LDAP组件配置案例

3/1/2008来源:华为网络人气:10233

LDAP组件配置案例

1         概述

在CAMS系统的某些应用场景中,用户需要CAMS系统和已有的某些应用系统(比如邮件系统、Windows域)共享帐号和密码信息,从而方便终端用户的使用。假如用户的应用系统使用LDAP服务器治理终端用户的帐号信息,则可以通过使用CAMS系统的LDAP组件,将终端用户的上网认证重新定向至用户的LDAP服务器,实现上网帐号和应用系统帐号的统一。

1.1        功能描述

使用LDAP组件,用户可使用存储在LDAP服务器中的帐号信息,进行网络的物理层接入认证。LDAP组件实现LDAP服务器中的用户帐号信息与CAMS系统的用户帐号信息同步,并将用户的接入认证请求重定向至LDAP服务器处理。

1.2        使用限制

LDAP组件的使用,同具体的设备无关,该组件使用LDAP协议同LDAP服务器通讯,可支持当前市场上所有主流LDAP服务器,CAMS系统与LDAP服务器的通讯,目前不支持SSL连接。

2         典型组网及配置

2.1        组网图

在LDAP组件的应用场景中,其应用的示意组网图通常如下如下: LDAP组件配置案例(图一) LDAP组件应用示意图 1 以终端用户A为例,用户的认证过程包括以下四个步骤: 终端用户向CAMS发起认证请求 CAMS检查该用户是否为LDAP服务器认证用户,假如用户帐号、密码信息存在于LDAP服务器,则CAMS向LDAP服务器发起认证请求 LDAP服务器返回认证结果给CAMS服务器 CAMS服务器将认证结果返回终端用户

2.2        配置过程及步骤

LDAP组件的配置过程比较简单,其配置过程分为两步: LDAP服务器信息配置 LDAP用户信息同步 配置过程中,需要认真检查以下配置项: 检查项 检查项说明 LDAP服务器版本 目前主流的LDAP服务器支持V2和V3版本的LDAP协议,根据该LDAP服务器的实际情况,选择其支持的LDAP协议版本 LDAP服务器ip地址 CAMS与LDAP服务器通讯需要的IP地址信息 LDAP服务器IP端口 CAMS与LDAP服务器通讯需要的端口信息,LDAP服务器的通讯端口,缺省值为389,假如使用SSL通讯,则缺省端口为636。目前CAMS不支持SSL连接。LDAP服务器治理员可更改LDAP服务器的通讯端口,请根据实际情况设置此值 治理员DN(Distinguished Name) 拥有用户帐号数据查询权限的治理员DN,CAMS利用该用户与LDAP服务器建立连接 治理员密码 该密码为LDAP服务器治理员密码 用户BASE DN(Distinguished Name) 用户数据保存的基准节点,所有用户帐号信息均作为该节点的子节点保存,输入值必须与LDAP服务器中存放用户数据的基准节点DN相同。 用户名属性名称 LDAP服务器中用户标识属性名称,利用该属性指定的值,可唯一确定一用户 用户密码属性名称 LDAP服务器中,保存用户密码的属性名称 自动连接间隔时长 CAMS系统在与LDAP服务器建立连接时,假如连接失败,会在该设定时间后重试建立连接。间隔时长范围为[3,1440]分钟 导出用户过滤条件 根据该条件,可重LDAP服务器中导出用户信息   目前应用较为广泛的LDAP服务器包括Sun ONE5.2,Netscape 6.0,Microsoft Active Directory 5.0,Novell eDirectory 8.5.1等。不同的LDAP服务器,其用户Base DN(用户信息基准节点)、用户属性信息标识、治理员DN也有一些区别,下面就选取Sun ONE5.2,Netscape 6.0和Microsoft Active Directory 5.0分别进行说明。

2.3        CAMS系统与Microsoft Active Directory5.0配合配置

在Windows系统中,Window2000、window2003等服务器通常使用Active Directory治理用户信息。CAMS系统配置Active Directory的过程如下

