Aktivieren der LDAP-Serverauthentifizierung

LDAP ist ein standardbasiertes, plattformübergreifendes und erweiterbares Protokoll, das direkt über TCP/IP ausgeführt wird. Es wird für den Zugriff auf spezielle Datenbanken (Verzeichnisse) verwendet.

Um zu vermeiden, dass mehrere Anmeldeinformationen verwaltet werden müssen, können Benutzer-IDs und Kennwörter mithilfe des firmeneigenen LDAP-Servers authentifiziert werden.

Voraussetzung dafür ist, dass der LDAP-Server Benutzergruppen enthält, die den erforderlichen Benutzerrollen entsprechen. Weitere Informationen finden Sie unter Verwalten von Benutzern.

1. Klicken Sie im Kopfzeilenbereich auf > LDAP > LDAP für Authentifizierung aktivieren.

2. Konfigurieren Sie im Abschnitt "Verbindungen" Folgendes:

   • Server: Geben Sie die IP-Adresse oder den Hostnamen des LDAP-Servers ein, auf dem die Authentifizierung stattfindet. Wenn die Kommunikation zwischen MVE- und LDAP-Server verschlüsselt werden soll, gehen Sie folgendermaßen vor:

     1. Verwenden Sie den vollqualifizierten Domänennamen (FQDN) des Serverhosts.

     2. Öffnen Sie die Datei für den Netzwerkhost, und erstellen Sie einen Eintrag, um den Serverhostnamen seiner IP-Adresse zuzuordnen.

        Hinweise:

        • Bei UNIX-/Linux-Betriebssystemen befindet sich die Datei für den Netzwerkhost normalerweise unter /etc/hosts.
        • Bei Windows-Betriebssystemen befindet sich die Datei für den Netzwerkhost normalerweise unter %SystemRoot%\system32\drivers\etc.
        • Das TLS-Protokoll erfordert, dem Namen des im TLS-Zertifikat angegebenen Hosts entspricht, für den das Zertifikat ausgestellt wurde.

   • Anschluss: Geben Sie die Anschlussnummer ein, die vom lokalen Computer zur Kommunikation mit dem LDAP-Community-Server verwendet wird. Die Standardnummer des Anschlusses lautet 389.

   • Root-DN: Geben Sie den definierten Namen (DN) des Root-Knotens ein. In der Hierarchie des LDAP-Community-Servers sollte dieser Knoten der direkte Vorgänger des Benutzer- und Gruppenknotens sein. Zum Beispiel dc=mvptest,dc=com.

     

     Hinweis: Wenn Sie einen Root-DN angeben, stellen Sie sicher, dass der Ausdruck nur dc und o enthält. Wenn ou oder cn für den Vorgänger der Benutzer- oder Gruppenknotens angegeben ist, verwenden Sie ou oder cn in den Ausdrücken "Benutzersuchbasis" und "Gruppensuchbasis".

3. Konfigurieren der Sucheinstellungen.

   • Benutzersuchbasis: Geben Sie den Knoten im LDAP-Community-Server ein, in dem das Benutzerobjekt enthalten ist. Dieser Knoten befindet sich unterhalb des Root-DNs, in dem alle Knoten aufgeführt sind. Zum Beispiel ou=people.

     

     Wenn sich die Benutzer im LDAP-Community-Server auf mehreren hierarchischen Verzeichnisebenen befinden, gehen Sie folgendermaßen vor:

     1. Berechnen Sie eine gemeinsame Aufwärts-Hierarchie aller möglichen Standorten im Benutzerknoten.

     2. Fügen Sie die Konfiguration im Feld "Benutzersuchbasis" ein.

     Hinweis: Damit MVE zuerst nach Benutzern im Basis- oder Root-DN sucht, wählen Sie Suche nach geschachtelten Benutzern aktivieren, und lassen Sie das Feld "Benutzersuchbasis" leer.

   • Filter für Benutzersuche: Geben Sie den Parameter für die Suche nach einem Benutzerobjekt im LDAP-Community-Server ein. Zum Beispiel (uid={0}).

