4. LDAP-clients koppelen aan de Secure LDAP-service

Volg deze stappen:

1. Volg stap 1-11 in ldp.exe (Windows) om de clientcertificaten te installeren.
2. Ga naar Action > Connect to… (Actie > Koppelen aan).
3. Voer de volgende verbindingsinstellingen in:
   
   Naam: Typ een naam voor de verbinding, zoals Google LDAP.
   Verbindingspunt: Selecteer of typ een DN of naamgevingscontext
   Voer uw domeinnaam in DN-indeling in (bijvoorbeeld dc=example,dc=com voor example.com).
   
   Computer: Selecteer of typ een domein of server
   ldap.google.com
   
   Op SSL gebaseerde versleuteling gebruiken: Aangevinkt
   
4. Klik op Advanced... (Geavanceerd...) en voer de volgende gegevens in:
   
   Specify credentials: (Inloggegevens invoeren:) Aangevinkt
   Username: (Gebruikersnaam:) De gebruikersnaam van de inloggegevens uit de Beheerdersconsole
   Password: (Wachtwoord:) Het wachtwoord van de inloggegevens uit de Beheerdersconsole
   Port Number: (Poortnummer:) 636
   Protocol: (Protocol:) LDAP
   Simple bind authentication: (Eenvoudige bind-verificatie:) Aangevinkt
   
5. Klik op OK en klik nogmaals op OK.
6. Als de koppeling is geslaagd, wordt de Active Directory-content in de base DN weergegeven in het rechtervenster.

Als u Apache Directory Studio wilt gebruiken, maakt u verbinding via stunnel en gebruikt u toegangsgegevens (gebruikersnaam en wachtwoord) die zijn gegenereerd in de Google Beheerdersconsole. Als de inloggegevens zijn ingesteld en stunnel luistert op localhost-poort 1389, volgt u deze stappen:

1. Klik op File > New… (Bestand > Nieuw).
2. Selecteer LDAP Browser > LDAP Connection (LDAP-browser > LDAP-verbinding).
3. Klik op Next (Volgende).
4. Voer de verbindingsparameters in:
   
   Verbindingsnaam: Kies een naam, zoals Google LDAP
   Hostnaam: localhost
   Poort: 1389 (of de stunnel-luister-/acceptatiepoort)
   Versleutelingsmethode: Geen versleuteling (Opmerking: Als stunnel op afstand wordt uitgevoerd, raden we u aan versleuteling tussen stunnel en de client te gebruiken.)
   
5. Klik op Next (Volgende).
6. Voer de verificatieparameters in:
   
   Verificatiemethode: Eenvoudige verificatie
   Bind DN of gebruiker: De gebruikersnaam van de inloggegevens uit de Beheerdersconsole
   Bind-wachtwoord: Het wachtwoord van de inloggegevens uit de Beheerdersconsole
   
7. Klik op Next (Volgende).
8. Voer de base DN in.
   Dit is uw domeinnaam in DN-indeling (dc=example,dc=com voor example.com).
9. Klik op Voltooien.

Atlassian Jira voert een gebruikerszoekopdracht uit om meer informatie over een gebruiker te krijgen tijdens de gebruikersverificatie. U moet Gebruikersgegevens lezen en Groepsgegevens lezen aanzetten voor alle organisatie-eenheden waarvoor Inloggegevens van gebruiker controleren aanstaat, om te zorgen dat de gebruikersverificatie correct wordt uitgevoerd voor deze LDAP-client. (Zie Toegangsrechten instellen voor instructies.)

Belangrijk: Als u deze instructies volgt, kan keystorePassword mogelijk worden gezien door gebruikers en in logbestanden. Neem voorzorgsmaatregelen om onbevoegde toegang tot de lokale shell, het logbestand en de Google Beheerdersconsole te voorkomen. Als alternatief voor deze instructies kunt u de stunnel4-methode gebruiken (zie Optioneel: Stunnel gebruiken als proxy).

Opmerking: In de volgende instructies gaan we ervan uit dat Jira is geïnstalleerd in /opt/atlassian/jira.

Zo koppelt u een Atlassian Jira-client aan de Secure LDAP-service:

1. Kopieer het certificaat en de sleutel naar uw Jira-server(s). (Dit is het certificaat dat wordt gegenereerd in de Google Beheerdersconsole wanneer u de LDAP-client toevoegt aan de Secure LDAP-service.)
   
   Bijvoorbeeld:
   $ scp ldap-client.key user@jira-server:
   
2. Converteer het certificaat en de sleutels naar de Java keystore-indeling. Tijdens dit proces wordt u om wachtwoorden gevraagd. Stel een veilig wachtwoord in en gebruik hetzelfde wachtwoord elke keer als u daarom wordt gevraagd, om het eenvoudiger te maken.
   
   $ openssl pkcs12 -export -out jira-ldap.pkcs12 -in ldap-client.crt -inkey ldap-client.key

$ sudo /opt/atlassian/jira/jre/bin/keytool -v -importkeystore -srckeystore jira-ldap.pkcs12 -srcstoretype PKCS12 -destkeystore /opt/atlassian/jira/jira-ldap.jks -deststoretype JKS
   
3. Stel Jira in zodat de net gemaakte keystore wordt gebruikt. Volg deze instructies om opties toe te voegen:
   
   "-Djavax.net.ssl.keyStore=/opt/atlassian/jira/jira-ldap.jks -Djavax.net.ssl.keyStorePassword=password"
   
   In Linux:
   1. Bewerk /opt/atlassian/jira/bin/setenv.sh.
   2. Zoek de instelling JVM_SUPPORT_RECOMMENDED_ARGS.
   3. Voeg '-Djavax.net.ssl.keyStore=/opt/atlassian/jira/jira-ldap.jks -Djavax.net.ssl.keyStorePassword=password' toe en vervang 'password' door het wachtwoord dat u hierboven heeft geselecteerd.
4. Start Jira opnieuw op.
   
