Dieser Modultyp funktioniert ähnlich wie der Modultyp "LDAP-Authentifizierung", verwendet jedoch anstatt eines LDAP-Verzeichnisses das Microsoft Active Directory. Dieser Modultyp ermöglicht die gleichzeitige Verwendung von LDAP und Active Directory in einem Bereich. Bei Active Directory-Authentifizierungsattributen handelt es sich um Bereichsattribute. Es existieren folgende Attribute:
Gibt den Hostnamen und die Anschlussnummer des während der OpenSSO-Installation festgelegten primären Active Directory Server an. Es handelt sich hierbei um den Server, auf den bei der Active Directory-Authentifizierung zuerst zugegriffen wird. Das Format lautet hostname:port. Wenn keine Portnummer angegeben wurde, kann in der Regel 389 verwendet werden.
Wenn Sie OpenSSO in mehreren Domänen bereitstellen, können Sie den Kommunikationslink zwischen bestimmten Instanzen von OpenSSO und Directory Server in folgendem Format angeben (bei Mehrfacheingaben muss der Name des lokalen Servers vorangestellt werden):
local_servername|server:port local_servername2|server2:port2 ...
Wenn beispielsweise zwei OpenSSO-Instanzen an unterschiedlichen Standorten bereitgestellt wurden (L1-machine1-IS und L2- machine2-IS), die mit unterschiedlichen Instanzen von Directory Server kommunizieren (L1-machine1-DS und L2-machine2-DS), würde dies wie folgt aussehen:
L1-machine1-IS.example.com|L1-machine1-DS.example.com:389
L2-machine2-IS.example.com|L2-machine2-DS.example.com:389
Gibt den Hostnamen und die Anschlussnummer eines zweiten für die OpenSSO-Plattform verfügbaren Active Directory Server an. Wenn der primäre Active Directory Server nicht auf eine Authentifizierungsanforderung nicht antwortet, wird dieser Server kontaktiert. Sobald der primäre Server wieder läuft, kehrt OpenSSO zu diesem Server zurück. Das Format lautet ebenfalls hostname:port. Bei Mehrfacheingaben muss der lokale Servername vorangestellt werden.
Achtung – Bei einer Authentifizierung von Benutzern an einem Directory Server, der sich als Remote-Server an einem anderen Standort als OpenSSO befindet, ist es wichtig, dass sowohl die primären als auch die sekundären LDAP-Server-Anschlüsse über Werte verfügen. Die Wert für einen Directory Server-Standort kann für beide Felder verwendet werden.
Gibt den DN des Knotens an, bei dem die Suche nach einem Benutzer beginnen soll. (Um die Systemleistung nicht zu beeinträchtigen, sollte dieser DN den Startpunkt so genau wie möglich angeben.) Der Standardwert ist die Root-Ebene des Verzeichnisbaums. Es wird jeder gültige DN erkannt. Wenn im Suchbereich-Attribut ";OBJECT" ausgewählt ist, sollte der DN die Ebene angeben, die unmittelbar über der Ebene liegt, in der sich das Profil befindet. Bei Mehrfacheingaben muss der lokale Servername vorangestellt werden. Das Format lautet servername|search dn.
Für Mehrfacheingaben:
servername1|search dn servername2|search dn servername3|search dn...
Wenn unter der Root-Organisation mehrere Einträge mit derselben Benutzer-ID vorhanden sind, sollte dieser Parameter so festgelegt werden, dass nur nach einem einzigen Eintrag zur Authentifizierung gesucht bzw. nur ein einziger gefunden werden kann. Wenn beispielsweise die Agenten-ID und die Benutzer-ID unter der Root-Organisation identisch sind, sollte dieser Parameter ou=Agents (für die Authentifizierung der Root-Organisation mithilfe der Agenten-ID) und ou=People, (für die Authentifizierung der Root-Organisation mithilfe der Benutzer-ID) lauten.
Gibt den DN des Benutzers an, der als Administrator den BIND-Vorgang mit dem im Feld ";Primary LDAP-Server und -Anschluss" angegebenen Directory Server durchführen soll. Der BIND-Vorgang für den Authentifizierungsdienst muss mit diesem DN erfolgen, um die Suche nach einem mit der Anmeldungs-ID übereinstimmenden Benutzer-DN zu ermöglichen. Der Standardwert lautet amldapuser. Jeder gültige DN wird erkannt.
Stellen Sie vor der Abmeldung sicher, dass das Passwort korrekt ist. Falls es nicht korrekt ist, werden Sie gesperrt. Wenn dieser Fall eintritt, können Sie sich mit dem Superuser-DEN anmelden. Standardmäßig handelt es sich um das Konto amAdmin, mit dem Sie sich normalerweise anmelden, allerdings verwenden Sie den vollständigen DN. Beispiel:
uid_amAdmin,ou=People,OpenSSO-base
Gibt das Passwort des im Feld ";DN für Root-Benutzer-BIND" festgelegten Administratorprofils an. Es gibt keinen Standardwert. Es wird nur das gültige Active Directory-Passwort des Administrators erkannt.
Bestätigen Sie das Passwort.
