Como configurar a autenticação LDAP no ownCloud Infinite Scale

O que significa autenticação LDAP no Infinite Scale?

O ownCloud Infinite Scale (oCIS) autentica sessões de navegador e cliente por meio do OpenID Connect (OIDC). O LDAP pode fornecer os usuários e credenciais do diretório por trás do provedor de identidade oCIS integrado, ou pode estar por trás de um provedor OIDC externo, como o Keycloak. A configuração ideal depende se você precisa de uma implantação pequena com um fluxo de login simples ou de uma plataforma de identidade de produção com controles mais abrangentes.

Essa distinção é útil porque oCIS não é o ownCloud Server Classic. Os tutoriais do Classic configuram o LDAP pela página de administração web ou occ ldap:*não configuram oCIS. No oCIS, as configurações são variáveis ​​de ambiente de implantação ou configurações de serviço, e vários serviços podem precisar de uma visão consistente do mesmo diretório.

A documentação do serviço IDP versionado do ownCloud indica que o provedor integrado pode usar um backend LDAP externo. Suas diretrizes de segurança recomendam um provedor OIDC externo para instalações maiores ou em produção. Este guia utiliza a documentação do oCIS 8.2; verifique a documentação correspondente à sua versão instalada antes de aplicar variáveis, pois os valores padrão e os exemplos de implantação podem mudar.

Qual modelo de autenticação você deve escolher?

Se você já utiliza o Keycloak ou outro provedor OIDC, conectá-lo ao diretório geralmente é a opção mais adequada para produção. Se for uma implementação pequena e as limitações do provedor integrado forem aceitáveis, configure o backend LDAP do IdP e teste-o antes de liberar o acesso aos usuários.

Que informações você deve reunir antes de editar o oCIS?

• A versão exata do oCIS e o método de implantação, como Docker Compose, Kubernetes ou um processo binário supervisionado.
• O nome DNS do servidor LDAP, a cadeia de certificados TLS e o endpoint LDAPS. Dê preferência ldaps://à validação por certificado; não desative a validação para ocultar um problema de confiança.
• Uma conta de vinculação com privilégios mínimos e seu nome distinto completo (DN). A conta deve ser capaz de pesquisar os usuários e grupos necessários para o oCIS, sem permissões de gravação desnecessárias.
• O DN base da pesquisa de usuários, o escopo da pesquisa, o atributo de login, a classe do objeto, os atributos de e-mail e nome de exibição, e um atributo de ID de usuário único e estável. Confirme esses valores com base nas entradas reais do diretório.
• O DN base do grupo e o atributo de associação, caso os grupos LDAP dos usuários devam aparecer no oCIS.
• Um backup da configuração atual do oCIS e um login de administrador testado que não dependa da alteração do LDAP.

A estabilidade do mapeamento de identidades merece atenção especial. Um nome de exibição ou e-mail pode mudar; um ID exclusivo deve permanecer vinculado à mesma pessoa. Se oCIS detectar um identificador diferente após a alteração, uma pessoa já cadastrada poderá aparecer como uma nova conta em vez de herdar a identidade e o acesso esperados.

Como conectar o IdP integrado a um servidor LDAP externo?

Para uma implementação de pequeno porte usando o IDP integrado do oCIS, defina as variáveis ​​LDAP com escopo de IDP na configuração de ambiente ou serviço usada pela sua implementação. Os valores abaixo são apenas exemplos. Substitua o host, os DNs, o caminho do certificado e os nomes de esquema pelos valores do seu diretório.

IDP_LDAP_URI=ldaps://ldap.example.net:636
IDP_LDAP_TLS_CACERT=/etc/ocis/certs/directory-ca.pem
IDP_LDAP_BIND_DN=uid=ocis-reader,ou=service,dc=example,dc=net
IDP_LDAP_BIND_PASSWORD=<load-from-your-secret-store>
IDP_LDAP_BASE_DN=ou=people,dc=example,dc=net
IDP_LDAP_SCOPE=sub
IDP_LDAP_LOGIN_ATTRIBUTE=uid
IDP_LDAP_EMAIL_ATTRIBUTE=mail
IDP_LDAP_NAME_ATTRIBUTE=displayName
IDP_LDAP_UUID_ATTRIBUTE=entryUUID
IDP_LDAP_UUID_ATTRIBUTE_TYPE=text
IDP_LDAP_OBJECTCLASS=inetOrgPerson

Os documentos de referência do IDP contêm essas configurações, incluindo o URI, o certificado da CA, o DN de vinculação e a senha, o DN base do usuário, o escopo, o atributo de login, o atributo UUID e a classe do objeto. O exemplo pressupõe que o diretório forneça um mapeamento textual entryUUID; o Active Directory e outros esquemas podem exigir mapeamentos diferentes. Não copie entryUUIDapenas porque aparece aqui.