   $ /opt/atlassian/jira/bin/stop-jira.sh
$ /opt/atlassian/jira/bin/start-jira.sh
   
5. Log als beheerder in bij de Jira-webinterface.
   1. Ga naar Instellingen > Gebruikersbeheer. (U vindt Settings onder het tandwielpictogram rechtsboven.)
   2. Klik op User Directories (Gebruikersdirectory's).
   3. Klik op Directory toevoegen.
   4. Kies LDAP als type.
   5. Klik op Next (Volgende).
6. Voer de volgende gegevens in:

   Name (Naam)	Google Secure LDAP
   Directory type (Directorytype)	OpenLDAP
   Hostname (Hostnaam)	ldap.google.com
   Port (Poort)	636
   Use SSL (SSL gebruiken)	Aangevinkt
   Username (Gebruikersnaam)	Genereer een gebruikersnaam en wachtwoord in de Google-beheerdersconsole. Zie Toegangsgegevens maken voor instructies.
   Password (Wachtwoord)	Genereer een gebruikersnaam en wachtwoord in de Google-beheerdersconsole. Zie Toegangsgegevens maken voor instructies.
   Base DN	Uw domeinnaam in DN-indeling (bijvoorbeeld dc=example,dc=com voor example.com)
   Additional User DN (Aanvullende gebruikers-DN)	Optioneel. "ou=Users"
   Additional Group DN (Aanvullende groeps-DN)	Optioneel. "ou=Groups"
   LDAP Permissions (LDAP-rechten)	Read only (Alleen-lezen)
   Advanced Settings (Geavanceerde instellingen)	Ongewijzigd
   User Schema Settings (Instellingen voor gebruikersschema) > User Name Attribute (Kenmerk gebruikersnaam)	googleUid
   User Schema Settings (Instellingen voor gebruikersschema) > User Name RDN Attribute (RDN-kenmerk gebruikersnaam)	uid
   Group Schema Settings (Instellingen voor groepsschema) > Group Object Class (Klasse groepsobject)	groupOfNames (groepmetnamen)
   Group Schema Settings (Instellingen voor groepsschema)> Group Object Filter (Filter groepsobject)	(objectClass=groupOfNames)
   Membership Schema Settings (Instellingen voor lidmaatschapsschema) > Group Members Attribute (Kenmerk groepsleden)	member (lid)
   Membership Schema Settings (Instellingen voor lidmaatschapsschema) > Use the User Membership Attribute (Het kenmerk Gebruikerslidmaatschap gebruiken)	Aangevinkt

7. Geef een rol aan een groep.
   
   Voordat Atlassian Jira een gebruiker toestaat in te loggen, moet die gebruiker lid zijn van een groep die toegang heeft tot Jira.
   
   Ga als volgt te werk om een rol te geven aan een groep:
   1. Ga naar Settings > Applications > Application access (Instellingen > Apps > App-toegang).
   2. Voer in het tekstvak Groep selecteren de naam in van de Google-groep die u toegang wilt geven tot Jira.

Zie Configure CloudBees Core with Google's Cloud Identity Secure LDAP (CloudBees Core configureren met Secure LDAP van Cloud Identity van Google) voor instructies om CloudBees Core te koppelen aan de Secure LDAP-service.

Volg deze stappen:

1. Installeer en configureer FreeRADIUS op /etc/freeradius/3.0/.
   
   Nadat FreeRADIUS is geïnstalleerd, kunt u de LDAP-configuratie toevoegen door de plug-in freeradius-ldap te installeren.
   
   $ sudo apt-get install freeradius freeradius-ldap
   
2. Kopieer de sleutel- en certificaatbestanden van de LDAP-client naar respectievelijk /etc/freeradius/3.0/certs/ldap-client.key en /etc/freeradius/3.0/certs/ldap-client.crt.
   
   $ chown freeradius:freeradius
/etc/freeradius/3.0/certs/ldap-client.*
$ chmod 640 /etc/freeradius/3.0/certs/ldap-client.*
   
3. Zet de LDAP-module aan.
   
   $ cd /etc/freeradius/3.0/mods-enabled/
$ ln -s ../mods-available/ldap ldap
   
4. Bewerk /etc/freeradius/3.0/mods-available/ldap.
   1. ldap->server = 'ldaps://ldap.google.com:636'
   2. identity = gebruikersnaam van de app-gegevens
   3. password = wachtwoord van de app-gegevens
   4. base_dn = 'dc=domain,dc=com'
   5. tls->start_tls = no
   6. tls->certificate_file = /etc/freeradius/3.0/certs/ldap-client.cer
   7. tls->private_key_file = /etc/freeradius/3.0/certs/ldap-client.key
   8. tls->require_cert = 'allow'
   9. Vul alle velden in de broodkruimel van het gedeelte 'ldap -> post-auth -> update' in
5. Bewerk /etc/freeradius/3.0/sites-available/default.
   Hiermee wordt de FreeRADIUS-clientkoppeling gewijzigd. Als u niet de standaardclient gebruikt, moet u de relevante client (inner-tunnel of een aangepaste client) updaten die u heeft ingesteld.
   
   1. Wijzig het gedeelte authorize om het volgende blok onderaan toe te voegen na de instructie voor het wachtwoordverificatieprotocol (PAP):
      
      if (User-Password) {
update control {
Auth-Type := ldap
}
}
      
   2. Zet in het gedeelte authorize LDAP aan door het minteken ervoor te verwijderen.
      
      #
      # De ldap-module leest wachtwoorden uit de LDAP-database.
      ldap
      
   3. Wijzig het gedeelte authenticate door het blok Auth-Type LDAP als volgt te bewerken:
      
      # Auth-Type LDAP {
ldap
# }
      
   4. Wijzig het gedeelte authenticate door het blok Auth-Type PAP als volgt te bewerken:
      
      Auth-Type PAP {
# pap
ldap
}

Zie Configure Google Secure LDAP for GitLab (Google Secure LDAP configureren voor GitLab) voor instructies om GitLab te koppelen aan de Secure LDAP-service.

Ga naar Configuring Google Cloud Identity LDAP on Ubuntu 16.04 for user logins (Google Cloud Identity LDAP instellen op Ubuntu 16.04 voor inloggen door gebruikers) voor instructies om Itopia/Ubuntu te koppelen aan de Secure LDAP-service.

Volg deze stappen:

1. Open op de Ivanti-webserver OpenLDAPAuthenticationConfiguration.xml of OpenLDAPSSLAuthenticationConfiguration.xml in een teksteditor in beide van de volgende mappen:
   
   C:\ProgramData\LANDesk\ServiceDesk\servicedesk.Framework en C:\ProgramData\LANDesk\ServiceDesk\servicedesk.WebAccess (waarbij servicedesk de naam van de instantie is)
2. Update de waarde <Server> naar ldap.google.com.
3. Update de waarde <Port> naar poort 3268 voor platte tekst met StartTLS aan en naar 3269 voor de SSL/TLS-poort (de standaardwaarden zijn 389 voor de platte-tekstpoort of 636 voor de SSL/TLS-poort).
4. Stel de waarde <TestDN> in op je domeinnaam in DN-indeling. (bijvoorbeeld dc=example,dc=com voor example.com).
5. Voeg aan zowel ..ProgramData\LANDesk\ServiceDesk\ServiceDesk.Framework\tps.config als ..ProgramData\LANDesk\ServiceDesk\WebAccess\tps.config de volgende regel toe:
   
   <add key="AuthenticationProvider" value="Touchpaper.Integrations.OpenLDAPLogon.OpenLDAPAuthenticationProvider" />
   
   of de regel:
   
   <add key="AuthenticationProvider" value="Touchpaper.Integrations.OpenLDAPSSLLogon.OpenLDAPSSLAuthenticationProvider" />
   
6. Open de vereiste instantie in het Ivanti Configuration Center.
7. Klik naast de app Service Desk Framework op Edit (Bewerken).
   Het venster Edit Application (App bewerken) wordt weergegeven voor Service Desk Framework.
8. Selecteer in de groep Configuration parameters (Configuratieparameters) de optie Explicit only (Alleen expliciet) in de lijst Logon policy (Inlogbeleid) en klik op OK.
9. Klik naast de Web Access-app op Bewerken.
   Het venster Edit Application (App bewerken) wordt weergegeven voor Web Access.
10. Selecteer in de groep Configuratieparameters de optie Alleen expliciet in de lijst Inlogbeleid en klik op OK.

