path and append the new node to allow for login
os.system("dscl -q localhost -append /Search CSPSearchPath /LDAPv3/ldap.google.com")
os.system("bash -c 'echo -e \"TLS_IDENTITY\tLDAP Client\" >> /etc/openldap/ldap.conf' ")

Étape 4 : Configurez automatiquement les appareils des utilisateurs finaux

Accédez aux autres appareils macOS que vous souhaitez configurer, puis procédez comme suit :

1. Copiez le fichier de profil Mac généré à l'étape 1, le fichier de configuration XML généré à l'étape 2 et le script Python de l'étape 3 sur l'appareil.
2. Pour installer la dépendance nécessaire au script, exécutez la commande suivante :
   python3 -m pip install pyobjc-framework-opendirectory
3. Exécutez la commande suivante :
   sudo python </path/to/saved_python_script> </path/to/ldap.google.com.plist generated in step 2>
4. Pour importer des certificats dans le trousseau système de macOS, double-cliquez sur le fichier de profil Mac généré à l'étape 1, puis saisissez vos identifiants d'administrateur local macOS lorsque vous y êtes invité. Vous serez ensuite invité à saisir le mot de passe .p12 que vous avez défini lors de la phase de préparation.
5. Redémarrez l'ordinateur macOS.
6. Créez des comptes mobiles comme indiqué à l'étape 4 de la phase de préparation, et définissez éventuellement des préférences supplémentaires comme indiqué à l'étape 5 de la phase de préparation.

 Limites et consignes

• Pour les utilisateurs qui se connectent à macOS à l'aide de leurs identifiants Google, le nom d'utilisateur de leur compte Workspace doit être différent de l'ID utilisateur de leur profil utilisateur macOS, sans quoi la connexion est bloquée.
• Lorsqu'un utilisateur commence à se connecter à macOS à l'aide des identifiants Google, la gestion des mots de passe utilisateur (réinitialisation ou récupération) doit se faire depuis le site Web Google (par exemple, à l'adresse myaccount.google.com ou dans la console d'administration Google). Si vous choisissez de gérer les mots de passe à l'aide d'une solution tierce, assurez-vous que le dernier mot de passe est synchronisé avec Google.
• Si l'administrateur crée un nouvel utilisateur ou réinitialise le mot de passe d'un utilisateur existant avec le paramètre Exiger la modification du mot de passe à la prochaine connexion activé, l'utilisateur ne peut pas se connecter à Mac à l'aide du mot de passe temporaire défini par l'administrateur.
  Solution : l'utilisateur doit se connecter à Google à l'aide d'un autre appareil (par exemple, son appareil mobile ou un autre ordinateur), définir un mot de passe permanent, puis se connecter à macOS à l'aide du nouveau mot de passe.
• La connexion Internet de l'appareil mac doit être opérationnelle, de sorte que l'adresse ldap.google.com soit accessible lors de la première connexion après la configuration ci-dessus. Les connexions ultérieures ne nécessitent pas d'accès à Internet si vous avez configuré un compte mobile.
• L'intégration du service LDAP sécurisé Google avec macOS est testée sur macOS Catalina, Big Sur et Monterey.

 Dépannage

Si vous rencontrez des problèmes pour vous connecter au service LDAP sécurisé, suivez les instructions ci-dessous.

Étape 1 : Vérifiez la connexion.

Vérifiez la connexion à l'aide de "odutil".
Exécutez la commande odutil show nodenames dans le terminal.
Vérifiez que l'état de /LDAPv3/ldap.google.com est en ligne. S'il n'est pas en ligne, essayez l'option "telnet".

Vérifiez la connexion à l'aide de "nc".
Exécutez la commande suivante dans le terminal : nc -zv ldap.google.com 636
Si vous ne parvenez pas à vous connecter à Google de cette manière, essayez de vous connecter en utilisant IPv4.

Vérifiez la connexion avec IPv4.
Vous pouvez modifier la configuration de votre appareil pour qu'il utilise le protocole IPv4 en procédant comme suit :

1. Accédez à System Preferences > Network > Wi-Fi > Advanced (Préférences système > Réseau > Wi-Fi > Avancé).
2. Dans le menu "Advanced" (Avancé), accédez à l'onglet TCP/IP.
3. Remplacez la sélection du menu déroulant Configurer IPv6 par Lien local uniquement.
4. Cliquez sur OK, puis sur Appliquer pour enregistrer les modifications.
5. Vérifiez l'authentification du service via une connectivité ldapsearch et une recherche valide.

Étape 2 : Vérifiez si vous pouvez voir les objets de l'annuaire.

1. Ouvrez Utilitaire d'annuaire, puis l'onglet Éditeur d'annuaire.
2. Sélectionnez le nœud /LDAPv3/ldap.google.com dans la liste déroulante.
3. Vérifiez si vous pouvez voir les utilisateurs et les groupes de votre domaine Google.