2.3.1         步骤一:配置LDAP服务器信息

进入CAMS主界面左边的组件治理,选择LDAP组件里面的LDAP服务器治理,如下图: 图表 1LDAP服务器治理主页面 LDAP组件配置案例(图二)
点击查看大图
点击主界面上“增加”按钮,进入LDAP服务器增加页面,配置LDAP服务器信息。 图表 2 LDAP服务器配置页面 LDAP组件配置案例(图三) 注重: Base DN的配置 在配置Base DN时,应注重用户基准节点为“cn=users,”+ “服务器所在的域”。在服务器上“我的电脑”->“系统信息”->“计算机名”或“ou=组织名,”+ “服务器所在的域”(依用户处于治理员自定义的组织organizational unit中还是系统缺省的容器container中而定)。在服务器上“我的电脑”->“系统信息”->“计算机名”中可查看服务器所在的域。假设服务器的域为“cams.com”,那么应配置Base DN为:cn=users,dc=cams,dc=com。 2、治理员DN的配置 对于Active Directory,治理员可配置为任何具有用户查询权限的帐号。在配置治理员DN时,需要输入完全治理员的DN,比如治理员是Administrator,由于Administrator也属于Users用户组,则治理员DN为:cn=Administrator,cn=users,dc=cams,dc=com。 用户名属性标识 在Active Directory中,用户名属性标识通常为:saMAccountName 用户名密码属性标识 在Active Directory中,用户名密码属性标识通常为:userPassWord

进入讨论组讨论。

2.3.2        步骤二:测试LDAP服务器是否配置是否正确

在配置完成后,可点击配置项目后的“同步”按钮,假如出现以下界面,表示配置成功。 图表 3 LDAP服务器设置成功后同步结果信息 LDAP组件配置案例(图四)
点击查看大图

2.3.3        步骤三:LDAP服务器用户数据导出

用户的帐号信息要通过CAMS到LDAP服务器进行认证,CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。CAMS系统提供LDAP用户导出功能,将LDAP服务器中的用户信息导出到文件中,再利用CAMS系统的批量帐号导入功能,将导出文件中的用户信息加入到CAMS服务器中。 点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单,可进入LDAP用户导出界面: 图表 4 LDAP用户属性查询界面 LDAP组件配置案例(图五)
点击查看大图
从LDAP服务器下拉框中选择需要导出用户的LDAP服务器,在过滤条件中输入用户选择的过滤条件。 注重:输入过滤条件时,对于Active Directory,不可使用缺省条件“(&(objectclass=*)(cn=*)(userPassword=*))”,因为Active Directory中,用户密码不可使用LDAP协议查询,假如选择“userPassword”属性为过滤条件,则无法导出任何数据。此外使用“cn=*”作为过滤条件时,由于Active Directory的用户Base DN下还包含了许多Windows系统内部用户的信息,这些用户并非Windows域认证用户,导出结果会有很多无用信息。“userPRincipalName=*”表示过滤出Base DN下所有包含域登录名的帐号信息,此过滤条件导出的结果才是用户需要的帐号信息。 假如想过滤掉系统缺省的用户,仅导出需要治理的用户,还可以用下面条件来过滤: (&(distinguishedName=*)(userPrincipalName=*)) 点击“查询”按钮,进入导出文件设置页面 图表 5 导出文件设置界面 LDAP组件配置案例(图六)
点击查看大图
在该页面中选择导出属性为“saMAcccountName”和“userPrincipalName”,输入文件名,点击“导出”按钮,导出文件并保存。 注重:在使用LDAP用户导出文件将用户批量导入CAMS系统时,批量导入的帐号名属性应该对应文件中的“saMAcccountName”属性字段。

进入讨论组讨论。
2.3.4        步骤四:批量导入LDAP用户信息

在LDAP服务器中成功导出用户信息后,需要将用户信息批量导入导CAMS系统中。使用CAMS系统的批量导入功能,可完成此操作。在CAMS系统用户治理主界面中,点击“批量导入”按钮,进入批量导入用户界面,按向导操作即可完成。 图表 6用户帐号治理界面 LDAP组件配置案例(图七)
点击查看大图
批量导入界面如下: 图表 7 帐号批量导入界面 LDAP组件配置案例(图八)
点击查看大图
注重:在批量导入帐号时,帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。

