ldap组件配置案例.docx

ldap组件配置案例.docx

《ldap组件配置案例.docx》由会员分享，可在线阅读，更多相关《ldap组件配置案例.docx（16页珍藏版）》请在冰豆网上搜索。

ldap组件配置案例

1        概述

在CAMS系统的某些应用场景中，用户需要CAMS系统和已有的某些应用系统（比如邮件系统、Windows域）共享帐号和密码信息，从而方便终端用户的使用。

假如用户的应用系统使用LDAP服务器治理终端用户的帐号信息，则可以通过使用CAMS系统的LDAP组件，将终端用户的上网认证重新定向至用户的LDAP服务器，实现上网帐号和应用系统帐号的统一。

1.1       功能描述

使用LDAP组件，用户可使用存储在LDAP服务器中的帐号信息，进行网络的物理层接入认证。

LDAP组件实现LDAP服务器中的用户帐号信息与CAMS系统的用户帐号信息同步，并将用户的接入认证请求重定向至LDAP服务器处理。

1.2       使用限制

LDAP组件的使用，同具体的设备无关，该组件使用LDAP协议同LDAP服务器通讯，可支持当前市场上所有主流LDAP服务器，CAMS系统与LDAP服务器的通讯，目前不支持SSL连接。

2        典型组网及配置

2.1       组网图

在LDAP组件的应用场景中，其应用的示意组网图通常如下如下：

LDAP组件应用示意图1以终端用户A为例，用户的认证过程包括以下四个步骤：

终端用户向CAMS发起认证请求CAMS检查该用户是否为LDAP服务器认证用户，假如用户帐号、密码信息存在于LDAP服务器，则CAMS向LDAP服务器发起认证请求LDAP服务器返回认证结果给CAMS服务器CAMS服务器将认证结果返回终端用户

2.2       配置过程及步骤

LDAP组件的配置过程比较简单，其配置过程分为两步：

LDAP服务器信息配置LDAP用户信息同步配置过程中，需要认真检查以下配置项：

检查项检查项说明LDAP服务器版本目前主流的LDAP服务器支持V2和V3版本的LDAP协议，根据该LDAP服务器的实际情况，选择其支持的LDAP协议版本LDAP服务器IP地址CAMS与LDAP服务器通讯需要的IP地址信息LDAP服务器IP端口CAMS与LDAP服务器通讯需要的端口信息，LDAP服务器的通讯端口，缺省值为389，假如使用SSL通讯，则缺省端口为636。

目前CAMS不支持SSL连接。

LDAP服务器治理员可更改LDAP服务器的通讯端口，请根据实际情况设置此值治理员DN（DistinguishedName）拥有用户帐号数据查询权限的治理员DN，CAMS利用该用户与LDAP服务器建立连接治理员密码该密码为LDAP服务器治理员密码用户BASEDN（DistinguishedName）用户数据保存的基准节点，所有用户帐号信息均作为该节点的子节点保存，输入值必须与LDAP服务器中存放用户数据的基准节点DN相同。

用户名属性名称LDAP服务器中用户标识属性名称，利用该属性指定的值，可唯一确定一用户用户密码属性名称LDAP服务器中，保存用户密码的属性名称自动连接间隔时长CAMS系统在与LDAP服务器建立连接时，假如连接失败，会在该设定时间后重试建立连接。

间隔时长范围为[3,1440]分钟导出用户过滤条件根据该条件，可重LDAP服务器中导出用户信息 目前应用较为广泛的LDAP服务器包括SunONE5.2，Netscape6.0，MicrosoftActiveDirectory5.0，NovelleDirectory8.5.1等。

不同的LDAP服务器，其用户BaseDN（用户信息基准节点）、用户属性信息标识、治理员DN也有一些区别，下面就选取SunONE5.2，Netscape6.0和MicrosoftActiveDirectory5.0分别进行说明。

2.3       CAMS系统与MicrosoftActiveDirectory5.0配合配置

在Windows系统中，Window2000、window2003等服务器通常使用ActiveDirectory治理用户信息。

CAMS系统配置ActiveDirectory的过程如下

2.3.1        步骤一：

配置LDAP服务器信息

进入CAMS主界面左边的组件治理，选择LDAP组件里面的LDAP服务器治理，如下图：

图表1LDAP服务器治理主页面

点击查看大图

点击主界面上“增加”按钮，进入LDAP服务器增加页面，配置LDAP服务器信息。

图表2LDAP服务器配置页面

注重：

BaseDN的配置在配置BaseDN时，应注重用户基准节点为“cn=users,”+“服务器所在的域”。

在服务器上“我的电脑”->“系统信息”->“计算机名”或“ou=组织名,”+“服务器所在的域”（依用户处于治理员自定义的组织organizationalunit中还是系统缺省的容器container中而定）。

在服务器上“我的电脑”->“系统信息”->“计算机名”中可查看服务器所在的域。

假设服务器的域为“”，那么应配置BaseDN为：

cn=users,dc=cams,dc=com。

2、治理员DN的配置对于ActiveDirectory，治理员可配置为任何具有用户查询权限的帐号。

在配置治理员DN时，需要输入完全治理员的DN，比如治理员是Administrator，由于Administrator也属于Users用户组，则治理员DN为：

cn=Administrator,cn=users,dc=cams,dc=com。

用户名属性标识在ActiveDirectory中，用户名属性标识通常为：

saMAccountName用户名密码属性标识在ActiveDirectory中，用户名密码属性标识通常为：

userPassWord

进入讨论组讨论。

2.3.2       步骤二：

测试LDAP服务器是否配置是否正确

在配置完成后，可点击配置项目后的“同步”按钮，假如出现以下界面，表示配置成功。

图表3LDAP服务器设置成功后同步结果信息

点击查看大图

2.3.3       步骤三：

LDAP服务器用户数据导出

用户的帐号信息要通过CAMS到LDAP服务器进行认证，CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。

