Эта функция доступна в версиях Frontline Standard, Frontline Plus, Business Plus, Enterprise Standard, Enterprise Plus, Education Fundamentals, Education Standard, Education Plus и Enterprise Essentials Plus. Сравнение версий
Что произойдет, если я заблокирую аккаунт пользователя Cloud Identity или Google Workspace?
Сервис Secure LDAP использует Cloud Directory в качестве основы для аутентификации, авторизации и поиска по каталогам. Пользователи заблокированных аккаунтов не могут входить в приложения, связанные с Cloud Identity или Google Workspace, в том числе в приложения LDAP. Пользователи заблокированных аккаунтов не смогут подтверждать свои пароли с помощью LDAP, но клиентский сервис сможет находить их с помощью поиска LDAP.
Что произойдет, если я настрою стороннего поставщика идентификационной информации или поставщика системы единого входа в Google Workspace или Cloud Identity?
Это не влияет на использование Безопасного LDAP для аутентификации, авторизации и поиска в каталоге, поскольку сторонние поставщики идентификационной информации влияют только на транзакции на основе HTTP, такие как аутентификация на основе SAML.
Примечание. Если вы хотите, чтобы пользователи могли проходить аутентификацию в приложениях, подключенных к Безопасному LDAP, убедитесь, что они знают свои имя пользователя и пароль Google, поскольку для аутентификации требуются именно эти учетные данные, а не данные стороннего поставщика идентификационной информации. Пользователи не могут получить доступ к приложениям, использующим Безопасный LDAP, выполнив вход через стороннего поставщика идентификационной информации с помощью системы единого входа.
Зачем для аутентификации LDAP-клиентов нужны и сертификат, и учетные данные доступа?
Аутентификация LDAP-клиентов выполняется с помощью сертификатов. Учетные данные для доступа существуют, только если клиент настаивает на отправке имени пользователя и пароля. Сами по себе учетные данные не предоставляют доступ к серверу LDAP или пользовательским данным, но их следует хранить в секрете, чтобы предотвратить их использование для входа в определенные клиенты LDAP.
Если LDAP-клиенту требуются учетные данные, мы выполняем аутентификацию с помощью сертификатов и учетных данных.
Что делать, если мое LDAP-приложение не поддерживает сертификаты TLS?
Да. можете использовать Stunnel в качестве прокси-сервера между своим приложением и сервисом Secure LDAP. Подробные сведения и инструкции приведены в статье Как использовать stunnel в качестве прокси-сервера.
Мне нужно настроить LDAP-клиент ещё раз, но я не помню пароль. Можно ли создать другие учетные данные?
Как администратор, вы можете создать ещё один набор учетных данных, который будет состоять из отдельной пары имени пользователя и пароля. Одновременно можно использовать не более двух учетных данных. Если учетные данные скомпрометированы или больше не используются, вы можете их удалить.
Мне кажется, что LDAP-клиент могут взломать, поэтому я хочу немедленно отключить его. Как это сделать?
Если вы подозреваете, что безопасность клиента LDAP была нарушена (например, скомпрометированы сертификаты или учетные данные), вы можете немедленно отключить его, удалив все связанные с ним цифровые сертификаты. Это самый быстрый способ отключить клиента, поскольку при изменении статуса сервиса на Выкл. отключение может занять до 24 часов.
Инструкции приведены в разделе Как удалить сертификаты.
Если вы захотите включить клиент позже, вам потребуется создать новые сертификаты и загрузить их в LDAP-клиент.
У моих компьютеров Linux в Google Compute Engine нет внешних IP-адресов. Могу ли я подключить их к сервису Secure LDAP?
Да. Если вы используете модуль SSSD на компьютерах Linux без внешних IP-адресов в Google Compute Engine, вы можете подключиться к Безопасному LDAP, если у вас включен внутренний доступ к сервисам Google. Подробнее о настройке частного доступа… Подробнее о настройке частного доступа к сервисам Google…