Nextcloud에서 LDAP 및 Active Directory 인증을 구성하는 방법

Nextcloud 로그인에 조직에서 사용하는 디렉터리 계정을 동일하게 사용하려면 내장된 LDAP 사용자 및 그룹 백엔드를 활성화하고 LDAP 또는 Active Directory(AD)에 연결하도록 구성하십시오. 가장 안전한 설정은 검색 전용 디렉터리 계정, 암호화된 데이터 전송, 의도적으로 제한된 사용자 범위, 그리고 배포 전 테스트 로그인을 사용하는 것입니다.

아래 안내는 2026년 10월 7일 기준 Nextcloud 35 관리 설명서를 따릅니다. Nextcloud 릴리스 및 호스팅 패키지에 따라 컨트롤의 레이블이나 위치가 다를 수 있습니다. 인터페이스 이미지는 문서화된 설정을 시각적으로 보여주는 가이드일 뿐이며, 실제 서버의 모습이 아닙니다. 설치된 버전의 레이블과 관리자 설명서를 참조하십시오.

Nextcloud가 LDAP 또는 Active Directory를 사용할 때 어떤 점이 달라지나요?

Nextcloud는 디렉터리를 기준으로 적격 사용자를 확인하므로 사용자는 별도의 Nextcloud 로컬 암호 없이 LDAP 또는 AD 자격 증명으로 로그인할 수 있습니다. LDAP 백엔드는 디렉터리 그룹 정보도 제공할 수 있습니다. Nextcloud는 디렉터리 정보를 읽어올 뿐, 디렉터리 계정을 관리, 편집 또는 삭제하지는 않습니다. 해당 계정 및 그룹 멤버십에 대한 책임은 LDAP 관리자에게 있습니다.

이 기능은 조직에서 이미 계정을 중앙에서 관리하는 경우에 유용합니다. 단, Nextcloud가 디렉터리에 접근하여 TLS 인증서를 검증할 수 있어야 한다는 종속성이 추가됩니다. 디렉터리 장애, 네트워크 규칙 오류 또는 인증서 문제로 인해 디렉터리 로그인이 중단될 수 있으므로, 통합을 구성하는 동안에는 검증된 Nextcloud 관리자 계정과 서버에 대한 정상 작동 경로를 확보해 두는 것이 좋습니다.

연결하기 전에 무엇을 준비해야 할까요?

• 디렉터리 엔드포인트: LDAP 또는 AD 호스트 이름, 허용된 암호화 연결 방식 및 해당 포트입니다. Nextcloud는 와 같은 LDAPS 호스트 이름을 허용하며 ldaps://directory.example.com, 포트 636은 일반적인 LDAPS 기본값입니다.
• 검색 계정: Nextcloud에 필요한 검색을 수행할 수 있는 디렉터리 권한을 가진 전용 서비스 계정입니다. 조회에 필요한 접근 권한만 사용하십시오. 계정 비밀번호는 보호된 관리자 인터페이스에 보관하고, 티켓이나 공개 로그에 붙여넣지 마십시오.
• 기본 고유 이름(DN): 검색할 디렉터리 하위 트리(예: dc=example,dc=com). 이메일 도메인을 보고 추측하지 말고 디렉터리 관리자에게 정확한 DN을 문의하십시오.
• 테스트 범위 및 대상: 어떤 사람과 그룹을 공개할지 결정하고, 허용할 테스트 계정 하나와, 가능하다면 제외할 계정 하나를 지정합니다.
• PHP LDAP 지원: 수동으로 설치한 서버의 경우, Nextcloud를 제공하는 PHP 런타임에 LDAP PHP 확장 기능이 활성화되어 있는지 확인하십시오. 많은 Linux 배포판은 해당 기능을 패키지 형태로 제공합니다 php-ldap. 턴키 설치의 경우 필요한 모듈이 이미 포함되어 있을 수 있으므로 해당 패키지의 설명서를 참조하십시오.

디렉터리에 대해 승인된 LDAPS 또는 다른 TLS로 보호되는 LDAP 전송 프로토콜을 사용하십시오. 발급 인증서 체인을 Nextcloud 호스트에 설치하고 PHP의 LDAP 라이브러리가 이를 신뢰하도록 설정하십시오. 프로덕션 환경에서 인증서 유효성 검사를 비활성화하여 인증서 오류를 해결하지 마십시오.

