Pengujian konektivitas LDAP Aman

Gunakan utilitas ldapsearch dari command line untuk membuat kueri LDAP dasar. Hasil kueri LDAP yang berhasil akan menunjukkan bahwa klien LDAP dan sesi TLS dasar serta sambungan TCP berfungsi sebagaimana mestinya.

Untuk menguji konektivitas dengan ldapsearch:

1. Buat konfigurasi LDAP, dan download sertifikat, dengan mengikuti petunjuk di Menambahkan klien LDAP.

   Catatan: Untuk menyederhanakan lingkungan pengujian, pastikan ada setidaknya satu pengguna di unit organisasi yang akses klien LDAP-nya Anda beri otorisasi.

2. Jalankan kueri LDAP. Contoh ini mengkueri pengguna tertentu (untuk mengetahui detail selengkapnya, lihat ldapsearch OpenLDAP).

   LDAPTLS_CERT={crt_file} LDAPTLS_KEY={key_file} ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} '(mail={user_email})'

   Ganti placeholder sebagai berikut:

   • {crt_file} Nama file .crt
   • {key_file} Nama file .key
   • {domain} Setiap bagian nama domain, misalnya: example.com akan menjadi "dc=example,dc=com"
   • {user_email} Alamat email utama pengguna di domain.

Catatan tentang penggunaan ldapsearch

• Jika tidak ada nilai BindDN yang diberikan, ldapsearch akan menggunakan kunci dan sertifikat untuk mengizinkan penelusuran.
• Jika nilai BindDN adalah nama pengguna LDAP yang Anda buat di konsol Admin, ldapsearch akan menggunakan izin klien LDAP seperti yang dikonfigurasi di konsol Admin.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {ldap_access_credentials_username} -W '(mail={user_email})

• Jika nilai BindDN adalah alamat email atau nama khusus LDAP Pengguna Workspace, ldapsearch akan menggunakan kredensial pengguna tersebut untuk melakukan penelusuran berdasarkan izinnya.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {workspace_username@domain} -W '(mail={user_email})'

Menggunakan ldapsearch dengan stunnel

Jika deployment Anda mengharuskan Anda menggunakan stunnel, ikuti langkah-langkah berikut:

1. Di konsol Admin, buat kredensial akses untuk menghasilkan nama pengguna dan sandi yang diperlukan oleh ldapsearch.
2. Gunakan perintah berikut:

   ldapsearch -x -D "{username}" -w {password} -H ldap://{stunnel_host}:{stunnel_port} -b dc={domain},dc={domain} '(mail={user_email})'

   Ganti placeholder sebagai berikut:

   • {username} Nama pengguna dari kredensial yang dihasilkan di Konsol Admin
   • {password} Sandi dari kredensial yang dibuat di Konsol Admin
   • {stunnel_host} : Alamat IP atau nama host mesin yang menjalankan stunnel di jaringan Anda.
   • {stunnel_port} : port tempat stunnel berjalan, periksa konfigurasi stunnel Anda
   • {user_email} Alamat email utama pengguna di domain

Skenario berhasil perintah ldapsearch

Output yang berhasil dari perintah ldapsearch akan mencantumkan pengguna dengan email (seperti yang ditentukan saat membuat klien LDAP) dalam format LDIF.

Contoh:

# extended LDIF
#
# LDAPv3
# base <dc=example,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# example.com
dn: dc=example,dc=com
objectClass: top
objectClass: domain
objectClass: dcObject
dc: example

# admin-group, Groups, example.com
dn: cn=admin-group,ou=Groups,dc=example,dc=com
objectClass: top
objectClass: groupOfNames
objectClass: posixGroup
cn: admin-group
displayName: admin-group
description:
gidNumber: 12345
member: uid=admin,ou=Users,dc=example,dc=com
memberUid: admin
googleAdminCreated: FALSE