     

     Die Funktion "Filter für Benutzersuche" unterstützt mehrere Bedingungen und komplexe Ausdrücke.

     Anmelden mit	Geben Sie im Feld Benutzersuchfilter Folgendes ein
     Gemeinsamer Name	(CN={0})
     Anmeldename	(sAMAccountName={0})
     Benutzerprinzipalname	(userPrincipalName={0})
     Telefonnummer	(telephoneNumber={0})
     Anmeldename oder gemeinsamer Name	(|(sAMAccountName={0})(CN={0}))

     
     

     Hinweise:

     • Diese Ausdrücke gelten ausschließlich für den Server von Active Directory®.
     • Das einzig gültige Muster für das Feld "Filter für Benutzersuche" lautet {0}. Das bedeutet, dass MVE nach dem Anmeldenamen des MVE-Benutzers sucht.

   • Gruppensuchbasis: Geben Sie den Knoten im LDAP-Community-Server ein, in dem die den MVE-Rollen entsprechenden Benutzergruppen vorhanden sind. Dieser Knoten befindet sich auch unterhalb des Root-DNs, in dem alle Gruppenknoten aufgeführt sind. Zum Beispiel ou=group.

     

     Hinweis: Eine Suchbasis besteht aus mehreren Attributen, die durch Kommas getrennt sind, z. B. cn (gemeinsamer Name), ou (Organisationseinheit), o (Organisation), c (Land) und dc (Domäne).

   • Gruppensuchfilter: Geben Sie den Parameter für die Suche nach einem Benutzer innerhalb einer Gruppe ein, die einer Rolle in MVE entspricht.

     Hinweis: Je nach Konfiguration Ihres LDAP-Community-Backendservers können Sie die Muster {0} und {1} verwenden. Wenn Sie {0} verwenden, sucht MVE nach dem DN des LDAP-Benutzers. Der Benutzer-DN wird intern während der Benutzerauthentifizierung abgerufen. Wenn Sie {1} verwenden, sucht MVE den Anmeldenamen des MVE-Benutzers.

   • Gruppenrollenattribut: Geben Sie das Attribut ein, in dem der vollständige Name der Gruppe enthalten ist. Zum Beispiel cn.

     

   • Suche nach geschachtelten Gruppen aktivieren: Suchen Sie nach geschachtelten Gruppen im LDAP-Community -Server.

4. Klicken Sie auf Verbindungsinformationen, und konfigurieren Sie die Einstellungen.

   • Anonyme Verbindung: Wenn in MVE keine LDAP-Konfiguration gespeichert ist, wird diese Option automatisch ausgewählt. Dies bedeutet, dass der MVE-Server weder seine Identität, noch Anmeldeinformationen gegenüber dem LDAP-Server offenlegt, um dessen Suchfunktion zu verwenden. Die Kommunikation während der anschließenden Sitzung für die LDAP-Suche ist vollständig unverschlüsselt.

   • Einfache Verbindung: Die Kommunikation zwischen MVE-Server und LDAP-Server ist unverschlüsselt. Wenn der MVE-Server die Suchfunktion des LDAP-Servers verwenden soll, gehen Sie folgendermaßen vor:

     1. Geben Sie im Feld "DN verbinden" den Verbindungs-DN ein.

     2. Geben Sie das Verbindungskennwort ein, und bestätigen Sie das Kennwort.

        Hinweis: Das Verbindungskennwort ist von den Einstellungen für den Verbindungsbenutzer im LDAP-Server abhängig. Wenn der Verbindungsbenutzer als Nicht leer festgelegt ist, muss ein Verbindungskennwort angegeben werden. Wenn der Verbindungsbenutzer als Leer festgelegt ist, muss kein Verbindungskennwort angegeben werden. Weiter Informationen erhalten Sie bei Ihrem LDAP-Administrator.

