Dieses Modul ermöglicht die Authentifzierung mithilfe von LDAP-Bind, einem Directory Server-Vorgang, bei dem ein Benutzer-ID-Passwort einem bestimmten LDAP-Eintrag zugeordnet wird. Für einen Bereich können mehrere LDAP-Authentifizierungskonfigurationen eingerichtet werden. Bei den Attributen für die LDAP-Authentifizierung handelt es sich um Bereichsattribute. Es existieren folgende Attribute:
Gibt den Hostnamen und die Anschlussnummer des während der OpenSSO-Installation festgelegten primären LDAP-Servers an. Es handelt sich hierbei um den Server, auf den bei der Authentifizierung zuerst zugegriffen wird. Das Format lautet hostname:port . Wenn keine Portnummer angegeben wurde, kann in der Regel 389 verwendet werden .
Wenn Sie OpenSSO in mehreren Domänen bereitstellen, können Sie den Kommunikationslink zwischen bestimmten Instanzen von OpenSSO und Directory Server in folgendem Format angeben (bei Mehrfacheingaben muss der Name des lokalen Servers vorangestellt werden):
local_servername|server:port local_servername2|server2:port2 ...
Wenn beispielsweise zwei OpenSSO-Instanzen an unterschiedlichen Standorten bereitgestellt wurden (L1-machine1-IS und L2- machine2-IS), die mit unterschiedlichen Instanzen von Directory Server kommunizieren (L1-machine1-DS und L2-machine2-DS), würde dies wie folgt aussehen:
L1-machine1-IS.example.com|L1-machine1-DS.example.com:389
L2-machine2-IS.example.com|L2-machine2-DS.example.com:389
Gibt den Hostnamen und die Anschlussnummer eines zweiten für die OpenSSO-Plattform verfügbaren LDAP-Servers an. Wenn der primäre LDAP-Server nicht auf eine Authentifizierungsanforderung reagiert, wird auf den zweiten Server zugegriffen. Sobald der primäre Server wieder läuft, kehrt OpenSSO zu diesem Server zurück. Das Format lautet ebenfalls hostname:port . Bei Mehrfacheingaben muss der lokale Servername vorangestellt werden.
Achtung – Bei einer Authentifizierung von Benutzern an einem Directory Server, der sich als Remote-Server an einem anderen Standort als OpenSSO befindet, ist es wichtig, dass sowohl die primären als auch die sekundären LDAP-Server-Anschlüsse über Werte verfügen. Die Wert für einen Directory Server-Standort kann für beide Felder verwendet werden.
Gibt den DN des Knotens an, bei dem die Suche nach einem Benutzer beginnen soll. (Um die Systemleistung nicht zu beeinträchtigen, sollte dieser DN den Startpunkt so genau wie möglich angeben.) Der Standardwert ist die Root-Ebene des Verzeichnisbaums. Es wird jeder gültige DN erkannt. Wenn im Suchbereich-Attribut ";OBJECT" ausgewählt ist, sollte der DN die Ebene angeben, die unmittelbar über der Ebene liegt, in der sich das Profil befindet. Bei Mehrfacheingaben muss der lokale Servername vorangestellt werden. Das Format lautet servername|search dn.
Für Mehrfacheingaben:
servername1|search dn servername2|search dn servername3|search dn...
Wenn unter der Root-Organisation mehrere Einträge mit derselben Benutzer-ID vorhanden sind, sollte dieser Parameter so festgelegt werden, dass nur nach einem einzigen Eintrag zur Authentifizierung gesucht bzw. nur ein einziger gefunden werden kann. Wenn beispielsweise die Agenten-ID und die Benutzer-ID unter der Root-Organisation identisch sind, sollte dieser Parameter ou=Agents (für die Authentifizierung der Root-Organisation mithilfe der Agenten-ID) und ou=People, (für die Authentifizierung der Root-Organisation mithilfe der Benutzer-ID) lauten.
Gibt den DN des Benutzers an, der als Administrator den BIND-Vorgang mit dem im Feld ";Primary LDAP-Server und -Anschluss" angegebenen Directory Server durchführen soll. Der BIND-Vorgang für den Authentifizierungsdienst muss mit diesem DN erfolgen, um die Suche nach einem mit der Anmeldungs-ID übereinstimmenden Benutzer-DN zu ermöglichen. Der Standardwert lautet amldapuser. Jeder gültige DN wird erkannt.
Gibt das Passwort des im Feld ";DN für Root-Benutzer-BIND" festgelegten Administratorprofils an. Es gibt keinen Standardwert. Nur das gültige LDAP-Passwort des Administrators ist zulässig.
Bestätigen Sie das Passwort.
Gibt das zur Benennung von Benutzereinträgen verwendete Attribut an. In OpenSSO wird standardmäßig davon ausgegangen, dass Benutzereinträge durch das Attribut "uid" identifiziert werden. Wenn auf Ihrem Directory Server ein anderes Attribut verwendet wird (z. B. givenname), geben Sie den Namen des verwendeten Attributs in diesem Feld ein.