2.3.5        步骤五:LDAP用户信息治理

在LDAP服务器增加成功后,需要进行LDAP认证用户的信息治理。在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接,进入LDAP用户治理页面如下: 图表 8 LDAP服务器用户治理界面 LDAP组件配置案例(图九)
点击查看大图
从该页面可以看出,用户lhs和test已经是LDAP服务器认证用户。假如要添加新的LDAP认证用户,则需要点击该页面中的“增加”按钮,进入LDAP用户增加页面,如下图: 图表 9 LDAP服务器用户增加界面 LDAP组件配置案例(图十)
点击查看大图
在复选框中选中需要使用LDAP服务器认证的用户,点击页面菜单条中的“增加”按钮,即可将用户设定为相应的LDAP服务器认证用户。

2.3.6        步骤六:LDAP认证简单测试

在完成LDAP服务器增加、LDAP用户治理步骤后,可简单测试用户是否可在Active Directory进行认证。 进入用户自助界面,输入已加入LDAP服务器治理的用户名及其在Active Directory中的密码,点击登录,假如用户登录成功,表明上述配置均正确无误。

进入讨论组讨论。
2.4        CAMS系统与NetScape Directory Server 6.0配合配置

NetScape Directory Server 6.0通常作为Sun公司iPlanet应用服务器产品中的用户数据治理服务器。同Active Directory相比,其配置比较简单。配置过程基本与Active Directory相同,需要非凡注重的是其治理员DN的设置和用户导出的过滤条件设置。

2.4.1        步骤一:添加LDAP服务器

点击主界面上“增加”按钮,进入LDAP服务器增加页面 LDAP组件配置案例(图十一)
点击查看大图
  注重: 1、 Base DN的配置 在配置Base DN时,应注重用户基准节点为“ou=people,”+ “用户根节点suffix”。假设在安装NetScape Server时,用户根节点suffix设为“hauwei.com”,那么应配置Base DN为:ou=people,o=hauwei.com 2、治理员DN的配置 NetScape Directory Server的治理员在服务器安装时指定,治理员所在目录通常与用户所在目录不同,假如服务器安装时,缺省的LDAP数据库将治理员DN为:cn=Directory Manager。治理员DN应设为:cn=Directory Manager,同Active Directory相比,其治理员名称前应该增加“cn=” 1、 用户名属性标识 用户名属性标识通常为:uid,假如该Ldap服务器中,用户帐号通过属性“cn”唯一确定,其用户属性标识应设为:cn,具体情况请咨询Ldap服务器治理员。 2、 用户名密码属性标识 用户名密码属性标识通常为:userPassword

2.4.2        步骤二:测试LDAP服务器是否配置是否正确

在配置完成后,可点击配置项目后的“同步”按钮,假如出现以下界面,表示配置成功。 LDAP组件配置案例(图四)
点击查看大图
图表 10 LDAP服务器设置成功后同步结果信息

进入讨论组讨论。
2.4.3        步骤三:LDAP服务器用户数据导出

用户的帐号信息要通过CAMS到LDAP服务器进行认证,CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。CAMS系统提供LDAP用户导出功能,将LDAP服务器中的用户信息导出到文件中,再利用CAMS系统的批量帐号导入功能,将导出文件中的用户信息加入到CAMS服务器中。 点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单,可进入LDAP用户导出界面: LDAP组件配置案例(图十二)
点击查看大图
从LDAP服务器下拉框中选择需要导出用户的LDAP服务器,在过滤条件中输入用户选择的过滤条件。 注重:输入过滤条件时,不同于Active Directory,此处可使用缺省条件“(&(objectclass=*)(uid=*)(userPassword=*))”。 点击“查询”按钮,进入导出文件设置页面 LDAP组件配置案例(图十三)
点击查看大图
在该页面中选择导出属性为“uid”输入文件名,点击“导出”按钮,导出文件并保存。 注重:在使用LDAP用户导出文件将用户批量导入CAMS系统时,批量导入的帐号名字段应该对应文件中的“uid”属性字段,切记导出文件中标识帐号名属性的字段应该同增加LDAP服务器时,用户名属性标识一致。

2.4.4        步骤四:批量导入LDAP用户信息

在LDAP服务器中成功导出用户信息后,需要将用户信息批量导入导CAMS系统中。使用CAMS系统的批量导入功能,可完成此操作。在CAMS系统用户治理主界面中,点击“批量导入”按钮,进入批量导入用户界面,按向导操作即可完成。 图表 11用户帐号治理界面 LDAP组件配置案例(图十四)
点击查看大图
批量导入界面如下: 图表 12 帐号批量导入界面 LDAP组件配置案例(图八)
点击查看大图
注重:在批量导入帐号时,帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。