Gibt das zur Benennung von Benutzereinträgen verwendete Attribut an. In OpenSSO wird standardmäßig davon ausgegangen, dass Benutzereinträge durch das Attribut "uid" identifiziert werden. Wenn auf Ihrem Directory Server ein anderes Attribut verwendet wird (z. B. givenname), geben Sie den Namen des verwendeten Attributs in diesem Feld ein.
Listet die Attribute auf, die vom Suchfilter für einen zu authentifizierenden Benutzer zu verwenden sind und die es dem Benutzer ermöglichen, eine Authentifizierung mit mehreren Attributen im Benutzereintrag durchzuführen. Wird dieses Feld beispielsweise auf uid, employeenumber und mail eingestellt, kann der Benutzer jeden dieser Namen für die Authentifizierung verwenden.
Gibt ein Attribut an, das für die Suche nach dem im Feld ";DN zum Starten von Benutzersuche" festgelegten Benutzer verwendet wird. Dieses Feld wird gemeinsam mit dem Benutzer-Namensattribut eingesetzt. Es gibt keinen Standardwert. Alle gültigen Benutzereintragsattribute werden erkannt.
Gibt an, wie viele Ebenen des Directory Servers bei der Suche nach einem übereinstimmenden Benutzerprofil durchsucht werden sollen. Die Suche beginnt an dem in DN zum Starten von Benutzersuche festgelegten Knoten. Der Standardwert ist SUBTREE. In der Liste stehen folgende Auswahlmöglichkeiten zur Verfügung:
Die Suche beschränkt sich auf den angegebenen Knoten.
Die Suche beginnt auf der Ebene des angegebenen Knotens und wird auf die unmittelbar darunter liegende Ebene ausgeweitet.
Die Suche umfasst den angegebenen Knoten sowie alle Ebenen unterhalb dieses Knotens.
Aktiviert den SSL-Zugriff auf die in den Feldern für den primären und sekundären Server und Anschluss angegebenen Directory Server. Das Kontrollkästchen ist standardmäßig nicht markiert und das SSL-Protokoll wird für den Zugriff auf den Directory Server nicht verwendet.
Wenn der Active Directory Server mit aktiviertem SSL (LDAPS) ausgeführt wird, muss OpenSSO mit den entsprechenden vertrauenswürdigen SSL-Zertifikaten konfiguriert sein, damit Access Manager über das LDAPS-Protokoll eine Verbindung zum Directory Server herstellen kann.
Wenn das OpenSSO-Verzeichnis mit dem für Active Directory konfigurierten Verzeichnis übereinstimmt, ist diese Option möglicherweise aktiviert. Wenn diese Option aktiviert ist, lässt die Active Directory-Authentifizierungsmodulinstanz die Rückgabe des DN anstelle der Benutzer-ID zu, sodass kein Suchlauf erforderlich ist. Normalerweise gibt eine Authentifizierungsmodulinstanz nur die Benutzer-ID zurück, und der Authentifizierungsdienst sucht in der lokalen OpenSSO-Instanz nach dem Benutzer. Wenn ein externes Active Directory verwendet wird, ist diese Option üblicherweise deaktiviert.
Dieses Attribut wird für das Active Directory Server-Failback verwendet. Es legt die Anzahl der Minuten fest, in denen ein Thread ?inaktiv“ ist, bevor er überprüft, ob der primäre Active Directory Server ausgeführt wird.
Dieses Attribut wird von der Active Directory-Authentifizierungsmodulinstanz verwendet, wenn der Active Directory Server als ein externer Active Directory Server konfiguriert ist. Es enthält Attributzuordnungen zwischen einem lokalen und einem externen Directory Server. Das Attribut hat folgendes Format:
attr1|externesattr1
attr2|externalattr2
Wenn dieses Attribut angegeben wird, werden die Werte der externen Attribute vom externen Directory Server gelesen und für die Konfiguration der internen Directory Server-Attribute verwendet. Die Werte der externen Attribute werden nur dann internen Attributen zugeordnet, wenn das Attribut Benutzerprofil (im Modultyp ";Kern-Authentifizierung") auf "Dynamisch erstellt" gesetzt wurde und der Benutzer in der lokalen Directory Server-Instanz nicht vorhanden ist. Der neu erstellte Benutzer enthält die Wert der internen Attribute, gemäß der Benutzererstellungsattributsliste, und die jeweils zugeordneten externen Attributwerte.
Die Authentifizierungsebene wird für jede Authentifizierungsmethode einzeln festgelegt. Mit diesem Wert wird angegeben, wie stark einem Authentifizierungsmechanismus vertraut wird. Sobald ein Benutzer authentifiziert wurde, wird der Wert im SSO-Token der aktuellen Sitzung gespeichert. Wird der SSO-Token einer Anwendung, auf die der Benutzer zugreifen möchte, vorgelegt, bestimmt die Anwendung anhand des gespeicherten Werts, ob die Ebene ausreicht, um den Benutzer Zugriff zu gewähren. Wenn die im SSO-Token gespeicherte Authentifizierungsebene nicht den erforderlichen Mindestwert aufweist, wird der Benutzer aufgefordert, sich erneut über einen Dienst mit einer höheren Authentifizierungsebene zu authentifizieren. Der Standardwert ist 0.
Hinweis – Hinweis: Wenn keine Authentifizierungsebene angegeben wird, wird im SSO-Token der im Kern-Authentifizierungsattribut Standard-Authentifizierungsebene angegebene Wert verwendet.