Gebruik bij het inloggen het netwerkwachtwoord van de bijbehorende domeingebruiker.

Uitzonderingsregistratie voor LDAP-serververificatie

Als u problemen ondervindt bij het instellen van LDAP-serververificatie, kunt u uitzonderingslogboeken aanzetten om het probleem te identificeren. Dit staat standaard uit. We raden u aan exceptielogboeken weer uit te zetten wanneer u klaar bent met het onderzoek.

Zo zet je uitzonderingslogboekregistratie aan voor LDAP-serververificatie:

1. Open het juiste XML-bestand voor de verificatieconfiguratie in een teksteditor:
   
   DirectoryServiceAuthenticationConfiguration.xml, OpenLDAPAuthenticationConfiguration.xml of OpenLDAPSSLAuthenticationConfiguration.xml
2. Wijzig de regel:
   
   <ShowExceptions>false</ShowExceptions>
   in
   <ShowExceptions>true</ShowExceptions>
   
3. Sla de wijzigingen op.

Volg deze stappen:

1. Converteer de certificaat- en sleutelbestanden naar één bestand in PKCS12-indeling. Voer in een opdrachtprompt het volgende in:
   
   Gebruik de volgende opdrachten als u macOS of Linux gebruikt:
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Voer een wachtwoord in om het uitvoerbestand te versleutelen.
   

   Gebruik de volgende opdrachten in Windows:

   $ certutil -mergepfx ldap-client.crt ldap-client.p12
   
   Belangrijk: De 2 bestanden (<CERT_FILE>.crt en <CERT_FILE>.key) moeten zich in dezelfde directory bevinden. Zorg ook dat zowel key als crt dezelfde naam hebben (met een andere extensie). In dit voorbeeld gebruiken we de namen ldap-client.crt en ldap-client.key.

2. Ga naar het configuratiescherm.
3. Zoek in het zoekvak naar certificaat en klik op Gebruikerscertificaten beheren.
4. Ga naar Action > All Tasks > Import… (Actie > Alle taken > Importeren).
5. Selecteer Current User (Huidige gebruiker) en klik op Next (Volgende).
6. Klik op Browse… (Browsen).
7. Selecteer in het dropdownmenu file type (bestandstype) rechtsonder in het dialoogvenster de optie Personal Information Exchange (*.pfx;*.p12).
8. Selecteer het bestand ldap-client.p12 uit stap 2, klik op Openen en klik op Volgende.
9. Voer het wachtwoord in uit stap 2 en klik op Next (Volgende).
10. Selecteer het certificaatarchief Persoonlijk, klik op Volgende en dan op Voltooien.
11. Voer Ldp.exe uit.
12. Ga naar Verbinding > Verbinden...
13. Voer de volgende verbindingsgegevens in:
    
    Server: ldap.google.com
    Port (Poort): 636
    Connectionless (Verbindingsloos): Niet aangevinkt
    SSL: Aangevinkt
    
14. Klik op OK.
15. Ga naar View > Tree (Weergave > Structuur).
16. Voer de base DN in. Dit is uw domeinnaam in DN-indeling (bijvoorbeeld dc=example,dc=com voor example.com).
17. Klik op OK.
18. Als de verbinding is geslaagd, toont LDP.exe de Active Directory-content, zoals alle kenmerken die aanwezig zijn in de Base DN, in het rechterdeelvenster.

Ga naar Configuring Google Cloud Identity as an Authentication Source (Google Cloud Identity instellen als verificatiebron) voor instructies om Netgate/pfSense te koppelen aan de Secure LDAP-service.

U kunt de OpenLDAP-opdracht ldapsearch gebruiken om uw LDAP-directory te openen via de opdrachtregel.

Stel dat uw clientcertificaat en sleutelbestanden ldap-client.crt en ldap-client.key zijn, uw domein example.com is en de gebruikersnaam jsmith is:

$ LDAPTLS_CERT=ldap-client.crt LDAPTLS_KEY=ldap-client.key ldapsearch -H ldaps://ldap.google.com -b dc=example,dc=com '(uid=jsmith)'

Hiermee worden de relevante omgevingsvariabelen ingesteld om naar de clientsleutels te verwijzen. U kunt de andere ldapsearch-opties vervangen door de gewenste filters, aangevraagde kenmerken etc. Ga naar de ldapsearch-man-pagina's ('man ldapsearch') voor meer informatie.

Volg deze stappen:

1. Converteer de certificaat- en sleutelbestanden naar één bestand in PKCS12-indeling. Voer in een opdrachtprompt het volgende in:
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Voer uw wachtwoord in om het uitvoerbestand te versleutelen.
   
2. Klik rechtsboven in de menubalk op en typ Sleutelhangertoegang.
3. Open de app Sleutelhangertoegang en klik in de lijst aan de linkerkant op Systeem.
4. Klik op de optie Bestand in de menubalk linksboven en selecteer Items importeren.
5. Ga naar de locatie met het gegenereerde bestand ldap-client.p12, selecteer ldap-client.p12 en klik op Openen.
   Voer uw wachtwoord in als daarom wordt gevraagd.
   Er staat nu een certificaat met de naam LDAP-client in de lijst met certificaten in de systeemsleutelhanger.
6. Klik op de pijl naast het certificaat 'LDAP Client'. Daaronder staat een privésleutel.
   1. Dubbelklik op de privésleutel.
   2. Selecteer in het dialoogvenster het tabblad Toegangsbeheer en klik linksonder op +.

   3. Typ in het venster dat wordt geopend Command+Shift+G om een nieuw venster te openen en vervang de bestaande tekst door /usr/bin/ldapsearch.

   4. Klik op Go (Ga).
      
      Er wordt een venster geopend waarin 'ldapsearch' is gemarkeerd.

   5. Klik op Toevoegen.

   6. Klik op Wijzigingen opslaan en voer je wachtwoord in als hierom wordt gevraagd.
      
      U kunt nu de LDAP-directory openen vanaf de opdrachtregel met de opdracht 'OpenLDAP ldapsearch'.

