Tests de connectivité au service LDAP sécurisé

Utilisez l'utilitaire ldapsearch à partir d'une ligne de commande pour effectuer une requête LDAP de base. Si cette requête LDAP s'exécute avec succès, cela indique que le client LDAP, la session TLS sous-jacente et la connexion TCP fonctionnent comme prévu.

Pour tester la connectivité avec ldapsearch :

1. Créez une configuration LDAP et téléchargez le certificat en suivant les instructions de la section Ajouter des clients LDAP.

   Remarque : Pour simplifier l'environnement de test, assurez-vous qu'il y a au moins un utilisateur dans l'unité organisationnelle pour laquelle vous autorisez l'accès client LDAP.

2. Exécutez une requête LDAP. Cet exemple interroge un utilisateur spécifique (pour en savoir plus, consultez OpenLDAP ldapsearch).

   LDAPTLS_CERT={crt_file} LDAPTLS_KEY={key_file} ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} '(mail={user_email})'

   Remplacez les espaces réservés comme suit :

   • {crt_file} : nom du fichier .crt
   • {key_file} : nom du fichier .key
   • {domain} : chaque partie du nom de domaine (par exemple, "example.com" devient "dc=example,dc=com")
   • {user_email} : adresse e-mail principale d'un utilisateur du domaine.

Remarques sur l'utilisation de ldapsearch

• Si aucune valeur BindDN n'est fournie, ldapsearch utilise la clé et le certificat pour autoriser la recherche.
• Si la valeur BindDN est un nom d'utilisateur LDAP que vous avez généré dans la console d'administration, ldapsearch utilisera les autorisations du client LDAP telles qu'elles sont configurées dans la console d'administration.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {ldap_access_credentials_username} -W '(mail={user_email})

• Si la valeur BindDN est une adresse e-mail ou un nom distinctif LDAP d'un utilisateur Workspace, ldapsearch utilisera les identifiants de cet utilisateur pour effectuer une recherche en fonction de ses autorisations.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {workspace_username@domain} -W '(mail={user_email})'

Utiliser ldapsearch avec stunnel

Si votre déploiement nécessite l'utilisation de stunnel, procédez comme suit :

1. Dans la console d'administration, générez des identifiants d'accès pour obtenir le nom d'utilisateur et le mot de passe requis par ldapsearch.
2. Exécutez la commande suivante :

   ldapsearch -x -D "{username}" -w {password} -H ldap://{stunnel_host}:{stunnel_port} -b dc={domain},dc={domain} '(mail={user_email})'

   Remplacez les espaces réservés comme suit :

   • {username} : nom d'utilisateur des identifiants générés dans la console d'administration
   • {password} : mot de passe issu des identifiants générés dans la console d'administration
   • {stunnel_host} : adresse IP ou nom d'hôte de la machine exécutant stunnel sur votre réseau.
   • {stunnel_port} : port sur lequel stunnel est exécuté. Vérifiez la configuration de stunnel.
   • {user_email} : adresse e-mail principale d'un utilisateur du domaine

Scénario de réussite de la commande ldapsearch

Si la commande ldapsearch est exécutée avec succès, le résultat listera l'utilisateur avec l'adresse e-mail (telle qu'elle a été spécifiée lors de la création du client LDAP) au format LDIF.

Exemple :

# extended LDIF
#
# LDAPv3
# base <dc=example,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# example.com
dn: dc=example,dc=com
objectClass: top
objectClass: domain
objectClass: dcObject
dc: example

# admin-group, Groups, example.com
dn: cn=admin-group,ou=Groups,dc=example,dc=com
objectClass: top
objectClass: groupOfNames
objectClass: posixGroup
cn: admin-group
displayName: admin-group
description:
gidNumber: 12345
member: uid=admin,ou=Users,dc=example,dc=com
memberUid: admin
googleAdminCreated: FALSE

# example-user, Users, example.com
dn: uid=example-user,ou=Users,dc=example,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: example-user
googleUid: example-user
posixUid: example-user
cn: example-user
cn: FirstName LastName
sn: FirstName
displayName: FirstName LastName
givenName: FirstName
mail: example-user@example.com
uidNumber: 12345
gidNumber: 12345
homeDirectory: /home/example-user
loginShell: /bin/bash
gecos:

Erreurs possibles

• Le client et/ou la bibliothèque OpenLDAP sont compilés sans prise en charge SNI
  
  Le client LDAP (OpenLDAP dans ce cas) doit être compatible avec SNI (Server Name Indication). Si SNI n'est pas disponible, une erreur semblable à celle-ci peut s'afficher :
  
  SASL/EXTERNAL authentication started

ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
additional info: SASL(-4): no mechanism available:
  
  Recommandation :
  • Si vous utilisez macOS, SASL est activé par défaut et peut être contourné via l'option "-x".
  • Ajoutez l'option -d5 à ldapsearch et vérifiez la ligne suivante dans le résultat :
    
    TLS certificate verification: depth: 0, err: 18, subject: /OU=No SNI provided; please fix your client.
    

• ldapsearch renvoie l'état 0 (réussite), mais aucun utilisateur n'est affiché
  
  L'option ldapsearch -x (utiliser l'authentification SASL) avec des certificats client permet de s'authentifier, mais ne liste pas les utilisateurs du domaine.
  
  Recommandation : supprimez l'option -x et réessayez.

1. Suivez les étapes 1 à 11 de ldp.exe (Windows) pour installer les certificats client.
2. Accédez à Action > Connect to (Action > Se connecter à).
3. Saisissez les paramètres de connexion suivants :
   
   Nom : saisissez un nom pour votre connexion, par exemple Google LDAP.
   Point de connexion : sélectionnez ou saisissez un nom distinctif ou un contexte de dénomination.
   Saisissez votre nom de domaine au format DN (par exemple, dc=example,dc=com pour example.com).
   
   Ordinateur : sélectionnez ou saisissez un domaine ou un serveur.
   ldap.google.com
   
   Utiliser le chiffrement basé sur SSL : coché
   
4. Cliquez sur Avancé…, puis saisissez les informations suivantes :
   
   Spécifier les identifiants : coché
   Nom d'utilisateur : nom d'utilisateur des identifiants d'accès dans la console d'administration
   Mot de passe : mot de passe des identifiants d'accès dans la console d'administration
   Numéro de port : 636
   Protocole : LDAP
   Authentification par liaison simple : coché
   
5. Cliquez sur OK, puis de nouveau sur OK.
6. Si la connexion aboutit, le contenu de l'annuaire s'affiche dans le volet de droite dans le format DN de base.

1. Installez OpenSSL.
2. Convertissez les fichiers de clé et de certificat en un fichier au format PKCS12. À l'invite de commande, saisissez ce qui suit :
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Saisissez un mot de passe pour chiffrer le fichier de sortie.
   
3. Accédez au panneau de configuration.
4. Dans le champ de recherche, recherchez "certificat", puis cliquez sur Gérer les certificats utilisateur.
5. Accédez à Action > All Tasks > Import… (Action > Toutes les tâches > Importer).
6. Sélectionnez Current User (Utilisateur actuel), puis cliquez sur Next (Suivant).
7. Cliquez sur Browse (Parcourir).
8. Dans la liste déroulante File type (Type de fichier) en bas à droite de la boîte de dialogue, sélectionnez Personal Information Exchange (*.pfx;*.p12) (Échange d'informations personnelles [*.pfx;*.p12]).
9. Sélectionnez le fichier ldap-client.p12 de l'étape 2, cliquez sur Ouvrir, puis sur Suivant.
10. Saisissez le mot de passe de l'étape 2, puis cliquez sur Next (Suivant).
11. Sélectionnez le magasin de certificats Personnel, cliquez sur Suivant, puis sur Terminer.
12. Exécutez Ldp.exe.
13. Accédez à Connexion > Se connecter…
14. Saisissez les informations de connexion suivantes :
    
    Serveur : ldap.google.com
    Port : 636
    Sans connexion : décoché
    SSL : coché
    
15. Cliquez sur OK.
16. Accédez à View > Tree (Affichage > Arborescence).
17. Saisissez le nom de domaine de base. Il s'agit de votre nom de domaine au format DN, par exemple dc=example,dc=com pour example.com.
18. Cliquez sur OK.
19. Si la connexion aboutit, le contenu de l'annuaire s'affiche dans le volet de droite dans le format DN de base.