LDAP 백엔드를 활성화하고 서버 정보를 입력하는 방법은 무엇입니까?

1. Nextcloud 관리자 계정으로 로그인하세요. 앱을 열고 LDAP 사용자 및 그룹 백엔드가 활성화되어 있지 않으면 활성화하세요 .
2. 관리자 설정에서 LDAP 사용자 및 그룹 백엔드 섹션을 선택합니다. 서버 탭에서 시작하십시오. 새 구성을 완료하려면 다른 탭을 사용하기 전에 서버 테스트가 성공적으로 완료되어야 할 수 있습니다.
3. 디렉터리 호스트를 입력하십시오. 암호화된 LDAPS 연결의 경우 일반적인 값은 입니다 ldaps://directory.example.com. Nextcloud에서 포트를 자동으로 감지하지 못하면 올바른 포트를 입력하십시오. 일반적인 LDAPS 포트는 636입니다. 조직에서 다른 보안 LDAP 구성을 사용하는 경우 디렉터리 팀의 설정을 따르십시오.
4. 검색 계정의 전체 사용자 DN과 암호를 입력하십시오. Nextcloud 설명서에서는 이 목적으로 전용 LDAP 시스템 사용자를 사용할 것을 권장합니다. 디렉터리에서 익명 검색을 명시적으로 허용하는 경우에만 자격 증명 필드를 비워 두십시오.
5. 기본 DN(예: )을 입력하십시오 dc=example,dc=com. 사용자 또는 그룹이 서로 다른 브랜치에 있는 경우 기본 연결이 완료된 후 고급 설정에서 기본 트리를 세분화할 수 있습니다.

Nextcloud는 포트 및 기본 DN과 같은 값을 자동으로 감지할 수 있으며, 설치 과정에서 일반적인 Active Directory 설정을 인식합니다. 감지된 값은 시작점으로 활용하십시오. 표시된 기본 DN과 반환된 사용자가 의도한 디렉터리 범위와 일치하는지 확인하십시오.

어떤 사용자를 목록에 표시할 수 있고, 어떤 사용자가 로그인할 수 있나요?

이 두 가지는 서로 관련되어 있지만 별개의 결정입니다. '사용자' 탭에서는 Nextcloud의 사용자 목록에 표시되는 디렉터리 사용자를 제어합니다. '로그인 속성' 탭에서는 Nextcloud가 사용자가 로그인 시 입력한 이름과 비교할 디렉터리 속성을 제어합니다. 사용자가 검색 가능하다고 해서 로그인 속성이 의도한 대로 구성되었다는 것을 보장하는 것은 아닙니다.

사용자 탭에서 Nextcloud에서 감지한 객체 클래스와 사용자 필터부터 시작하세요. 디렉터리 그룹에 대한 액세스를 제한하려면 그룹 선택 또는 디렉터리에서 지원하는 LDAP 쿼리를 사용하세요. 예를 들어, AD 스타일 필터는 다음과 같습니다 (&(objectCategory=person)(objectClass=user)(memberOf=CN=Nextcloud Users,OU=Groups,DC=example,DC=com)). 그룹 DN과 기본 주소를 실제 디렉터리 값으로 바꾸세요. 이 예시를 그대로 붙여넣지 마세요.

로그인 속성에서 조직에서 사용할 로그인 식별자를 선택합니다. Active Directory의 경우 일반적으로 계정 이름 속성이 사용됩니다 sAMAccountName. 일부 조직에서는 이메일 주소 로그인도 허용할 수 있습니다. 정책에 맞춰 선택하고 직원들이 사용할 정확한 사용자 이름 형식을 테스트하십시오. 그룹 탭에서 Nextcloud에서 사용할 수 있는 디렉터리 그룹을 선택합니다. 그룹 검색과 로그인 권한의 범위는 항상 동일하지 않습니다.

테스트 전에 고급 설정을 변경해야 할까요?

일반적으로는 그렇지 않습니다. 먼저 기본 연결 및 디렉터리 범위를 확인하십시오. 고급 탭에는 연결, 디렉터리, 특수 속성 및 프로필 옵션이 포함되어 있으므로 환경에 필요한 설정만 변경하십시오.

