השמיים RELIANOID טען איזון כולל בקרת גישה מבוססת תפקידים (RBAC) מודול. RBAC הוא מנגנון בקרת גישה ניטרלי למדיניות המרוכז סביב משתמשים, תפקידים והרשאות. מודול זה משתלב עם מקורות נתונים שונים ודורש אישורי משתמש ספציפיים.

מקורות נתונים נתמכים #

LDAP. משתמשים מאומתים מול מערכת LDAP קיימת, כגון OpenLDAP, מדריך Active Directory של מיקרוסופט, או יישומי LDAP אחרים.
מְקוֹמִי. משתמשים מאומתים מול המקומי מסד נתונים של משתמשי לינוקס (/ וכו '/ צל).

תצורת מערכת אימות #

כפי שמוצג בצילום המסך למעלה, ניתן להפעיל או להשבית את מערכות האימות לפי הצורך. אם מספר מערכות אימות מופעלות, המערכת תנסה תחילה להתחבר למשתמש דרך LDAP. אם המשתמש לא יימצא, היא תנסה את מקור הנתונים המקומי ( /etc/shadow ).

שדות טבלת מערכת אימות #

מערכת. מציין את מודול האימות עבור משתמשים מחוברים. גרסה זו תומכת בכניסות נגד LDAP ו מְקוֹמִי. יש להגדיר מערכות LDAP כמפורט בסעיפים מאוחרים יותר.
מצב. מציין אם מערכת האימות מופעלת או מושבתת. א ירוק מחוון אומר שהמערכת פעילה, בעוד Red אומר שהוא מושבת.

פעולות מערכת אימות #

הַתחָלָה. מפעיל את מודול האימות.
עצור. משבית את מודול האימות.
גדר. מגדיר את מודול האימות ומריץ בדיקות כדי לוודא שמחבר ה-LDAP מוגדר כהלכה.

הגדרת מחבר אימות LDAP #

כדי להגדיר את מחבר ה-LDAP, מלא את הפרמטרים הבאים:

מארח/כתובת אתר. השרת שבו LDAP נגיש.
נָמָל. יציאת ה-TCP שבה שרת ה-LDAP מאזין, בדרך כלל 389 או 636 עבור LDAPS (SSL).
לאגד את ד.נ.. האישורים (שם משתמש) המשמשים לאימות LDAP.
כבל סיסמא. הסיסמה עבור לאגד את ד.נ. המשתמש.
בסיס DN. נקודת ההתחלה בספרייה לחיפושי אימות משתמש LDAP.
היקף. מציין את עומק חיפוש ה-LDAP.
גִרְסָה. מציין את גרסת ה-LDAP לשימוש.
פסק זמן. מגדיר את משך ההמתנה לתגובת LDAP.
סינון. מגביל את מספר המשתמשים או הקבוצות שיכולים לגשת לאפליקציה.

חיפוש LDAP לדוגמה #

להלן דוגמה לחיפוש LDAP באמצעות השדות שתוארו לעיל, המציג משתמש שנמצא ב-LDAP:

root@client:~$ ldapsearch -h ldap.relianoid.com -D cn=admin,dc=relianoid,dc=com -b ou=people,dc=relianoid,dc=com -W הזן סיסמת LDAP: # LDIF מורחב # # LDAPv3 # בסיס with subtree # filter: (objectclass=*) # requesting: ALL # # people, relianoid.com dn: ou=people,dc=relianoid,dc=com objectClass:organizationalUnit objectClass: top ou: people # johndoe, people, relianoid .com dn: cn=johndoe,ou=people,dc=relianoid,dc=com cn: johndoe givenName: John gidNumber: 500 homeDirectory: /home/users/johndoe sn: doe loginShell: /bin/sh objectClass: inetOrgPerson objectClass: posixAccount objectClass: top uidNumber: 1000 uid: johndoe userPassword:: e2NSWVBUfXVLdXXXXFcxNGZaOGfdaJyZW8= # חיפוש תוצאת חיפוש: 2 תוצאה: 0 הצלחה # numResponses: 3 # numEntries: 2

המאפיינים uid ו- password משמשים במודול RBAC לצורך אימות.

לאחר אישור התכונות הנדרשות, וחיפוש ה-LDAP הצליח, הגדר את מודול RBAC LDAP באופן הבא:

• שרת LDAP: ldap.relianoid.com .
• נָמָל: לא כלול בפקודה, אז כברירת מחדל 389.
• לאגד את ד.נ.: cn=admin,dc=relianoid,dc=com .
• כבל את סיסמת DN: סיסמה סודית.
• חיפוש בסיסי: ou=אנשים,dc=relianoid,dc=com .
• סינון: לא בשימוש בדוגמה.

פעולות מערכת אימות LDAP #

• החל. שלח והחל את התצורה החדשה.
• בדוק קישוריות. הפעל בדיקת קישוריות LDAP.
• החזר שינויים. אפס את שדות הטופס שהשתנו עם הערכים שהוחלו לאחרונה.

שיקולים חשובים של LDAP ו-AD #

מארח. תומך בשניהם מארח ו כתובת האתר פורמטים. השתמש בכתובת האתר כדי לציין את הפרוטוקול (למשל, ldap://ldap.relianoid.com or ldaps://ldap.relianoid.com).
נָמָל. אין צורך אם מוגדרת כתובת URL. היציאה אינהרנטית אך ציין אותה אם אתה משתמש ביציאת LDAP שאינה ברירת מחדל.
היקף. מציין את רמת החיפוש. האפשרויות כוללות:

• תַת: חפש ב-Base DN ובכל רמות המשנה.
• אחת: חפש ב-Base DN וצעד אחד קדימה.
• בסיס: חפש רק ב-Base DN ללא רמות משנה.

מסנן : משמש כתנאי לשינוי אופן ההתחברות. לדוגמה, Active Directory משתמש בתכונה sAMAccountName לצורך התחברות. ניתן לשרשר מסננים כדי להתאים לכל התנאים (למשל, (&(&(sAMAccountName=%s)(memberOf=CN=sysadmins,OU=yourOU,DC=yourcompany,DC=com))) ).