CAMS系统提供LDAP用户导出功能，将LDAP服务器中的用户信息导出到文件中，再利用CAMS系统的批量帐号导入功能，将导出文件中的用户信息加入到CAMS服务器中。

点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单，可进入LDAP用户导出界面：

图表4LDAP用户属性查询界面

点击查看大图

从LDAP服务器下拉框中选择需要导出用户的LDAP服务器，在过滤条件中输入用户选择的过滤条件。

注重：

输入过滤条件时，对于ActiveDirectory，不可使用缺省条件“（&（objectclass=*）（cn=*）（userPassword=*））”，因为ActiveDirectory中，用户密码不可使用LDAP协议查询，假如选择“userPassword”属性为过滤条件，则无法导出任何数据。

此外使用“cn=*”作为过滤条件时，由于ActiveDirectory的用户BaseDN下还包含了许多Windows系统内部用户的信息，这些用户并非Windows域认证用户，导出结果会有很多无用信息。

“userPrincipalName=*”表示过滤出BaseDN下所有包含域登录名的帐号信息，此过滤条件导出的结果才是用户需要的帐号信息。

假如想过滤掉系统缺省的用户，仅导出需要治理的用户，还可以用下面条件来过滤：

（&（distinguishedName=*）（userPrincipalName=*））点击“查询”按钮，进入导出文件设置页面图表5导出文件设置界面

点击查看大图

在该页面中选择导出属性为“saMAcccountName”和“userPrincipalName”，输入文件名，点击“导出”按钮，导出文件并保存。

注重：

在使用LDAP用户导出文件将用户批量导入CAMS系统时，批量导入的帐号名属性应该对应文件中的“saMAcccountName”属性字段。

进入讨论组讨论。

2.3.4       步骤四：

批量导入LDAP用户信息

在LDAP服务器中成功导出用户信息后，需要将用户信息批量导入导CAMS系统中。

使用CAMS系统的批量导入功能，可完成此操作。

在CAMS系统用户治理主界面中，点击“批量导入”按钮，进入批量导入用户界面，按向导操作即可完成。

图表6用户帐号治理界面

点击查看大图

批量导入界面如下：

图表7帐号批量导入界面

点击查看大图

注重：

在批量导入帐号时，帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。

2.3.5       步骤五：

LDAP用户信息治理

在LDAP服务器增加成功后，需要进行LDAP认证用户的信息治理。

在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接，进入LDAP用户治理页面如下：

图表8LDAP服务器用户治理界面

点击查看大图

从该页面可以看出，用户lhs和test已经是LDAP服务器认证用户。

假如要添加新的LDAP认证用户，则需要点击该页面中的“增加”按钮，进入LDAP用户增加页面，如下图：

图表9LDAP服务器用户增加界面

点击查看大图

在复选框中选中需要使用LDAP服务器认证的用户，点击页面菜单条中的“增加”按钮，即可将用户设定为相应的LDAP服务器认证用户。

2.3.6       步骤六：

LDAP认证简单测试

在完成LDAP服务器增加、LDAP用户治理步骤后，可简单测试用户是否可在ActiveDirectory进行认证。

进入用户自助界面，输入已加入LDAP服务器治理的用户名及其在ActiveDirectory中的密码，点击登录，假如用户登录成功，表明上述配置均正确无误。

进入讨论组讨论。

2.4       CAMS系统与NetScapeDirectoryServer6.0配合配置

NetScapeDirectoryServer6.0通常作为Sun公司iPlanet应用服务器产品中的用户数据治理服务器。

同ActiveDirectory相比，其配置比较简单。

配置过程基本与ActiveDirectory相同，需要非凡注重的是其治理员DN的设置和用户导出的过滤条件设置。

2.4.1       步骤一：

添加LDAP服务器

点击主界面上“增加”按钮，进入LDAP服务器增加页面

点击查看大图

 注重：

1、BaseDN的配置在配置BaseDN时，应注重用户基准节点为“ou=people,”+“用户根节点suffix”。

假设在安装NetScapeServer时，用户根节点suffix设为“”，那么应配置BaseDN为：

ou=people,o=2、治理员DN的配置NetScapeDirectoryServer的治理员在服务器安装时指定，治理员所在目录通常与用户所在目录不同，假如服务器安装时，缺省的LDAP数据库将治理员DN为：

cn=DirectoryManager。

治理员DN应设为：

cn=DirectoryManager，同ActiveDirectory相比，其治理员名称前应该增加“cn=”1、用户名属性标识用户名属性标识通常为：

uid，假如该Ldap服务器中，用户帐号通过属性“cn”唯一确定，其用户属性标识应设为：

cn，具体情况请咨询Ldap服务器治理员。

2、用户名密码属性标识用户名密码属性标识通常为：

userPassword

2.4.2       步骤二：

测试LDAP服务器是否配置是否正确

在配置完成后，可点击配置项目后的“同步”按钮，假如出现以下界面，表示配置成功。

点击查看大图

图表