Listet die Attribute auf, die vom Suchfilter für einen zu authentifizierenden Benutzer zu verwenden sind und die es dem Benutzer ermöglichen, eine Authentifizierung mit mehreren Attributen im Benutzereintrag durchzuführen. Wird dieses Feld beispielsweise auf uid, employeenumber und mail eingestellt, kann der Benutzer jeden dieser Namen für die Authentifizierung verwenden. Diese Attribute müssen getrennt eingestellt werden.
Gibt ein Attribut an, das für die Suche nach dem im Feld ";DN zum Starten von Benutzersuche" festgelegten Benutzer verwendet wird. Dieses Feld wird gemeinsam mit dem Benutzer-Namensattribut eingesetzt. Es gibt keinen Standardwert. Alle gültigen Benutzereintragsattribute werden erkannt.
Gibt an, wie viele Ebenen des Directory Servers bei der Suche nach einem übereinstimmenden Benutzerprofil durchsucht werden sollen. Die Suche beginnt bei dem im Attribut DN zum Starten von Benutzersuche angegebenen Knoten. Der Standardwert ist SUBTREE. In der Liste stehen folgende Auswahlmöglichkeiten zur Verfügung:
Die Suche beschränkt sich auf den angegebenen Knoten.
Die Suche beginnt auf der Ebene des angegebenen Knotens und wird auf die unmittelbar darunter liegende Ebene ausgeweitet.
Die Suche umfasst den angegebenen Knoten sowie alle Ebenen unterhalb dieses Knotens.
Aktiviert den SSL-Zugriff auf die in den Feldern ";Primary LDAP-Server und -Anschluss" und "Secondary LDAP-Server und -Anschluss" angegebenen Directory Server. Das Kontrollkästchen ist standardmäßig nicht markiert und das SSL-Protokoll wird für den Zugriff auf den Directory Server nicht verwendet.
Wenn der LDAP-Server mit aktiviertem SSL (LDAPS) ausgeführt wird, muss OpenSSO mit den entsprechenden vertrauenswürdigen SSL-Zertifikaten konfiguriert sein, damit Access Manager über das LDAPS-Protokoll eine Verbindung zum Directory Server herstellen kann.
Wenn das OpenSSO-Verzeichnis mit dem für LDAP konfigurierten Verzeichnis übereinstimmt, ist diese Option möglicherweise aktiviert. Wenn diese Option aktiviert ist, lässt das LDAP-Authentifizierungsmodul die Rückgabe des DN anstelle der Benutzer-ID zu, sodass kein Suchlauf erforderlich ist. Normalerweise gibt ein Authentifizierungsmodul nur die Benutzer-ID zurück, und der Authentifizierungsdienst sucht im lokalen OpenSSO-LDAP nach dem Benutzer. Bei Verwendung eines externen LDAP-Verzeichnisses wird diese Option normalerweise nicht aktiviert.
Dieses Attribut wird für das LDAP Server-Failback verwendet. Es legt die Anzahl der Minuten fest, in denen ein Thread ?inaktiv“ ist, bevor er überprüft, ob der primäre LDAP-Server ausgeführt wird.
Dieses Attribut wird vom LDAP-Authentifizierungsmodul verwendet, wenn der LDAP-Server als externer LDAP-Server konfiguriert ist. Es enthält Attributzuordnungen zwischen einem lokalen und einem externen Directory Server. Das Attribut hat folgendes Format:
attr1|externesattr1
attr2|externalattr2
Wenn dieses Attribut angegeben wird, werden die Werte der externen Attribute vom externen Directory Server gelesen und für die Konfiguration der internen Directory Server-Attribute verwendet. Die Werte der externen Attribute werden nur dann internen Attributen zugeordnet, wenn das Attribut Benutzerprofil (im Modul ";Kern-Authentifizierung") auf "Dynamisch erstellt" gesetzt wurde und der Benutzer in der lokalen Directory Server-Instanz nicht vorhanden ist. Der neu erstellte Benutzer enthält die Wert der internen Attribute, gemäß der Benutzererstellungsattributsliste, und die jeweils zugeordneten externen Attributwerte.
Die Authentifizierungsebene wird für jede Authentifizierungsmethode einzeln festgelegt. Mit diesem Wert wird angegeben, wie stark einem Authentifizierungsmechanismus vertraut wird. Sobald ein Benutzer authentifiziert wurde, wird der Wert im SSO-Token der aktuellen Sitzung gespeichert. Wird der SSO-Token einer Anwendung, auf die der Benutzer zugreifen möchte, vorgelegt, bestimmt die Anwendung anhand des gespeicherten Werts, ob die Ebene ausreicht, um den Benutzer Zugriff zu gewähren. Wenn die im SSO-Token gespeicherte Authentifizierungsebene nicht den erforderlichen Mindestwert aufweist, wird der Benutzer aufgefordert, sich erneut über einen Dienst mit einer höheren Authentifizierungsebene zu authentifizieren. Der Standardwert ist 0.
Hinweis – Hinweis: Wenn keine Authentifizierungsebene angegeben wird, wird im SSO-Token der im Kern-Authentifizierungsattribut Standard-Authentifizierungsebene angegebene Wert verwendet.