   • TLS: Die Kommunikation zwischen MVE-Server und LDAP-Server ist verschlüsselt. Der MVE-Server muss sich unter Verwendung der MVE-Serveridentität (Verbindungs-DN) und der zugehörigen Anmeldeinformationen (Verbindungskennwort) vollständig gegenüber dem LDAP-Server authentifizieren

     Bei selbst signierten Zertifikaten muss der TLS-Fingerabdruck dem systemweiten JVM-Schlüsselspeicher (Java Virtual Machine) namens cacerts zur Verfügung stehen. Dieser Schlüsselspeicher ist im Ordner [mve.home]/jre/lib/security vorhanden, wobei [mve.home] für das Installationsverzeichnis von MVE steht. Zur Konfiguration der Einstellungen gehen Sie folgendermaßen vor:

     1. Geben Sie im Feld "DN verbinden" den Verbindungs-DN ein.

     2. Geben Sie das Verbindungskennwort ein, und bestätigen Sie das Kennwort.

        Hinweis: Das Verbindungskennwort ist erforderlich.

   • Kerberos: Die Kommunikation zwischen MVE-Server und LDAP-Server ist verschlüsselt. Das Kerberos-Sicherheitsprotokoll wird ausschließlich in einem Active Directory mit GSS-API-Unterstützung unterstützt. Weitere Informationen finden Sie in der Dokumentation für Kerberos. Zur Konfiguration der Einstellungen gehen Sie folgendermaßen vor:

     1. Gehen Sie im Feld "Kerberos-Konfigurationsdatei" zur Datei "krb5.conf".

        Beispielkonfiguration:

        [libdefaults]
            default_realm=ABC.COM
        
        [realms]
            ABC.COM = {
              kdc = abc1.abc.com
            }
        
        [domain_realm]
            .abc.com=ABC.COM

     2. Wählen Sie im Menü "Verschlüsselungsmethode", ob Sie die SSL-Verschlüsselung verwenden möchten.

     3. Geben Sie im Feld für den KDC-Benutzernamen den KDC (Key Distribution Center)-Namen ein

     4. Geben Sie das KDC-Kennwort ein, und bestätigen Sie das Kennwort.

     Hinweis: Informationen zur Aktivierung der Kerberos-Authentifizierung finden Sie in Aktivieren der Kerberos-Authentifizierung.

5. Klicken Sie auf Rollenzuordnung, und konfigurieren Sie Folgendes:

   • Admin: Geben Sie die vorhandene Rolle im LDAP ein, die in MVE über Administratorrechte verfügen soll.

   • Bestand: Geben Sie die vorhandene Rolle im LDAP ein, mit der das Bestandsmodul in MVE verwaltet wird.

   • Konfigurationen: Geben Sie die vorhandene Rolle im LDAP ein, mit der das Konfigurationsmodul in MVE verwaltet wird

   • Service Desk: Geben Sie die vorhandene Rolle im LDAP ein, mit der das Service Desk-Modul in MVE verwaltet wird.

   • Ereignis-Manager: Geben Sie die vorhandene Rolle im LDAP ein, mit der das Ereignis-Manager-Modul in MVE verwaltet wird.

   Hinweise:

   • MVE ordnet die angegebene LDAP-Gruppe automatisch der entsprechenden MVE-Rolle zu.
   • Sie können eine LDAP-Gruppe mehreren MVE-Rollen zuordnen und dürfen in ein Feld "Rolle" auch mehr als eine LDAP-Gruppe eingeben.
   • Verwenden Sie bei der Eingabe mehrerer LDAP-Gruppen in die Rollenfelder einen senkrechten Strich (|), um mehrere LDAP-Gruppen voneinander zu trennen. Wenn Sie beispielsweise die Gruppen admin und assets in die Admin-Rolle einschließen möchten, geben admin|assets in das Feld "Admin" ein.
   • Wenn Sie nur eine Admin-Rolle und keine anderen MVE-Rollen verwenden möchten, lassen Sie die Felder leer.

6. Klicken Sie auf Anwenden > Schließen.