进入讨论组讨论。
2.4.5        步骤五:LDAP用户信息治理

在LDAP服务器增加成功后,需要进行LDAP认证用户的信息治理。在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接,进入LDAP用户治理页面如下: LDAP组件配置案例(图十五)
点击查看大图
图表 13 LDAP服务器用户治理 从该页面可以看出,用户lhs和test已经是LDAP服务器认证用户。假如要添加新的LDAP认证用户,则需要点击该页面中的“增加”按钮,进入LDAP用户增加页面,如下图: LDAP组件配置案例(图十六)
点击查看大图
在复选框中选中需要使用LDAP服务器认证的用户,点击页面菜单条中的“增加”按钮,即可将用户设定为相应的LDAP服务器认证用户。  

2.4.6        步骤六:LDAP认证简单测试

在完成LDAP服务器增加、LDAP用户治理步骤后,可简单测试用户是否可在Active Directory进行认证。 进入用户自助界面,输入已加入LDAP服务器治理的用户名及其在NetScape Directory Server中的密码,点击登录,假如用户登录成功,表明上述配置均正确无误。

进入讨论组讨论。
2.5        CAMS系统与Sun Directory Server 5.2配合配置

Sun Directory Server 5.0通常作为Sun公司Sun identity Server应用服务器产品中的用户数据治理服务器。其配置同NetScape Directory Server 基本相同,仅在Base DN设置时有些变动。

2.5.1        步骤一:添加LDAP服务器

点击主界面上“增加”按钮,进入LDAP服务器增加页面 LDAP组件配置案例(图十七)
点击查看大图
  注重: 1、 Base DN的配置 在配置Base DN时,应注重用户基准节点为“ou=people,”+ “用户根节点suffix”。假设在安装Sun Directory Server时,用户根节点suffix设为“cams.com”,那么应配置Base DN为:ou=people,dc=cams,dc=com,请注重与NetScape Directory Server的区别。 2、 端口配置 Sun Directory Server安装的服务器上可能已经安装了其它厂家的Ldap服务器,389端口被占用,此时需要另外指定Ldap通讯端口,此端口需要按安装时设定的端口值设置。 3、治理员DN的配置 Sun Directory Server的治理员DN配置格式与NetScape Directory Server的治理员DN配置格式相同。假如服务器安装时,设置的LDAP数据库将治理员DN为:cn=Directory Manager。则治理员DN应设为:cn=Directory Manager,同Active Directory相比,其治理员名称前应该增加“cn=” 4、用户名属性标识 用户名属性标识通常为:uid,假如该Ldap服务器中,用户帐号通过属性“cn”唯一确定,其用户属性标识应设为:cn,具体情况请咨询Ldap服务器治理员。 1、 用户名密码属性标识 用户名密码属性标识通常为:userPassword

进入讨论组讨论。
2.5.2        步骤二:测试LDAP服务器是否配置是否正确

在配置完成后,可点击配置项目后的“同步”按钮,假如出现以下界面,表示配置成功。 LDAP组件配置案例(图四)
点击查看大图
图表 14 LDAP服务器设置成功后同步结果信息

2.5.3        步骤三:LDAP服务器用户数据导出

用户的帐号信息要通过CAMS到LDAP服务器进行认证,CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。CAMS系统提供LDAP用户导出功能,将LDAP服务器中的用户信息导出到文件中,再利用CAMS系统的批量帐号导入功能,将导出文件中的用户信息加入到CAMS服务器中。 点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单,可进入LDAP用户导出界面: LDAP组件配置案例(图十八)
点击查看大图
从LDAP服务器下拉框中选择需要导出用户的LDAP服务器,在过滤条件中输入用户选择的过滤条件。 注重:输入过滤条件时,此处可使用缺省条件“(&(objectclass=*)(uid=*)(userPassword=*))”。 点击“查询”按钮,进入导出文件设置页面 LDAP组件配置案例(图十三)
点击查看大图
在该页面中选择导出属性为“uid”输入文件名,点击“导出”按钮,导出文件并保存。 注重:在使用LDAP用户导出文件将用户批量导入CAMS系统时,批量导入的帐号名字段应该对应文件中的“uid”属性字段,切记导出文件中标识帐号名属性的字段应该同增加LDAP服务器时,用户名属性标识一致。