7. Stel dat het bestand ldap-client.p12 dat u eerder in de sleutelhanger heeft geïmporteerd de naam LDAP-client heeft, uw domein example.com is en de gebruikersnaam jsmith is. Voer dan het volgende in:
   
   $ LDAPTLS_IDENTITY="LDAP Client" ldapsearch -H ldaps://ldap.google.com:636 -b dc=example,dc=com '(uid=jsmith)'

Hierdoor worden de relevante omgevingsvariabelen zo ingesteld dat deze wijzen naar het geïmporteerde clientcertificaat. U kunt de andere ldapsearch-opties vervangen door de gewenste filters, aangevraagde kenmerken etc. Bekijk voor meer informatie de man-pagina's van ldapsearch (man ldapsearch).

Volg deze stappen:

1. Installeer en stel OpenVPN in. Als u dit al heeft gedaan, gaat u naar de instellingenpagina van OpenVPN.
   
   Algemene VPN-configuratie wordt niet behandeld in dit Help-artikel. Nadat de VPN is ingesteld, kunt u gebruikersverificatie en -autorisatie via LDAP toevoegen. Je moet met name de plug-in openvpn-auth-ldap installeren.
   
   $ sudo apt-get install openvpn openvpn-auth-ldap
   
2. Kopieer de sleutel- en certificaatbestanden van de LDAP-client naar /etc/openvpn/ldap-client.key en /etc/openvpn/ldap-client.crt.
3. Maak een bestand, /etc/openvpn/auth-ldap.conf, met de volgende inhoud (ervan uitgaande dat example.com de domeinnaam is):
   
   <LDAP>
URL ldaps://ldap.google.com:636 #
Timeout 15
TLSEnable false
TLSCACertDir /etc/ssl/certs
TLSCertFile /etc/openvpn/ldap-client.crt
TLSKeyFile /etc/openvpn/ldap-client.key
</LDAP>
<Authorization>
BaseDN "dc=example,dc=com"
SearchFilter "(uid=%u)" # (or choose your own LDAP filter for users)
RequireGroup false
</Authorization>
   
4. Bewerk het configuratiebestand van OpenVPN. Dit heeft vaak een naam als /etc/openvpn/server.conf. Voeg onderaan het bestand het volgende toe:
   
   plugin /usr/lib/openvpn/openvpn-auth-ldap.so /etc/openvpn/auth-ldap.conf
verify-client-cert optional
   
5. Start de OpenVPN-server opnieuw op.
   
   $ sudo systemctl restart openvpn@server
   
6. Stel de VPN-clients zo in dat ze de gebruikersnamen en wachtwoorden van de gebruikers gebruiken. In een OpenVPN-clientconfiguratie voeg je bijvoorbeeld auth-user-pass toe aan het einde van het OpenVPN-clientconfiguratiebestand en start je de OpenVPN-client:
   
   $ openvpn --config /path/to/client.conf
   
7. Volg de instructies voor stunnel gebruiken als proxy.

Ga naar Configuring Google Secure LDAP with OpenVPN Access Server (Google Secure LDAP instellen met OpenVPN Access Server) voor instructies om OpenVPN Access Server te koppelen aan de Secure LDAP-service.

Ga naar How to sync and authenticate Google Workspace and Google Cloud Identity users in PaperCut (Google Workspace- en Google Cloud Identity-gebruikers synchroniseren en verifiëren in PaperCut) voor instructies om PaperCut te koppelen aan de Secure LDAP-service.

Zie Google Cloud Directory for PE (Google Coud-directory voor PE) voor instructies om Puppet Enterprise te koppelen aan de Secure LDAP-service.

Belangrijk: Zorg voordat u begint dat u Softerra LDAP Browser met versienummer 4.5 (4.5.19808.0) of hoger heeft geïnstalleerd. Ga naar LDAP Browser 4.5.

Volg deze stappen:

1. Converteer de certificaat- en sleutelbestanden naar één bestand in PKCS12-indeling. Voer in een opdrachtprompt het volgende in:
   
   Gebruik de volgende opdrachten als u macOS of Linux gebruikt:
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Voer een wachtwoord in om het uitvoerbestand te versleutelen.
   

   Gebruik de volgende opdrachten in Windows:

   $ certutil -mergepfx ldap-client.crt ldap-client.p12
   
   Belangrijk: De 2 bestanden (<CERT_FILE>.crt en <CERT_FILE>.key) moeten zich in dezelfde directory bevinden. Zorg ook dat zowel key als crt dezelfde naam hebben (met een andere extensie). In dit voorbeeld gebruiken we de namen ldap-client.crt en ldap-client.key.

2. Installeer het sleutelpaar in de Softerra LDAP Browser.
   1. Ga naar Tools > Certificate Manager (Tools > Certificaatbeheer).
   2. Klik op Import… (Importeren).
   3. Klik op Next (Volgende).
   4. Klik op Browse… (Browsen).
   5. Selecteer in het dropdownmenu Bestandstype rechtsonder in het dialoogvenster de optie Personal Information Exchange (*.pfx;*.p12).
   6. Selecteer het bestand ldap-client.p12 uit stap 2 hierboven.
   7. Klik op Open (Openen) en klik op Next (Volgende).
   8. Voer het wachtwoord in uit stap 2 hierboven en klik op Next (Volgende).
   9. Selecteer de certificaatopslag Persoonlijk.
   10. Klik op Next (Volgende).
   11. Klik op Voltooien.
3. Voeg een serverprofiel toe.
   1. Ga naar Bestand > Nieuw > Nieuw profiel…
   2. Voer een naam in voor het profiel, zoals Google LDAP.
   3. Klik op Next (Volgende).
      
      Voer het volgende in:
      
      Host: ldap.google.com
      Poort: 636
      Base DN: Uw domeinnaam in DN-indeling. (bijv. dc=example,dc=com voor example.com)
      Beveiligde verbinding (SSL) gebruiken: Aangevinkt
      
   4. Klik op Next (Volgende).
   5. Selecteer External (SSL Certificate) (Extern (SSL-certificaat)).
   6. Klik op Next (Volgende).
   7. Klik op Voltooien.

Ga naar Connecting Sophos Mobile to Google Cloud Identity / Google Cloud Directory using Secure LDAP (Sophos Mobile koppelen aan Google Cloud Identity/Google Cloud-directory met Secure LDAP) voor instructies om Sophos Mobile te koppelen aan de Secure LDAP-service.

Als u Splunk koppelt aan de Secure LDAP-service, moet u Splunk-versie 8.1.4 of hoger gebruiken. Als u oudere Splunk-versies gebruikt, zoals Splunk-versie 8.1.3, kunnen er overmatige LDAP-query's naar de LDAP-server worden gestuurd. Hierdoor kan uw LDAP-quotum snel worden overschreden. Ga naar Bekende problemen met Splunk voor meer informatie over problemen met Splunk-versie 8.1.3.

