Ta funkcja jest dostępna w tych wersjach: Frontline Standard i Frontline Plus; Business Plus; Enterprise Standard i Enterprise Plus; Education Fundamentals, Education Standard i Education Plus; Enterprise Essentials Plus. Porównaj wersje
Co się stanie, jeśli zawieszę konto użytkownika Cloud Identity lub Google Workspace?
Usługa bezpiecznego LDAP wykorzystuje Cloud Directory jako podstawę do uwierzytelniania, autoryzacji i wyszukiwania w katalogu. Użytkownicy zawieszonych kont nie mogą logować się w żadnych aplikacjach powiązanych z Cloud Identity lub Google Workspace, w tym w aplikacjach LDAP. Zawieszone konta nie będą mogły weryfikować haseł za pomocą LDAP, ale nadal będzie można je wyszukiwać za pomocą usługi klienta przy użyciu wyszukiwania LDAP.
Co się stanie, jeśli skonfiguruję zewnętrznego dostawcę tożsamości lub dostawcę logowania jednokrotnego w Google Workspace lub Cloud Identity?
Nie ma to wpływu na korzystanie z bezpiecznego protokołu LDAP do uwierzytelniania, autoryzacji i wyszukiwania w katalogu, ponieważ zewnętrzni dostawcy tożsamości wpływają tylko na transakcje oparte na protokole HTTP, takie jak uwierzytelnianie oparte na SAML.
Uwaga: jeśli chcesz, aby użytkownicy mogli uwierzytelniać się w aplikacjach połączonych z Bezpiecznym LDAP, upewnij się, że znają oni swoją nazwę użytkownika i hasło Google, ponieważ te dane logowania (a nie dane logowania zewnętrznego dostawcy tożsamości) są wymagane do uwierzytelniania. Użytkownicy nie mogą uzyskać dostępu do aplikacji korzystających z bezpiecznego LDAP, logując się przez zewnętrznego dostawcę tożsamości przy użyciu logowania jednokrotnego.
Dlaczego do uwierzytelniania klientów LDAP potrzebuję zarówno certyfikatu, jak i danych logowania?
Klienta LDAP uwierzytelnia tylko certyfikat. Dane logowania istnieją tylko wtedy, gdy klient nalega na wysłanie nazwy użytkownika i hasła. Same dane logowania nie dają dostępu do serwera LDAP ani danych użytkownika, ale należy je zachować w tajemnicy, aby nie zostały użyte do zalogowania się w niektórych klientach LDAP.
Jeśli klient LDAP wymaga danych logowania, uwierzytelniamy klientów LDAP za pomocą certyfikatów i danych logowania.
Jeśli moja aplikacja LDAP nie obsługuje certyfikatów TLS, czy mogę użyć innego certyfikatu?
Tak. Możesz użyć stunnel jako serwera proxy między aplikacją a bezpiecznym LDAP. Szczegółowe informacje i instrukcje znajdziesz w artykule Używanie stunnel jako serwera proxy.
Nie pamiętam hasła uzyskanego podczas generowania danych logowania. Jest ono potrzebne do skonfigurowania kolejnego wystąpienia klienta LDAP. Czy mogę wygenerować kolejny zestaw danych logowania?
Jako administrator możesz wygenerować kolejny zestaw danych logowania, który będzie się składać z osobnej pary nazwy użytkownika i hasła. Możesz mieć jednocześnie maksymalnie 2 aktywne dane logowania. Jeśli dane logowania zostały przejęte lub nie są już używane, możesz je usunąć.
W jaki sposób natychmiast wyłączyć klienta LDAP, jeśli podejrzewam, że występują w nim problemy z bezpieczeństwem?
Jeśli podejrzewasz, że wystąpił problem z zabezpieczeniami klienta LDAP (na przykład certyfikaty lub dane logowania zostały przejęte), możesz natychmiast wyłączyć klienta, usuwając wszystkie powiązane z nim certyfikaty cyfrowe. To najlepszy sposób na natychmiastowe wyłączenie klienta, ponieważ po zmianie stanu usługi na Wyłączone może minąć do 24 godzin, zanim klient zostanie wyłączony.
Instrukcje znajdziesz w sekcji Usuwanie certyfikatów.
Jeśli później zechcesz włączyć klienta, musisz wygenerować nowe certyfikaty i przesłać je do klienta LDAP.
Moje komputery z systemem Linux w Google Compute Engine nie mają zewnętrznych adresów IP. Czy mogę nadal łączyć się z usługą Bezpieczny LDAP?
Tak. Jeśli używasz modułu SSSD na komputerach z systemem Linux bez zewnętrznych adresów IP w Google Compute Engine, nadal możesz połączyć się z usługą Bezpieczny LDAP, o ile masz włączony wewnętrzny dostęp do usług Google. Dowiedz się więcej o konfigurowaniu dostępu prywatnego. Więcej informacji znajdziesz w artykule Konfigurowanie prywatnego dostępu do Google.