ID 매핑에 특히 주의하십시오. Nextcloud는 각 LDAP 사용자에게 디렉터리 UUID에서 파생된 고정된 내부 사용자 이름을 할당하고 해당 ID를 디렉터리 항목에 매핑합니다. 내부 사용자 이름은 홈 폴더 이름 및 서비스 URL에 사용할 수 있습니다. 계정 매핑 후 UUID 또는 내부 사용자 이름 규칙을 변경하면 Nextcloud에서 사용자를 서로 다른 사용자로 인식하여 기존 파일에 대한 액세스가 복잡해질 수 있습니다. 프로덕션 환경 배포 전에 이러한 값을 결정하고 운영 중인 서버에서 LDAP 매핑을 삭제하지 마십시오.

초기 배포 시에는 디렉터리 권한 및 암호화 전송을 해당 작업에 맞게 특별히 구성하지 않은 경우 LDAP 암호 변경 기능을 활성화하지 마십시오. Nextcloud는 쓰기 권한 및 TLS를 포함하여 암호 변경에 필요한 추가 요구 사항을 문서에 명시하고 있습니다. 일반적인 LDAP 인증에서는 검색 계정에 사용자 암호를 변경할 수 있는 권한을 부여할 필요가 없습니다.

연결을 테스트하고 저장하는 방법은 무엇인가요?

1. 서버 탭에서 구성 테스트를 선택하세요 . 테스트는 현재 양식에 있는 값을 사용합니다. Nextcloud에서는 먼저 저장할 필요가 없다고 안내합니다.
2. 테스트가 성공하면 구성을 저장하세요. Nextcloud 설명서에 따르면 구성은 반드시 활성화되어 있어야 합니다. 구성이 비활성화된 경우 다른 값이 모두 올바르더라도 "잘못된 비밀번호"라는 잘못된 결과가 표시될 수 있습니다. 테스트가 성공하면 일반적으로 자동으로 활성화됩니다.
3. Nextcloud 사용자 페이지를 열고 예상되는 디렉터리 사용자 및 그룹이 표시되는지 확인하십시오. 결과를 의도한 액세스 범위와 비교하십시오.
4. 허용된 계정을 사용하여 실제 로그인을 테스트한 다음, 허용 목록을 구성한 경우 제외된 계정이 로그인할 수 없는지 확인합니다. 예상되는 그룹을 공유에 사용할 수 있는지, 계정의 표시 이름과 이메일 주소가 올바른지 확인합니다.

테스트가 실패하거나 사용자가 나타나지 않으면 어떻게 되나요?

명령줄 진단을 위해 Nextcloud는 LDAP 백엔드 앱이 활성화된 경우 LDAP 명령을 제공합니다. 명령어를 실행하여 occ ldap:show-config구성 ID를 찾은 다음, 해당 ID를 서버에 표시된 ID로 occ ldap:test-config s01바꿔 명령어를 실행하여 테스트하십시오 s01. 일반적인 Linux 설치 환경에서 명령어는 다음과 같을 수 있습니다.

sudo -E -u www-data php /var/www/nextcloud/occ ldap:test-config s01

웹 서버 사용자 이름과 Nextcloud 경로를 설치 환경에 맞게 조정하십시오. 진단 출력에는 디렉터리 구조를 식별할 수 있는 구성 세부 정보가 포함될 수 있으므로 주의해서 다루십시오.

최종 출시 점검

• Nextcloud 서버는 조직에서 승인한 암호화 전송을 사용하여 LDAP 엔드포인트에 접근할 수 있습니다.
• 서비스 계정은 필요한 것만 검색할 수 있으며, 인증서 유효성 검사도 성공적으로 완료되었습니다.
• 표시되는 사용자 목록과 로그인 필터는 의도한 액세스 그룹과 일치합니다.
• 승인된 테스트 계정은 예정된 식별자를 사용하여 로그인할 수 있으며, 제외된 계정은 로그인이 거부됩니다.
• 내부 사용자 이름 및 UUID 동작 방식은 사용자가 실제 데이터를 저장하기 시작하기 전에 확정됩니다.
• 로컬 관리자 계정과 문서화된 복구 경로가 여전히 사용 가능합니다.

이러한 검사는 테스트된 디렉터리 경로 및 계정에 대해 통합이 제대로 작동하는지 확인합니다. 필터, 인증서, 그룹 구조 또는 LDAP 서버 주소를 변경한 후에는 다시 확인하십시오. 정확한 릴리스별 레이블은 Nextcloud의 LDAP 인증 설명서 , PHP 모듈 가이드 및 LDAP occ 명령 참조를 참조하십시오 .