Volg deze stappen:

1. Kopieer de sleutel- en certificaatbestanden van de LDAP-client naar /home/splunk/splunkadmin/etc/openldap/certs/ldap-client.key en /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.crt.
   
   $ cat /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.crt /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.key > /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem

$ sudo chown $(splunkuser):$(splunkuser) /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.*

$ sudo chmod 644 /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.*
   
2. Bewerk het bestand ldap.conf en voeg de volgende instellingen toe:

   ssl start_tls
TLS_REQCERT never
TLS_CERT /home/splunkadmin/splunk/etc/openldap/certs/ldap.pem
TLS_KEY /home/splunkadmin/splunk/etc/openldap/certs/ldap.pem

3. Voeg de volgende configuraties toe aan het bestand /home/splunkadmin/.ldaprc van de gebruiker:
   
   TLS_CERT /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem
TLS_KEY /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem
   
4. Voeg de LDAP-strategie toe via de web-UI van Splunk. Voer de volgende gegevens in en klik op Opslaan:
   

SSSD voert een zoekactie uit naar een gebruiker om meer informatie te krijgen tijdens de verificatie. U moet Gebruikersgegevens lezen en Groepsgegevens lezen aanzetten voor alle organisatie-eenheden waarvoor Inloggegevens van gebruiker controleren aanstaat, om te zorgen dat de gebruikersverificatie correct wordt uitgevoerd voor deze LDAP-client. (Zie Toegangsrechten instellen voor instructies.)

Zo koppelt u een SSSD-client op Red Hat 8 of CentOS 8 aan de Secure LDAP-service:

1. Voeg de SSSD-client toe aan de Secure LDAP-service:
   1. Ga in de Google Beheerdersconsole naar Apps > LDAP > CLIENT TOEVOEGEN.
      Log in met uw bedrijfsaccount, niet met uw persoonlijke Gmail-account.
   2. Voer de clientgegevens in en klik op DOORGAAN.
   3. Configureer de Toegangsrechten:
      Inloggegevens van gebruiker controleren: hele domein
      Gebruikersgegevens lezen: hele domein
      Groepsgegevens lezen: ingeschakeld
   4. Klik op LDAP-CLIENT TOEVOEGEN.
   5. Download het gemaakte certificaat.
   6. Klik op VERDER NAAR CLIENTDETAILS.
   7. Wijzig de servicestatus in Aangezet.
2. Installeer afhankelijkheden:
   
   dnf install openldap-clients sssd-ldap
install -d --mode=700 --owner=sssd --group=root /etc/sssd/ldap
   
   Pak het zip-bestand van het certificaat uit en kopieer de .crt- en .key-bestanden naar /etc/sssd/ldap
   
3. (Optioneel) Test met ldapsearch:

   LDAPTLS_REQCERT=never \
LDAPTLS_KEY=Google.key \
LDAPTLS_CERT=Google.crt \
ldapsearch -H ldaps://ldap.google.com:636/ \
-b dc=example,dc=com \
-D usertoverify@example.com \
-W \
'(mail=usertoverify@example.com)' \
mail dn
   
   Voer het Google-wachtwoord van de gebruiker in als daarom wordt gevraagd.
   
   Opmerking: De gebruiker moet een Google Workspace Enterprise- of Cloud Identity Premium-licentie hebben.

4. Maak het bestand /etc/sssd/sssd.conf met de volgende content:
   

   [sssd]
services = nss, pam
domains = example.com

   [domain/example.com]
ldap_tls_cert = /etc/sssd/ldap/Google.crt
ldap_tls_key = /etc/sssd/ldap/Google.key
ldap_tls_reqcert = never
ldap_uri = ldaps://ldap.google.com
ldap_search_base = dc=example,dc=com
id_provider = ldap
auth_provider = ldap
ldap_schema = rfc2307bis
ldap_user_uuid = entryUUID

5. Update de rechten en SELinux-labels:
   
   chown 0:0 /etc/sssd/sssd.conf /etc/sssd/ldap/*
chmod 600 /etc/sssd/sssd.conf /etc/sssd/ldap/*
restorecon -FRv /etc/sssd
   
6. Start SSSD opnieuw op:
   
   systemctl restart sssd
   
7. Test:
   
   ssh to server:

   ssh -l user@example.com {HOSTNAME}

Problemen oplossen

1. Controleer de SSSD-versie (moet hoger zijn dan of gelijk zijn aan 1.15.2):
   
   # sssd --version
2.2.3
   

2. Op RHEL/CentOS (of een distro waarvoor SELinux wordt afgedwongen) moeten de SSSD-configuratiebestanden, het certificaatbestand en de certificaatsleutel zich in een directory bevinden die toegankelijk is via de rol sssd_conf_t:

   # egrep "object_r:sssd_conf_t" /etc/selinux/targeted/contexts/files/file_contexts

   Controleer of er AVC-weigeringsberichten staan in /var/log/audit/audit.log.
   

3. Controleer of /etc/nsswitch.conf 'sss' bevat voor de entiteiten passwd, shadow, group en netgroup:
   
   passwd: files sss
shadow: files sss
group: files sss
netgroup: files sss
   
   Hier overschrijven lokale bestanden LDAP-gebruikers.
   
4. Controleer /var/log/sssd.conf op configuratiefouten:
   

   Voorbeeld:
   [sssd] [sss_ini_add_snippets] (0x0020): Config merge error: File /etc/sssd/sssd.conf did not pass access check. Skipping.

   Actie: Voer chmod 600 uit voor het .conf-bestand.

   Voorbeeld:
   [sssd] [sss_ini_call_validators] (0x0020): [rule/allowed_domain_options]: Attribute 'ldap_groups_use_matching_rule_in_chain' is not allowed in section 'domain/{DOMAIN}'. Check for typos.

   [sssd] [sss_ini_call_validators] (0x0020): [rule/allowed_domain_options]: Attribute 'ldap_initgroups_use_matching_rule_in_chain' is not allowed in section 'domain/{DOMAIN}'. Check for typos.

   Actie: Verwijder de niet-ondersteunde LDAP-extensies met groepsovereenkomsten uit sssd.conf.

5. Controleer of er LDAP-/netwerk-/autorisatiefouten staan in /var/log/sssd_{DOMAIN}.log.
   
   Voorbeeld:

   [sssd[be[example.com]]] [sss_ldap_init_sys_connect_done] (0x0020): ldap_install_tls failed: [Connect error] [error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed (self signed certificate)]

   Actie: Voeg 'ldap_tls_reqcert = never' toe aan sssd.conf.

   Als u het uitgebreidheidsniveau van de foutmeldingen wilt vergroten, voegt u 'debug_level = 9' toe in sssd.conf onder het gedeelte 'domain' en start u sssd opnieuw.

