Добавление соединения с LDAP-сервером

Перед добавлением соединения с LDAP-сервером выполните следующие шаги:

• Убедитесь, что у вас есть разрешение Изменять параметры.
• Создайте keytab-файл.

Вы можете добавить соединение с одним или несколькими LDAP-серверами.

Чтобы добавить соединение с LDAP-сервером:

1. В окне веб-интерфейса приложения в главном меню выберите раздел Параметры → Внешние службы → Подключения к LDAP-серверам.
2. На вкладке Домены LDAP нажмите на кнопку Добавить.

   Откроется окно Добавить соединение.

3. В блоке параметров Служба каталогов выберите службу каталогов, которую хотите использовать. Возможные значения: Active Directory, FreeIPA.
4. В поле Название введите имя соединения, которое будет отображаться в веб-интерфейсе приложения.

   Это имя не используется приложением при взаимодействии с LDAP-сервером.

5. В поле Keytab-файл Kerberos загрузите ранее созданный keytab-файл. Для этого нажмите Загрузите файлы, выберите keytab-файл и нажмите на кнопку Open.

   Keytab-файл должен содержать только одну запись с учетными данными пользователя, имеющего доступ к добавляемому домену.

6. В поле База поиска введите DN (Distinguished Name – уникальное имя) объекта каталога, начиная с которого KSMG будет искать записи.
   • Для Active Directory вводите суффикс каталога в формате ou=<название подразделения>(если требуется),dc=<имя домена>,dc=<имя родительского домена>.

     Пример записи:

     ou=people,dc=example,dc=com

     Здесь people – уровень в схеме каталога, начиная с которого KSMG осуществляет поиск записей (поиск осуществляется на уровне people и ниже; объекты, расположенные выше этого уровня, исключаются из поиска), example – доменное имя каталога, в котором KSMG осуществляет поиск записей, com – имя родительского домена, в котором находится каталог.

   • Пример записи для FreeIPA:

     cn=accounts,dc=ald,dc=example,dc=ru

     Здесь cn – путь в структуре LDAP; dc – компоненты домена.

7. Если вы настраиваете соединение с LDAP-доменом Active Directory, выполните следующие шаги:
   1. В блоке Пользователи и группы LDAP в раскрывающемся списке Атрибуты, содержащие почтовые адреса пользователей и групп выберите атрибуты, из которых приложение будет получать адреса электронной почты пользователей и групп:
      • Атрибут mail.
      • Атрибут proxyAddresses.
      • Атрибуты mail и proxyAddresses.

      Если вы настраиваете соединение LDAP для интеграции с почтовым сервером Microsoft Exchange, то рекомендуется использовать Атрибут proxyAddresses, так как Microsoft Exchange хранит почтовые адреса пользователей и групп в атрибуте proxyAddresses.

      По умолчанию используется значение Атрибут proxyAddresses.

   2. Если вы хотите, чтобы приложение получало адреса электронной почты контактов LDAP, включите переключатель Контактная информация LDAP.
   3. Если на предыдущем шаге вы включили получение контактной информации LDAP, в раскрывающемся списке Атрибуты, содержащие почтовые адреса контактов выберите атрибуты, из которых приложение будет получать адрес электронной почты контактов LDAP:
      • Атрибут mail.
      • Атрибут proxyAddresses.
      • Атрибуты mail и proxyAddresses.
8. Если вы настраиваете соединение с LDAP-доменом FreeIPA или ALD Pro, выполните следующие шаги:
   1. В блоке Пользователи LDAP в поле Фильтр LDAP укажите фильтры, по которым будет осуществляться запрос пользователей.

      По умолчанию используется значение (&(objectClass=posixAccount)(objectClass=person)).

   2. В раскрывающемся списке Атрибуты, содержащие почтовые адреса пользователей выберите атрибуты, из которых приложение будет получать адреса электронной почты пользователей:
      • Атрибут mail.
      • Атрибут proxyAddresses.
      • Атрибуты mail и proxyAddresses.

      При настройке соединения с LDAP-доменом FreeIPA выберите значение Атрибут mail. Если выбрать другое значение, интеграция будет работать некорректно.

      По умолчанию используется значение Атрибут mail.

   3. В блоке Группы LDAP в поле Фильтр LDAP укажите фильтры, по которым будет выполняться запрос групп.

      По умолчанию используется значение (objectClass=ipausergroup).

   4. В раскрывающемся списке Атрибуты, содержащие почтовые адреса групп выберите атрибуты, из которых приложение будет получать адреса электронной почты групп:
      • Атрибут mail.
      • Атрибут proxyAddresses.
      • Атрибуты mail и proxyAddresses.

      При настройке соединения с LDAP-доменом FreeIPA выберите значение Атрибут mail. Если выбрать другое значение, интеграция будет работать некорректно.

      По умолчанию используется значение Атрибут mail.

   5. Если вы хотите, чтобы приложение получало адреса электронной почты контактов LDAP, в блоке Контакты LDAP включите переключатель Контактная информация LDAP.

      В ALD Pro и FreeIPA нет сущности "контакт". Если вам нужно выделять внешние контакты, вы можете, например, создать отдельную группу "Контакты" и добавлять в нее соответствующих пользователей.

   6. Если на предыдущем шаге вы включили получение контактной информации LDAP, в поле Фильтр LDAP укажите фильтр, по которому будет осуществляться запрос адресов электронной почты контактов LDAP, а затем в раскрывающемся списке Атрибуты, содержащие почтовые адреса контактов выберите атрибуты, из которых приложение будет получать адреса электронной почты контактов LDAP:
      • Атрибут mail.
      • Атрибут proxyAddresses.
      • Атрибуты mail и proxyAddresses.

      По умолчанию используется значение Атрибут mail.

9. Нажмите на кнопку Добавить.

Соединение с LDAP-сервером будет добавлено.

При необходимости в окне Добавить соединение вы можете настроить загрузку атрибутов делегирования для добавленного соединения с LDAP-сервером в Active Directory, чтобы в персональных Хранилищах пользователей, имеющих доступ к групповым почтовым ящикам, отображалась информация о сообщениях групповых ящиков. Для соединения с LDAP-сервером FreeIPA или ALD Pro функциональность групповых ящиков недоступна.