LDAP-Verzeichnis/Active Directory (AD)

Mit der LDAP-/AD-Schnittstelle bindest du i-doit an dein zentrales Verzeichnis an. Benutzer melden sich mit ihren gewohnten Zugangsdaten an, und du kannst Personen sowie Personengruppen automatisch synchronisieren.

Voraussetzungen#

i-doit unterstützt folgende Verzeichnisdienste:

• OpenLDAP
• Microsoft Active Directory (AD)
• Novel eDirectory (früher Directory Services)

Die PHP-Extension php_ldap muss installiert und aktiviert sein. Wenn du den Installationsanweisungen gefolgt bist, ist die Extension bereits auf deinem System vorhanden.

Benötigte Rechte für den LDAP-Sync#

Ein Benutzer für den ldap-sync Befehl benötigt folgende Mindestberechtigungen:

1. Verwaltung (Befehl ausführen)

• Bedingung Commands und Alle Rechte für den Parameter SyncCommand.

2. CMDB (Objekte & Gruppen bearbeiten)

• Bedingung Kategorie in Objekttyp "Personen" und Alle Rechte für die Kategorie Personen - Personengruppenmitgliedschaft.

Nachträgliche Installation unter Debian GNU/Linux#

1
2

sudo apt install php-ldap
sudo service apache2 restart

Nachträgliche Installation unter Windows#

Passe die Datei php.ini an (in der Regel unter C:\xampp\php\php.ini). Aktiviere die Extension php_ldap, indem du das Semikolon am Zeilenanfang entfernst.

Aus der Zeile

1

;extension=php_ldap.dll

wird

1

extension=php_ldap.dll

Je nach Version kann es notwendig sein, die Dateien ssleay32.dll und libeay32.dll (meist unter C:\xampp\apache\bin\) in das Verzeichnis php\ zu kopieren. Starte anschließend den Apache Webserver neu.

Konfiguration#

Die Konfiguration befindet sich in i-doit unter Verwaltung → Import und Schnittstellen → LDAP.

Server#

Unter Verwaltung → Import und Schnittstellen → LDAP → Server konfigurierst du einen oder mehrere LDAP-Server. Beim Login fragt i-doit alle konfigurierten Server nacheinander ab, bis eine erfolgreiche Authentifizierung stattfindet. Bei mehreren Mandanten werden alle Datenbanken angeboten, bei denen die Abfrage ein positives Ergebnis liefert.

LDAP Verbindung für Lookups (lesend)#

Bekannte Lösungen für Probleme bei der TLS Verbindung findet Ihr LDAP via TLS

LDAP-Parameter für i-doit-Login#

Diese Parameter bestimmen, wo i-doit im Verzeichnis nach Benutzern sucht.

Du kannst den Filter weiter verfeinern. Bei einer einzigen Filterzeile haben die zusätzlichen Optionen noch keine Auswirkung. Erst wenn du über Filter hinzufügen die Abfrage erweiterst, kommen sie zur Geltung.

An letzten Filter anhängen:

1

(&(objectClass=user)(test=test))

Als neuen Filter anhängen:

1

(&(objectClass=user)(&(test=test)))

Neuen Term bilden:

1

(&(&(objectClass=user))(test=test))

Im unteren Bereich der Seite testest du die Konfiguration. Bei Erfolg erscheint die Meldung:

1
2

Connection OK!
XX object(s) found in OU=tree,OU=synetics,DC=synetics,DC=int.

Falls die Fehlermeldung nicht aussagekräftig genug ist, erhöhe das Debug-Level. Dadurch schreibt i-doit detailliertere Ausgaben in das Apache Error Log. Unter Debian-basierten Systemen findest du dieses unter /var/log/apache2/error.log.

Identifizierung von Objekten#

Ohne weitere Einstellung (z.B. Eindeutige Kennung) identifiziert i-doit Objekte anhand des Login-Attributs aus der Kategorie Personen > Login.

Directories#

Unter Verwaltung → Import und Schnittstellen → LDAP → Directories richtest du das Attribut-Mapping ein. Beim Login fragt i-doit grundlegende Informationen des Benutzers ab und legt sie im Personen-Objekt ab. Wähle das zutreffende Directory aus und passe bei Bedarf die Zuweisung an. In der Regel sind die Felder bereits korrekt vorausgefüllt.

Import eigener LDAP-Attribute#

Du kannst auch eigene LDAP-Attribute in die Stammdaten importieren. Konfiguriere dazu weitere Felder unter Verwaltung → Import und Schnittstellen → LDAP → Attributerweiterung. Sobald du einen Namen definiert hast, erscheint das Feld in den Stammdaten und wird beim Sync über den zugehörigen Key befüllt.

Regelmäßige Synchronisation#

Die Grundkonfiguration hast du in den vorherigen Schritten bereits erledigt. Richte nun den passenden i-doit console utility Befehl ein, um die Synchronisation regelmäßig auszuführen. Optional konfigurierst du weitere zu synchronisierende Felder.

Erweiterte Konfiguration#

Ein Beispiel findest du hier. Diese Datei kannst du mit Login-Daten, Tenant und weiteren Optionen erweitern. Damit sie beim ldap-sync-Befehl berücksichtigt wird, gib sie über den Parameter -c /pfad/ an. Weitere Informationen findest du beim i-doit console utility.

Automatische Zuweisung von Personen zu Personengruppen#

Die automatische Zuweisung sorgt dafür, dass Benutzer nach dem Login automatisch die Berechtigungen ihrer Personengruppe erhalten.

So richtest du die Zuweisung ein:

1. Öffne die Stammdaten einer Personengruppe in i-doit.
2. Trage im Attribut LDAP-Gruppe (Mapping) den Namen der entsprechenden LDAP-/AD-Gruppe ein.

Beim Login oder bei der Synchronisation gleicht i-doit die Gruppenmitgliedschaften des Benutzers im Directory mit den konfigurierten Mappings ab. Bei Übereinstimmung wird die Personengruppe automatisch zugewiesen.

Personen und Personengruppen Synchronisieren#

Seit Version 1.15 synchronisiert i-doit Personen und Personengruppen aus dem LDAP/AD. Dabei werden Personen automatisch den im LDAP zugewiesenen Gruppen zugeordnet, sofern diese vom konfigurierten Filter erfasst werden.

Eine ausführliche Anleitung findest du im Artikel Benutzer und Gruppen aus dem AD/LDAP importieren.

Der ausführende Benutzer benötigt Supervisor-Rechte auf die Kategorien Gruppenmitgliedschaft und Personengruppen > Mitglieder sowie auf die Objekttypen Personen und Personengruppen.

Logging#

Im Verzeichnis log/ deiner i-doit-Installation findest du die Logdatei ldap_YYYY-MM-DD.log. Das Logging konfigurierst du im Admin-Center oder über die Experteneinstellungen.

Den ldap-sync ausführen#

Den ldap-sync führst du über die Kommandozeile des Servers aus. Mache dich zunächst mit dem i-doit console utility vertraut. Für eine einfache Synchronisation ohne erweiterte Konfiguration verwendest du den Befehl ldap-sync.

Beispiel zur Verwendung aus dem i-doit Ordner

1

sudo -u www-data php console.php ldap-sync --user admin --password admin --tenantId 1 --verbose --ldapServerId 1