SSSD voert een zoekactie uit naar een gebruiker om meer informatie te krijgen tijdens de verificatie. U moet Gebruikersgegevens lezen en Groepsgegevens lezen aanzetten voor alle organisatie-eenheden waarvoor Inloggegevens van gebruiker controleren aanstaat, om te zorgen dat de gebruikersverificatie correct wordt uitgevoerd voor deze LDAP-client. (Zie Toegangsrechten instellen voor instructies.)

Zo koppelt u een SSSD-client aan de Secure LDAP-service:

1. Installeer SSSD-versie >= 1.15.2.
   
   $ sudo apt-get install sssd
   
2. Als de bestanden van uw clientcertificaat en -sleutel de namen /var/ldap-client.crt en /var/ldap-client.key hebben en uw domein example.com is, bewerkt u /etc/sssd/sssd.conf met een configuratie zoals:

   
   [sssd]
   services = nss, pam
   domains = example.com

   [domain/example.com]
   ldap_tls_cert = /var/ldap-client.crt
   ldap_tls_key = /var/ldap-client.key
   ldap_uri = ldaps://ldap.google.com
   ldap_search_base = dc=example,dc=com
   id_provider = ldap
   auth_provider = ldap
   ldap_schema = rfc2307bis
   ldap_user_uuid = entryUUID
   ldap_groups_use_matching_rule_in_chain = true
   ldap_initgroups_use_matching_rule_in_chain = true
   

3. Wijzig het eigendom en de rechten van het configuratiebestand:
   
   $ sudo chown root:root /etc/sssd/sssd.conf
$ sudo chmod 600 /etc/sssd/sssd.conf

4. Start SSSD opnieuw op:
   
   $ sudo service sssd restart

Tip: Als u de SSSD-module gebruikt op Linux-computers zonder externe IP-adressen op Google Compute Engine, kunt u nog steeds verbinding maken met de Secure LDAP-service, zolang u interne toegang tot Google-services heeft aangezet. Ga naar Configuring Private Google Access (Privé-Google-toegang instellen) voor meer informatie.

Volg de stappen hieronder om de macOS-client voor gebruikersaccountverificatie te koppelen aan de Secure LDAP-service.

Systeemvereisten

• De macOS moet Catalina versie 10.15.4 of hoger zijn.
• U heeft een gebruikers-ID van een Google-hoofdbeheerder nodig om stap 1 in de voorbereidingsfase af te ronden.
• U moet lokale beheerdersrechten hebben om deze configuratie te kunnen uitvoeren.

Inhoud:

• Voorbereidingsfase
• Implementatiefase
• Beperkingen en richtlijnen
• Problemen oplossen

Voorbereidingsfase

In deze instructies leest u hoe u macOS-verificatie handmatig kunt instellen en testen met de Secure LDAP-service.

Stap 1: macOS onboarden als LDAP-client in de Google Beheerdersconsole

Ga naar LDAP-clients toevoegen of bekijk deze demo van Secure LDAP voor instructies. Tijdens dit proces downloadt u ook een automatisch gegenereerd TLS-clientcertificaat.

Stap 2: Importeer het certificaat in de systeemsleutelhanger

1. Kopieer het certificaat (het zip-bestand dat u heeft gedownload in stap 1) en de sleutel naar het macOS-apparaat.
   Tip: Pak het bestand uit om de certificaat- en sleutelbestanden te vinden.
2. Importeer het sleutelpaar naar de systeemkeychain:

   1. Converteer de sleutel en het certificaat naar een PKCS 12-bestand (p12). Voer de volgende opdracht uit in de terminal:
      
      openssl pkcs12 -export -out ldap-client.p12 -in ldap-client.crt -inkey ldap-client.key
      
      Tip: Noteer de naam van het .p12-bestand.
      
      Het systeem vraagt u een wachtwoord in te voeren. Voer een wachtwoord in om het p12-bestand te versleutelen.

   2. Open de app Sleutelhangertoegang.

   3. Klik op de sleutelhanger Systeem.

   4. Klik op File > Import Items (Bestand > Items importeren).

   5. Selecteer het bestand ldap-client.p12 dat u hierboven heeft gemaakt.

   6. Voer als hierom wordt gevraagd het beheerderswachtwoord in om wijzigingen aan de systeemkeychain toe te staan.

   7. Voer het wachtwoord in dat u hierboven heeft gemaakt om het p12-bestand te ontsleutelen.

      Opmerking: Er verschijnt een nieuw certificaat en een bijbehorende privésleutel in de lijst met sleutels. Dit certificaat heeft een naam als LDAP Client. Noteer de naam van het certificaat voor de volgende stap.
      
   8. Volg stap 6 in het gedeelte ldapsearch (macOS) in dit artikel om toegangsbeheer in te stellen voor de privésleutel om de hieronder vermelde apps toe te voegen. Als de privésleutel niet wordt getoond in de categorie Alle items, schakelt u over naar de categorie Mijn certificaten en zoekt u de juiste privésleutel door het bijbehorende certificaat uit te vouwen.
      
      De ldapsearch-app, zoals aangegeven in de instructies, is alleen relevant als u problemen moet oplossen en niet voor andere doeleinden. Meestal wordt deze verwijderd voordat gebruikers toegang krijgen tot macOS.
      
      De volgende 3 apps moeten worden toegevoegd aan de lijst voor toegangsbeheer:
      
      /System/Library/CoreServices/Applications/Directory Utility
/usr/libexec/opendirectoryd
/usr/bin/dscl

3. Voeg een regel toe aan het configuratiebestand /etc/openldap/ldap.conf. Zorg dat 'LDAP Client' exact dezelfde certificaatnaam is als de naam die wordt weergegeven in de macOS-app Sleutelhangertoegang nadat u het .p12-bestand heeft geïmporteerd (de naam is afkomstig van de X.509 Subject Common Name van het gegenereerde certificaat):
   
   sudo bash -c 'echo -e "TLS_IDENTITY\tLDAP Client" >> /etc/openldap/ldap.conf'

Stap 3: Het apparaat naar Google Directory laten wijzen voor verificatie

Open de app Directory Utility om een nieuwe LDAP-directorynode te maken:

1. Klik op het slotje om wijzigingen aan te brengen en voer uw wachtwoord in.
2. Selecteer LDAPv3 en klik op het potloodje om de instellingen te bewerken.
3. Klik op New… (Nieuw).
4. Voer ldap.google.com in als servernaam, selecteer Encrypt using SSL (Versleutelen met SSL) en klik op Manual (Handmatig).
5. Selecteer de nieuwe servernaam en klik op Edit… (Bewerken).
6. Voer een beschrijvende naam in, zoals Google Secure LDAP, als configuratienaam.
7. Selecteer Versleutelen met SSL en zorg dat de poort is ingesteld op 636.
8. Ga naar het tabblad Search & Mappings (Zoeken en toewijzen).
   1. Kies RFC2307 in het dropdownmenu Access this LDAPv3 server using (Toegang tot deze LDAPv3-server via).
   2. Vul als hierom wordt gevraagd de domeingerelateerde gegevens in bij Search Base Suffix (Achtervoegsel zoekbasis). Voer bijvoorbeeld dc=zomato,dc=com in voor de domeinnaam zomato.com.
   3. Klik op OK.
   4. Configureer kenmerken onder het recordtype Gebruikers:
      1. Selecteer in het gedeelte Record Types and Attributes (Recordtypen en kenmerken) de optie Users (Gebruikers) en klik op de knop +.
      2. Kies in het pop-upvenster Kenmerktypen, selecteer GeneratedUID en klik op OK om het pop-upvenster te sluiten.
         
