Skonfiguruj Nextcloud LDAP i logowanie do Active Directory

Aby korzystać z kont LDAP lub Active Directory w Nextcloud, włącz aplikację „Zaplecze użytkowników i grup LDAP”, skonfiguruj połączenie z katalogiem, a następnie przetestuj filtry użytkowników, logowania i grup, zanim zezwolisz pracownikom na korzystanie z nich. Integracja LDAP w Nextcloud uwierzytelnia w katalogu; nie tworzy ani nie zarządza kontami katalogowymi. Zacznij od konta usługi tylko do odczytu i małej, znanej grupy testowej, aby dokładnie sprawdzić, kto się pojawi i kto będzie mógł się zalogować.

Te kroki są zgodne z podręcznikiem administratora NextCloud 35. Etykiety menu i opakowania mogą się różnić w zależności od wersji, dlatego w razie różnic zapoznaj się z podręcznikiem zainstalowanej wersji.

Przygotuj połączenie z katalogiem

Przed otwarciem ustawień Nextcloud, zapytaj administratora LDAP lub AD o nazwę hosta katalogu, metodę szyfrowanego połączenia, port, nazwę bazową (Base DN) oraz konto powiązania (Bind Account), które umożliwia przeszukiwanie wymaganych drzew użytkowników i grup. Konto powiązania (Bind Account) jest używane przez Nextcloud do wyszukiwania rekordów katalogu; jest ono niezależne od danych logowania każdego użytkownika. Nextcloud zaleca stosowanie dedykowanego konta wyszukiwania.

Użyj szyfrowanego połączenia z weryfikacją certyfikatu. Nextcloud dokumentuje port 636 jako domyślny dla LDAPS. Środowisko PHP serwera Nextcloud musi ufać certyfikatowi katalogu; nie wyłączaj weryfikacji rutynowo. Potwierdź wszelkie niestandardowe połączenia transportowe lub porty u administratora katalogu.

Sprawdź, czy moduł PHP LDAP jest zainstalowany (często w pakiecie php-ldap) i czy serwer Nextcloud może połączyć się z katalogiem na wybranym porcie. Wdrożenia kontenerowe i zarządzane mogą mieć własną, obsługiwaną metodę instalacji.

Włącz zaplecze LDAP i połącz się z serwerem

1. Zaloguj się do NextCloud jako administrator. Otwórz Aplikacje i włącz zaplecze użytkownika i grupy LDAP, jeśli nie jest jeszcze włączone. Identyfikator aplikacji używany przez occto user_ldap.
2. Otwórz ustawienia administracyjne integracji LDAP/AD i rozpocznij nową konfigurację serwera. Najpierw wypełnij kartę Serwer ; Nextcloud użyje jej do przetestowania połączenia z katalogiem i wykrycia ustawień dla pozostałych kart.
3. Wprowadź hosta katalogu lub ldaps://URI, port (jeśli nie został wykryty), pełną nazwę wyróżniającą (DN) konta bind, jego hasło oraz nazwę bazową (Basic DN). Nazwa bazowa (Basic DN) identyfikuje część drzewa katalogów przeszukiwaną przez Nextcloud. Na przykład dc=example,dc=comjest formatem, a nie wartością do skopiowania, chyba że pasuje do Twojego katalogu.
4. Uruchom test połączenia. Jeśli wyszukiwanie nie znajdzie nazwy podstawowej (base DN) ani portu, wprowadź wartości podane przez administratora katalogu. Nie rozszerzaj nazwy podstawowej (base DN) tylko po to, by wykonać test; użyj najmniejszego poddrzewa katalogu zawierającego docelowych użytkowników i grupy.

Zielony wskaźnik serwera oznacza, że ​​NextCloud może komunikować się z katalogiem przy użyciu tych ustawień połączenia. Nie oznacza to jednak, że właściwi użytkownicy mogą się zalogować ani że członkostwo w grupie jest poprawnie zmapowane. Przed uznaniem integracji za gotową należy przejść przez ustawienia użytkownika, logowania i grupy.

Ogranicz liczbę kont, na które można się zalogować

Użyj karty Użytkownicy , aby zdefiniować, które rekordy LDAP będą wyświetlane na liście Nextcloud. Użyj Atrybutów logowania , aby określić, które atrybuty dana osoba może wprowadzić na ekranie logowania. Są to oddzielne elementy sterujące: użytkownik może być widoczny w katalogu bez konieczności logowania, a filtr logowania może wpływać na to, którzy użytkownicy zostaną zaakceptowani.

W przypadku Active Directory konfiguracja NextCloud może automatycznie wykrywać typowe ustawienia, w tym atrybut nazwy użytkownika. Udokumentowany domyślny atrybut nazwy użytkownika znajduje się zazwyczaj sAMAccountNamew usłudze Active Directory i uidwielu katalogach LDAP. Sprawdź wykrytą wartość na rzeczywistym koncie testowym. Jeśli użytkownicy mają logować się przy użyciu adresów e-mail, wybierz atrybut adresu e-mail dopiero po upewnieniu się, że jest on uzupełniony i unikalny dla każdego dozwolonego konta.