进入讨论组讨论。
2.5.4        步骤四:批量导入LDAP用户信息

在LDAP服务器中成功导出用户信息后,需要将用户信息批量导入导CAMS系统中。使用CAMS系统的批量导入功能,可完成此操作。在CAMS系统用户治理主界面中,点击“批量导入”按钮,进入批量导入用户界面,按向导操作即可完成。 图表 15用户帐号治理界面 LDAP组件配置案例(图十四)
点击查看大图
批量导入界面如下: 图表 16 帐号批量导入界面 LDAP组件配置案例(图八)
点击查看大图
注重:在批量导入帐号时,帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。

2.5.5        步骤五:LDAP用户信息治理

在LDAP服务器增加成功后,需要进行LDAP认证用户的信息治理。在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接,进入LDAP用户治理页面如下: LDAP组件配置案例(图十九)
点击查看大图
图表 17 LDAP服务器用户治理 从该页面可以看出,用户test已经是LDAP服务器认证用户。假如要添加新的LDAP认证用户,则需要点击该页面中的“增加”按钮,进入LDAP用户增加页面,如下图: LDAP组件配置案例(图二十)
点击查看大图
在复选框中选中需要使用LDAP服务器认证的用户,点击页面菜单条中的“增加”按钮,即可将用户设定为相应的LDAP服务器认证用户。

2.5.6        步骤六:LDAP认证简单测试

在完成LDAP服务器增加、LDAP用户治理步骤后,可简单测试用户是否可在Active Directory进行认证。 进入用户自助界面,输入已加入LDAP服务器治理的用户名及其在Sun Directory Server中的密码,点击登录,假如用户登录成功,表明上述配置均正确无误。

进入讨论组讨论。
3         案例配置FAQ

1、 LDAP服务器为什么无法同步成功? LDAP服务器要同步成功,LDAP服务器版本、IP地址、端口号、治理员DN和治理员密码必须设置正确。通常同步不成功的原因为治理员DN设置错误,治理员DN的格式必须根据不同的LDAP服务器设置,具体信息请向LDAP服务器治理员咨询。 2、 LDAP服务器导出用户为什么不成功? 假如LDAP服务器导出用户不成功,首先要检查LDAP服务器是否能与CAMS系统正常通讯,在CAMS系统能与LDAP服务器进行用户信息同步的情况下,通常是导出时过滤条件参数设置错误。 3、 “同步”操作的作用是什么?LDAP服务器用户信息同步后,用户密码可同步到CAMS服务器吗? 同步CAMS系统与LDAP服务器信息的目的,是为了让用户直接在CAMS服务器上认证,提高认证效率。不同的LDAP服务器,对用户密码有不同的治理方式,Active Directory的用户密码不可读,而NetScape Directory的用户密码则可读出并同步到CAMS服务器中。因此,对于Active Directory,即使执行同步操作,用户认证也必须到Active Directory完成,而对于NetScape Directory,用户信息同步后,认证可直接在CAMS系统中执行。 4、 参数“自动连接时长”的作用是什么? CAMS系统在与LDAP服务器建立连接时,假如连接失败,会在该设定时间后重试建立连接。间隔时长范围为[3,1440]分钟。 5、  为什么要设置“实时认证”? 假如实时认证设置为“是”,则用户认证时,不论CAMS系统是否已同步LDAP服务器中的用户信息,CAMS系统均将用户认证请求转发至LDAP服务器认证。由于CAMS系统是天天定时与LDAP服务器同步用户信息,在LDAP服务器中的用户密码改动后,其信息不一定能及时同步至CAMS系统,为了保证用户在密码更改后能实时认证上网,可将“实时认证”设置为“是”,保证用户认证直接在LDAP服务器上完成。
    附件(本网站支持断点续传下载,建议使用FlashGet、NetAnts等支持断点续传的工具下载,登录用户请查看帮助)

LDAP组件配置案例(图二十一) ldap组件配置案例.pdf 进入讨论组讨论。




优质网站模板

  • 1
  • 2
  • 3