         GeneratedUID wordt getoond onder Gebruikers nadat je dit hebt uitgevouwen.
         
      3. Klik op de GeneratedUID en klik op het icoon + in het vak rechts.
      4. Voer apple-generateduid in het tekstvak in en druk op Enter.
      5. Klik onder de node Users (Gebruikers) op het kenmerk NFSHomeDirectory.
      6. Update in het scherm aan de rechterkant de waarde voor dit kenmerk naar #/Users/$uid$
      7. Klik op OK en voer je wachtwoord in om de wijzigingen op te slaan.
9. Configureer de nieuwe LDAP-configuratie in het venster Directory Utility:
   1. Ga naar het tabblad Beleid zoeken.
   2. Klik op het hangsloticoon om wijzigingen aan te brengen. Voer als hierom wordt gevraagd het wachtwoord van de huidige gebruiker in.
   3. Wijzig de dropdownoptie van Zoekpad in Aangepast pad.
   4. Open het tabblad Verificatie en klik op het icoon +.
   5. Kies /LDAPv3/ldap.google.com in de lijst Directorydomeinen en klik op Toevoegen.
   6. Klik op de knop Toepassen en voer je beheerderswachtwoord in als hierom wordt gevraagd.
10. Voer de volgende 4 opdrachten uit om de verificatiemechanismen DIGEST-MD5, CRAM-MD5, NTLM en GSSAPI SASL uit te zetten. macOS gebruikt Simple Bind om te verifiëren met de Google Secure LDAP-service:
    
    sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string DIGEST-MD5" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string CRAM-MD5" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string NTLM" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string GSSAPI" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist
    
11. Start de computer opnieuw op om de OpenDirectory-configuratie opnieuw te laden.

Stap 4: Maak een mobiel account (hiermee kun je offline inloggen)

Elke Google Workspace- of Cloud Identity-gebruiker kan inloggen met een netwerkaccount (Google-account) door een gebruikersnaam en wachtwoord in te voeren. Voor dit inlogproces is een netwerkverbinding vereist. Als een gebruiker moet inloggen met of zonder verbinding met het netwerk, kunt u een mobiel account maken. Met een mobiel account kun je de gebruikersnaam en het wachtwoord van je netwerkaccount (Google-account) gebruiken om in te loggen, ongeacht of je verbinding hebt met het netwerk. Ga naar Mobiele accounts maken en instellen op de Mac voor meer informatie.

Ga zo te werk om een mobiel account te maken voor Secure LDAP-gebruikers:

1. Voer de volgende opdracht uit om verbinding te maken met de Secure LDAP-server en een home-pad en mobiele accounts in te stellen:
   
   sudo /System/Library/CoreServices/ManagedClient.app/Contents/Resources/createmobileaccount -n $uid -v
   
   Tip: Vervang $uid door het gebruikersnaamgedeelte van het e-mailadres dat is gekoppeld aan het Google-account van de gebruiker. jsmit is bijvoorbeeld het gebruikersnaamgedeelte van jsmit@solarmora.com.

2. Als u wordt gevraagd om de gebruikersnaam van de SecureToken-beheerder, voert u uw beheerdersnaam in. Voer daarna uw wachtwoord in. Hiermee wordt $uid toegevoegd aan de FileVault. Dit is nodig als de macOS-schijf is versleuteld.

Stap 5: (Optioneel) De voorkeur voor het inlogscherm instellen

1. Ga linksonder naar Systeemvoorkeuren > Gebruikers en groepen > Inlogopties.
2. Ontgrendel dit gedeelte door uw beheerdersinloggegevens in te voeren.
3. Wijzig Inlogvenster weergeven als in Naam en wachtwoord.

Stap 6: Start je apparaat opnieuw op en log in

1. Controleer of het apparaat verbinding heeft met internet. Als u geen internetverbinding heeft, werkt de login voor de Secure LDAP-gebruiker niet.
   Opmerking: Je hebt alleen een internetverbinding nodig als je voor het eerst inlogt. Daarna kunnen ze ook zonder internettoegang inloggen.
2. Log in op het apparaat met het gebruikersaccount dat is ingesteld om Secure LDAP te gebruiken voor verificatie.

Implementatiefase

Met de instructies in dit gedeelte kunt u de apparaatconfiguratie voor uw gebruikers automatiseren. Voer stap 1 en 2 hieronder uit op hetzelfde macOS-apparaat waarop je de handmatige configuratie hebt uitgevoerd tijdens de voorbereidingsfase.

Stap 1: Maak een Mac-profiel met certificaat met Apple Configurator 2

1. Installeer Apple Configurator 2 op de computer waarop u macOS-verificatie handmatig heeft ingesteld met Secure LDAP.
2. Open Apple Configurator 2 en maak een nieuw profiel. Klik in het gedeelte Certificate (Certificaat) op Configure (Instellen) en importeer het p12-bestand dat u eerder heeft gemaakt.

   Opmerking: Zorg dat het p12-bestand is beveiligd met een wachtwoord. Voer dit wachtwoord in het gedeelte Password (Wachtwoord) van het certificaat in.

3. Sla het profiel op.
4. (Sla deze stap over voor apparaten met M1- of M2-processors en ga verder met stap 5. ) Open het profiel in een teksteditor en voeg de volgende regels toe aan de 1e <dict>-tag:
   
   <key>PayloadScope</key>
<string>System</string>
   
   U moet dit toevoegen omdat Apple Configurator nog geen profielen voor macOS ondersteunt.
   
5. Voeg in de 2e <dict>-tag, parallel aan de certificaatgegevens, de volgende regels toe:
   
   <key>AllowAllAppsAccess</key>
<true/>
   
   Alle apps hebben dan toegang tot dit certificaat.

Stap 2: Het configuratiebestand van de directory (plist) converteren naar xml

In deze stap extraheer je alle handmatige configuraties die je hebt uitgevoerd tijdens stap 3 van de voorbereidingsfase naar een XML-bestand. Je kunt dit bestand en het Mac-profiel dat je in stap 1 hierboven hebt gemaakt, gebruiken om andere macOS-apparaten automatisch in te stellen.