# example-user, Users, example.com
dn: uid=example-user,ou=Users,dc=example,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: example-user
googleUid: example-user
posixUid: example-user
cn: example-user
cn: FirstName LastName
sn: FirstName
displayName: FirstName LastName
givenName: FirstName
mail: example-user@example.com
uidNumber: 12345
gidNumber: 12345
homeDirectory: /home/example-user
loginShell: /bin/bash
gecos:

Kemungkinan error

• Klien dan/atau library OpenLDAP dikompilasi tanpa dukungan SNI
  
  SNI (Server Name Indication) harus didukung oleh klien LDAP (OpenLDAP dalam kasus ini). Jika SNI tidak tersedia, Anda mungkin melihat error yang mirip dengan berikut:
  
  SASL/EXTERNAL authentication started

ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
additional info: SASL(-4): no mechanism available:
  
  Rekomendasi:
  • Jika Anda menggunakan MacOS, SASL diaktifkan secara default dan dapat diabaikan dengan opsi "-x".
  • Tambahkan opsi -d5 ke ldapsearch dan periksa output untuk baris berikut:
    
    TLS certificate verification: depth: 0, err: 18, subject: /OU=No SNI provided; please fix your client.
    

• ldapsearch menampilkan status 0 (berhasil), tetapi tidak ada pengguna yang ditampilkan
  
  Menentukan opsi ldapsearch -x (gunakan autentikasi SASL) dengan sertifikat klien akan berhasil melakukan autentikasi, tetapi tidak akan mencantumkan pengguna di domain.
  
  Rekomendasi: Hapus opsi -x dan coba lagi.

1. Ikuti langkah 1–11 di ldp.exe (Windows) untuk menginstal sertifikat klien.
2. Buka Action > Connect to…
3. Masukkan setelan koneksi berikut:
   
   Name: Ketik nama untuk koneksi Anda, seperti Google LDAP.
   Connection Point: "Select or type a Distinguished Name or Naming Context"
   Masukkan nama domain Anda dalam format DN (misalnya, dc=example,dc=com untuk example.com).
   
   Computer: "Select or type a domain or server"
   ldap.google.com
   
   Use SSL-based Encryption: Centang
   
4. Klik Lanjutan..., lalu masukkan detail berikut:
   
   Tentukan kredensial: Dicentang
   Nama Pengguna: Nama pengguna kredensial akses dari konsol Admin
   Sandi: Sandi kredensial akses dari konsol Admin
   Nomor Port: 636
   Protokol: LDAP
   Autentikasi pengikatan sederhana: Dicentang
   
5. Klik OK, lalu klik OK lagi.
6. Jika konektivitas berhasil, konten direktori di DN dasar ditampilkan di panel sebelah kanan.

1. Instal OpenSSL.
2. Konversikan file sertifikat dan kunci menjadi satu file berformat PKCS12. Pada command prompt, masukkan perintah berikut:
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Masukkan sandi untuk mengenkripsi file output.
   
3. Buka Control Panel.
4. Di kotak penelusuran, telusuri "sertifikat", lalu klik Kelola sertifikat pengguna.
5. Buka Action > All Tasks > Import…
6. Pilih Current User, lalu klik Next.
7. Klik Browse…
8. Pada menu drop-down file type di pojok kanan bawah kotak dialog, pilih Personal Information Exchange (*.pfx;*.p12).
9. Pilih file ldap-client.p12 dari langkah 2, klik Open, lalu klik Next.
10. Masukkan sandi dari langkah 2, lalu klik Next.
11. Pilih penyimpanan sertifikat Pribadi, klik Berikutnya, lalu klik Selesai.
12. Jalankan Ldp.exe.
13. Buka Connection > Connect...
14. Masukkan detail koneksi berikut:
    
    Server: ldap.google.com
    Port: 636
    Tanpa koneksi: Tidak dicentang
    SSL: Dicenthang
    
15. Klik OK.
16. Buka View > Tree.
17. Masukkan base DN. Ini adalah nama domain Anda dalam format DN. (misalnya, dc=example,dc=com untuk example.com).
18. Klik OK.
19. Jika konektivitas berhasil, konten direktori di DN dasar ditampilkan di panel sebelah kanan.