Управление доступом
Настройка входа через LDAP

Настройка входа через LDAP

К системе 5А можно подключать внешние базы пользователей, загружаемые с серверов по протоколу LDAP. Это позволяет аутентифицировать и автоматически регистрировать пользователей, у которых есть учётные записи на таких серверах, без необходимости регистрироваться отдельно для входа в систему 5А.

Когда пользователь входит в систему, ему доступен выбор базы пользователей, через которую будет выполнен вход в систему.

Форма входа в систему 5А с подключенной внешней базой пользователей через LDAP

Внешние базы пользователей отображаются в разделе Глобальные настройки → Настройки LDAP. Этот раздел доступен только администратору и пользователям с полным доступом.

Подключение базы пользователей

Чтобы подключить новую базу пользователей LDAP:

  1. Перейдите в раздел Глобальные настройки → Настройки LDAP.

  2. Нажмите Добавить конфигурацию.

  3. Заполните поля в обеих частях формы:

  4. Чтобы сохранить настройки, нажмите Добавить конфигурацию.

  5. В списке внешних баз LDAP убедитесь, что включены нужные базы. Для включения или отключения используйте переключатель Переключатель.

  6. Чтобы выбрать одну из конфигураций LDAP в качестве способа входа по умолчанию, в соответствующей строке включите опцию Вход по умолчанию. Если ни одна конфигурация LDAP не выбрана, по умолчанию в форме входа будет выбрана опция Локальный вход.

Общие настройки

Пример общих настроек для конфигурации LDAP

  • Название — название конфигурации подключения LDAP, используемое для удобной идентификации в интерфейсе системы 5А.
  • Фильтр поиска — описание конструкции LDAP-фильтра, который определяет, какие пользователи из внешней базы будут доступны администратору для выбора при добавлении нового пользователя в систему 5А.
ℹ️

С примерами конструкций фильтров для LDAP можно ознакомиться в документации (opens in a new tab).

  • Базовый DN — корневая ветвь каталога LDAP, с которой начинается поиск пользователей. Указывает область поиска в иерархии каталога.

  • Имя или IP адрес сервера — сетевой адрес LDAP-сервера, к которому будет подключаться система. Может быть доменным именем или IP-адресом.

    ⚠️

    Если в поле указано внутреннее имя домена, то на сервере с размещенными компонентами системы 5А должен быть настроен системный DNS-сервер, который может разрешать внутренние имена.

  • Порт — номер порта, на котором работает LDAP-сервер.

    Обычно LDAP-сервер работает на порту 389 (LDAP) или 636 (LDAPS, защищённое соединение).

  • Атрибут DN — имя атрибута, содержащего уникальный идентификатор пользователя в каталоге.

  • Пароль — пароль для учётной записи пользователя, используемой для подключения к LDAP-серверу и чтения данных из каталога.

  • Использовать защищенное соединение — опция включает использование шифрования SSL/TLS (LDAPS).

Дополнительные атрибуты

Пример правил для дополнительных атрибутов

В секции Дополнительные атрибуты можно задать правила для заполнения полей учётных записей в системе 5А на основе атрибутов, полученных из каталога LDAP.

Чтобы добавить новое правило, нажмите кнопку Добавить и в появившейся строке укажите Внешний атрибут и Внутренний атрибут.

Для корректной работы конфигурации следует обязательно указать правило для внутреннего атрибута Имя пользователя. Также рекомендуется указать правила для внутренних атрибутов Имя и Фамилия.

Чтобы удалить правило, нажмите на значок корзины.

Вход через LDAP

Когда включена хотя бы одна конфигурация LDAP, в форме входа появляется поле Войти через LDAP.

На странице входа:

  1. В поле Войти через LDAP выберите конфигурацию внешней базы пользователей или Локальный вход.

  2. Введите логин и пароль.

  3. Нажмите Войти.

Локальный вход выбран по умолчанию, если ни для одной конфигурации LDAP не включена опция Вход по умолчанию. Если опция включена, соответствующая конфигурация уже выбрана в поле Войти через LDAP.

Добавление сертификатов для LDAPS

Для безопасного подключения к Active Directory через LDAPS необходимо, чтобы система 5А доверяла сертификату вашего контроллера Active Directory. Ниже приведена краткая инструкция по добавлению корневого или промежуточного CA-сертификата в доверенные на примере Docker-контейнера backend системы 5А:

  1. Обратитесь к администратору домена Active Directory и запросите корневой или промежуточный CA-сертификат (в формате .crt или .pem).

  2. На сервер с компонентами системы 5А скопируйте файл сертификата (например, CA.crt) в директорию, доступную контейнеру.

  3. Зайдите в работающий контейнер backend:

    docker exec -it backend /bin/sh

  4. Установите пакет ca-certificates:

    apk add --no-cache ca-certificates

  5. Скопируйте файл сертификата в каталог доверенных:

    cp /opt/certs/CA.crt /usr/local/share/ca-certificates/

  6. Обновите список доверенных сертификатов:

    update-ca-certificates
ГруппыПерсональные токены доступа (PAT)