W miarę możliwości ogranicz dostęp do dedykowanej grupy Nextcloud. Użyj selektora grupy lub filtra przetestowanego pod kątem własnej klasy obiektów, nazwy wyróżniającej grupy i atrybutów. Nie kopiuj przykładowych filtrów bez zmian: błędny filtr może nie zwrócić żadnych użytkowników lub zwrócić niezamierzony szerszy zestaw.

W sekcji Grupy wybierz klasę obiektów grupy katalogu oraz grupy do udostępnienia; żadna z nich nie jest domyślnie dostępna do momentu skonfigurowania. W przypadku zagnieżdżonych grup w usłudze Active Directory, Nextcloud wskazuje, że sama opcja „Grupy zagnieżdżone” może nie wystarczyć: filtry użytkownika i logowania mogą również wymagać reguły dopasowania usługi Active Directory. Potwierdź to zachowanie u administratora katalogu i przetestuj zagnieżdżonego członka.

Testowanie tożsamości przed produkcją

1. Przejrzyj ustawienia zaawansowane , nie zmieniając opcji, których nie rozumiesz. W szczególności zdecyduj, które pole podaje nazwę wyświetlaną i pozostaw wewnętrzną regułę nazwy użytkownika stabilną.
2. Sprawdź status Aktywna konfiguracja . Nextcloud ostrzega, że ​​wyłączona konfiguracja może spowodować niepowodzenie uwierzytelniania, wyświetlając mylący komunikat „błędne hasło”; pomyślny test zazwyczaj aktywuje uwierzytelnianie automatycznie.
3. Użyj opcji „Test Configuration” , a następnie zapisz. Przycisk testuje wartości aktualnie znajdujące się w polach, więc zapisywanie nie jest wymagane przed testem.
4. Otwórz stronę „Użytkownicy Nextcloud” i sprawdź, czy wyświetlają się oczekiwani przykładowi użytkownicy i grupy. Następnie przetestuj logowanie, używając jednego dozwolonego konta katalogu i jednego konta, które powinno zostać wykluczone.
5. Sprawdź, czy dozwolone konto ma poprawną nazwę wyświetlaną, przynależność do grupy i limit. Jeśli skonfigurowano atrybut profilu lub limit LDAP, zweryfikuj go z użytkownikiem testowym przed szerokim wdrożeniem.

W przypadku kontroli z poziomu wiersza poleceń najpierw znajdź identyfikator konfiguracji za pomocą occ ldap:show-config. Następnie uruchom udokumentowane polecenie testowe, zastępując ten identyfikator:

sudo -E -u www-data php occ ldap:test-config s01
sudo -E -u www-data php occ ldap:test-user-settings "USER_DN"

Dostosuj ścieżkę poleceń i konto serwera WWW dla swojej instalacji; użytkownicy kontenera powinni postępować zgodnie z occprocedurą swojego obrazu. Pierwsze polecenie testuje powiązanie, a drugie sprawdza mapowanie jednego użytkownika.

Dowiedz się, czego integracja nie zmienia

Zaplecze LDAP odczytuje konta katalogowe; nie tworzy ich, nie edytuje ani nie usuwa. Zmiana haseł w Nextcloud jest opcjonalna i zależy od obsługi i konfiguracji katalogu. W przeciwnym razie użytkownicy muszą skorzystać ze standardowej procedury resetowania hasła obowiązującej w organizacji.

Nextcloud przechowuje wewnętrzne mapowania, a wewnętrzne nazwy użytkowników są praktycznie niezmienne; mogą pojawiać się w ścieżkach do folderów domowych i adresach URL DAV. Przed wdrożeniem użytkowników należy wybrać stabilny identyfikator. Nigdy nie czyść mapowań LDAP na instancji produkcyjnej jako skrótu do rozwiązywania problemów, ponieważ może to spowodować pozostawienie odwołań i wpłynąć na wszystkie konfiguracje LDAP.

Jeśli test się nie powiedzie, sprawdź logi Nextcloud, DNS, dostęp do portu, poświadczenia powiązania, podstawową nazwę wyróżniającą (DN) i zaufanie certyfikatu. Jeśli nie pojawią się żadni użytkownicy, sprawdź filtry użytkowników i klasy obiektów; jeśli użytkownicy się pojawią, ale nie mogą się zalogować, sprawdź atrybuty logowania i status aktywności. Zweryfikuj, logując się na dozwolone konto i potwierdzając, że wykluczone konto zostało odrzucone.

Odnośniki: Dokumentacja uwierzytelniania LDAP w Nextcloud 35 , Polecenia occ LDAP w Nextcloud 35 i Wymagania modułu PHP w Nextcloud .