1. Kopieer /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist naar uw desktop of een andere locatie.
2. Converteer het bestand naar XML zodat u het kunt inspecteren in een teksteditor. Voer de volgende opdracht uit in Terminal:
   
   sudo plutil -convert xml1 <path>/ldap.google.com.plist
   
   Je hebt toegang tot het bestand als <path>/ldap.google.com.plist.
   
3. Wijzig de rechten voor het bovenstaande bestand, zodat u het XML-bestand kunt openen. Controleer of het niet leeg is.

Stap 3: Maak een Python-script om de configuratie op de apparaten van je eindgebruikers te automatiseren

Kopieer het python-script hieronder en sla het op als python-bestand (py-bestand).

Opmerking: Dit voorbeeldscript is compatibel met Python-versie 3.10.x. Dit script wordt ongewijzigd geleverd. Google-support biedt geen support voor voorbeeldscripts.

Ldap_python_config.py

#!/usr/bin/python
from OpenDirectory import ODNode, ODSession, kODNodeTypeConfigure
from Foundation import NSMutableData, NSData

import os
import sys

# Reading plist
GOOGLELDAPCONFIGFILE = open(sys.argv[1], "r")
CONFIG = GOOGLELDAPCONFIGFILE.read()
GOOGLELDAPCONFIGFILE.close()

# Write the plist
od_session = ODSession.defaultSession()
od_conf_node, err = ODNode.nodeWithSession_type_error_(od_session, kODNodeTypeConfigure, None)
request = NSMutableData.dataWithBytes_length_(b' '*32, 32)
request.appendData_(NSData.dataWithBytes_length_(str.encode(CONFIG), len(CONFIG)))
response, err = od_conf_node.customCall_sendData_error_(99991, request, None)

# Edit the default search path and append the new node to allow for login
os.system("dscl -q localhost -append /Search CSPSearchPath /LDAPv3/ldap.google.com")
os.system("bash -c 'echo -e \"TLS_IDENTITY\tLDAP Client\" >> /etc/openldap/ldap.conf' ")

Stap 4: Apparaten van eindgebruikers automatisch instellen

Ga naar andere macOS-apparaten die je wilt instellen en volg deze stappen:

1. Kopieer de volgende bestanden naar het apparaat: het Mac-profielbestand dat u in stap 1 heeft gemaakt, het XML-configuratiebestand dat u in stap 2 heeft gemaakt en het python-script uit stap 3.
2. Voer de volgende opdracht uit om de vereiste afhankelijkheid voor het script te installeren:
   python3 -m pip install pyobjc-framework-opendirectory
3. Voer de volgende opdracht uit:
   sudo python </path/to/saved_python_script> </path/to/ldap.google.com.plist generated in step 2>
4. Als u certificaten wilt importeren naar de keychain van het macOS-systeem, dubbelklikt u op het Mac-profielbestand dat u in stap 1 heeft gemaakt en voert u de inloggegevens van de lokale beheerder in wanneer daarom wordt gevraagd. U wordt dan gevraagd het .p12-wachtwoord in te voeren dat u tijdens de voorbereidingsfase heeft ingesteld.
5. Start het macOS-apparaat opnieuw op.
6. Maak mobiele accounts zoals beschreven in stap 4 van de voorbereidingsfase en stel eventueel aanvullende voorkeuren in, zoals beschreven in stap 5 van de voorbereidingsfase.

Beperkingen en richtlijnen

• Voor gebruikers die inloggen bij macOS met hun Google-inloggegevens, moet de gebruikersnaam van hun Workspace-account anders zijn dan de gebruikers-ID van hun macOS-gebruikersprofiel, anders wordt het inloggen geblokkeerd.
• Als een gebruiker inlogt bij macOS met Google-inloggegevens, moet wachtwoordbeheer voor gebruikers (resetten of herstellen) worden uitgevoerd op de Google-website (bijvoorbeeld op myaccount.google.com of in de Google Beheerdersconsole). Als je wachtwoordbeheer uitvoert met een oplossing van derden, zorg je dat het nieuwste wachtwoord wordt gesynchroniseerd met Google.
• Als de beheerder een nieuwe gebruiker maakt of het wachtwoord van een bestaande gebruiker reset terwijl de instelling Vragen om wachtwoordwijziging bij de volgende keer inloggen aanstaat, kan de gebruiker niet inloggen op de Mac met het tijdelijke wachtwoord dat de beheerder heeft ingesteld.
  Oplossing: De gebruiker moet op een ander apparaat (bijvoorbeeld een mobiel apparaat of een ander desktopapparaat) inloggen bij Google, een permanent wachtwoord instellen en daarna met het nieuwe wachtwoord inloggen bij macOS.
• De Mac moet verbinding hebben met een werkende internetverbinding, zodat ldap.google.com bereikbaar is tijdens de eerste keer inloggen na de bovenstaande configuratie. Voor inlogpogingen daarna is geen internettoegang vereist als u ervoor heeft gekozen een mobiel account in te stellen.
• De integratie van Google Secure LDAP met macOS is getest op macOS Catalina, Big Sur en Monterey.

Problemen oplossen

Volg de instructies hieronder als u geen verbinding kunt maken met de Secure LDAP-service.

Stap 1: Controleer de verbinding.

Controleer de verbinding met odutil.
Voer de opdracht odutil show nodenames uit in de terminal.
Controleer of de status van de /LDAPv3/ldap.google.com online is. Als de status niet 'online' is, probeert u de telnet-optie.

Controleer de verbinding met nc.
Voer de volgende opdracht uit in de terminal: nc -zv ldap.google.com 636
Als je op deze manier geen verbinding kunt maken met Google, probeer je verbinding te maken via IPv4.

Controleer de verbinding met IPv4.
Volg deze stappen om uw apparaat aan te passen zodat IPv4 wordt gebruikt:

1. Ga naar System Preferences (Systeemvoorkeuren) > Network (Netwerk) > Wi-Fi (Wifi) > Advanced (Geavanceerd).
2. Ga in het menu Advanced (Geavanceerd) naar het tabblad TCP/IP.
3. Wijzig de selectie in het dropdownmenu van IPv6 configureren in Alleen link-local.
4. Klik op OK en dan op Toepassen om de wijzigingen op te slaan.
5. Controleer de serviceverificatie via ldapsearch-connectiviteit en een geldige zoekopdracht.

Stap 2: Controleer of u directoryobjecten kunt zien.

1. Open Directory Utility en open het tabblad Directory Editor.
2. Selecteer de node /LDAPv3/ldap.google.com in het dropdownmenu.
3. Controleer of u gebruikers en groepen kunt zien in uw Google-domein.