התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus, Business Plus, Enterprise Standard ו-Enterprise Plus, Education Fundamentals, Education Standard ו-Education Plus, Enterprise Essentials Plus. השוואה בין המהדורות
מה קורה אם משעים את חשבון המשתמש ב-Cloud Identity או ב-Google Workspace?
שירות ה-LDAP המאובטח משתמש ב-Cloud Directory כבסיס לאימות, להרשאה ולחיפושים בספרייה. חשבונות מושעים לא יכולים להיכנס לאפליקציות שקשורות ל-Cloud Identity או ל-Google Workspace, כולל אפליקציות LDAP. חשבונות מושעים לא יוכלו לאמת את הסיסמאות שלהם באמצעות LDAP, אבל עדיין אפשר יהיה לחפש אותם באמצעות שירות לקוח עם חיפוש LDAP.
מה קורה אם מגדירים ספק זהויות או ספק SSO של צד שלישי ב-Google Workspace או ב-Cloud Identity?
אין השפעה על השימוש ב-LDAP מאובטח לאימות, להרשאה ולחיפושים בספרייה, כי ספקי זהויות של צד שלישי משפיעים רק על טרנזקציות שמבוססות על HTTP, כמו אימות שמבוסס על SAML.
הערה: אם אתם רוצים שהמשתמשים יוכלו לבצע אימות באפליקציות שמחוברות ל-LDAP מאובטח, ודאו שהם יודעים את שם המשתמש והסיסמה שלהם ב-Google, כי פרטי הכניסה האלה (ולא פרטי הכניסה של ספק הזהויות של הצד השלישי) נדרשים לאימות. המשתמשים לא יכולים לגשת לאפליקציות של LDAP מאובטח באמצעות כניסה דרך ספק זהויות (IdP) של צד שלישי באמצעות SSO.
למה צריך גם אישור וגם פרטי כניסה כדי לאמת לקוחות LDAP?
רק האישור מאמת את לקוח ה-LDAP. פרטי הכניסה קיימים רק אם הלקוח מתעקש לשלוח גם שם משתמש וסיסמה. פרטי הכניסה עצמם לא מעניקים גישה לשרת ה-LDAP או לנתוני המשתמשים, אבל צריך לשמור אותם בסוד כדי למנוע שימוש בהם לכניסה ללקוחות LDAP מסוימים.
אם לקוח LDAP דורש פרטי כניסה, אנחנו מאמתים את לקוחות ה-LDAP גם באמצעות אישורים וגם באמצעות פרטי כניסה.
אם אפליקציית ה-LDAP שלי לא תומכת באישורי TLS, יש חלופה?
כן. אפשר להשתמש ב-stunnel כשרת proxy בין האפליקציה לבין LDAP מאובטח. פרטים והוראות זמינים במאמר שימוש ב-stunnel כשרת proxy.
יצרתי פרטי כניסה בעבר ועכשיו אני לא זוכר/ת את הסיסמה כדי להגדיר מופע נוסף של לקוח ה-LDAP שלי. אפשר ליצור קבוצה נוספת של פרטי כניסה?
אדמינים יכולים ליצור קבוצה נוספת של פרטי כניסה, שתכלול שם משתמש וסיסמה נפרדים. אפשר להחזיק עד שני פרטי כניסה פעילים בו-זמנית. אם פרטי כניסה נחשפו או שהם כבר לא בשימוש, אתם יכולים למחוק אותם.
אם יש לי חשד לבעיית אבטחה אצל לקוח LDAP, איך אפשר להשבית אותו באופן מיידי?
אם אתם חושדים שיש בעיית אבטחה בלקוח LDAP (לדוגמה, אם האישורים או פרטי הכניסה נחשפו), אתם יכולים להשבית את הלקוח באופן מיידי על ידי מחיקת כל האישורים הדיגיטליים שמשויכים אליו. זו הדרך הכי טובה להשבית לקוח באופן מיידי, כי יכול להיות שיעברו עד 24 שעות עד שהלקוח יושבת אחרי שמעבירים את סטטוס השירות למצב מושבת.
הוראות מפורטות זמינות במאמר מחיקת אישורים.
אם תרצו להפעיל את הלקוח בשלב מאוחר יותר, תצטרכו ליצור אישורים חדשים ולהעלות את האישורים ללקוח ה-LDAP.
למחשבי Linux שלי ב-Google Compute Engine אין כתובות IP חיצוניות. האם עדיין אפשר להתחבר לשירות LDAP מאובטח?
כן. אם אתם משתמשים במודול SSSD במחשבי Linux בלי כתובות IP חיצוניות ב-Google Compute Engine, אתם עדיין יכולים להתחבר לשירות ה-LDAP המאובטח, כל עוד הפעלתם גישה פנימית לשירותי Google. מידע נוסף על הגדרת גישה פרטית. לפרטים נוספים, קראו את המאמר הגדרת גישה פרטית ל-Google.