Armazene a senha de vinculação como um segredo de implantação ou no mecanismo de segredo recomendado para sua plataforma. Evite incluí-la em um arquivo Compose público, repositório ou ticket. Mantenha o certificado da CA legível pelo processo oCIS e preserve a verificação do certificado. A INSECUREconfiguração do IdP desativa a validação do certificado LDAP TLS e não se destina explicitamente a ambientes de produção.

Além disso, associe o comportamento de desativação de contas ao seu diretório. A documentação do IdP lista o atributo `account-disabled` IDP_USER_ENABLED_ATTRIBUTE; o padrão é um nome de atributo específico do ownCloud. Se o seu diretório usa um indicador de ativado/desativado diferente, mapeie esse atributo específico. Revise também o serviço de usuários USERS_LDAP_DISABLE_USER_MECHANISM. Dependendo do diretório, as opções documentadas são tratamento baseado em atributos, tratamento baseado em grupos ou `account- nonedisabled`; escolha essa opção deliberadamente para que uma conta desativada não seja tratada como ativa devido a uma incompatibilidade de esquema.

As pesquisas de usuários e grupos também precisam de configurações LDAP?

Muitas vezes, sim. A verificação bem-sucedida de senhas e a descoberta de usuários são tarefas relacionadas, mas distintas. O IdP autentica o login; os serviços de usuários e Graph do oCIS fornecem informações de usuários e grupos para a plataforma. Se você usar um diretório externo como fonte de identidade do oCIS, configure os backends LDAP de usuários e Graph para lerem o mesmo diretório e mapearem os mesmos usuários de forma consistente.

Para o serviço de usuários, revise USERS_DRIVER=ldapas configurações com escopo de serviço, como USERS_LDAP_URI` USERS_LDAP_CACERTmail` , USERS_LDAP_BIND_DN` display-name` USERS_LDAP_BIND_PASSWORD, ` USERS_LDAP_USER_BASE_DNscope` e USERS_LDAP_USER_SCHEMA_ID`group` USERS_LDAP_USER_SCHEMA_USERNAME. Defina as variáveis ​​de e-mail, nome de exibição, escopo e grupo quando sua implantação precisar delas. Os nomes de esquema exatos devem corresponder ao diretório, e não a um exemplo genérico.

O serviço Graph possui suas próprias configurações LDAP. Para um diretório existente que o oCIS deve ler sem gerenciar, defina GRAPH_LDAP_SERVER_WRITE_ENABLED=falsee configure a conexão e o esquema LDAP do Graph. O ownCloud documenta isso como o padrão somente leitura para conectar-se a um servidor LDAP existente. Deixe as gravações desativadas, a menos que você tenha preparado deliberadamente um esquema LDAP compatível e queira que o oCIS crie ou altere objetos de diretório.

Utilize com cuidado os prefixos de variáveis ​​específicos de cada serviço ou as OCIS_LDAP_*variáveis ​​globais documentadas. Variáveis ​​globais podem afetar diversos serviços simultaneamente. Para uma primeira integração, configurações explícitas por serviço facilitam a identificação do serviço com falha e evitam gravações ou suposições de esquema não intencionais. A referência de serviços do usuário e a referência de serviços do Graph listam os nomes e valores padrão específicos de cada versão.

Como aplicar as configurações com segurança?

1. Salve uma cópia do arquivo de ambiente atual, da unidade de serviço ou da configuração do Compose. Registre como revertê-la.
2. Adicione as variáveis ​​LDAP à definição do serviço oCIS. Não substitua o restante de um bloco de ambiente Compose existente por este exemplo; incorpore as configurações à implantação que você já executa.
3. Verifique se o arquivo de certificado existe dentro do contêiner ou do namespace do host onde o serviço oCIS o lê. O caminho do host não é automaticamente visível dentro de um contêiner.
4. Antes de reiniciar o oCIS, valide a conta de vinculação e a base de pesquisa no LDAP. Utilize o mesmo nome de host do servidor, DN base e atributo de login configurados para o serviço.
5. Reinicie o oCIS usando o processo normal da sua implantação para que os serviços recebam o novo ambiente. Em uma implantação com vários serviços ou vários nós, confirme se os serviços relevantes em cada instância estão usando a configuração pretendida.
6. Faça o teste com uma conta LDAP permitida e uma conta que não deve ter permissão para fazer login. Mantenha uma sessão de administrador aberta até que o novo caminho de login seja verificado.

Para uma verificação direta do diretório, ldapsearché possível testar o bind e o filtro de usuário sem inserir a senha na linha de comando:

ldapsearch -H ldaps://ldap.example.net:636 \
  -D 'uid=ocis-reader,ou=service,dc=example,dc=net' -W \
  -b 'ou=people,dc=example,dc=net' '(uid=alice)' dn uid entryUUID mail

Use o atributo de login e o DN base que você pretende configurar. Uma consulta bem-sucedida confirma o comportamento de rede, TLS, vinculação e pesquisa para essa consulta; ela não prova que todos os serviços oCIS usam o mesmo mapeamento.

Como saber se a configuração está funcionando?

Avalie o resultado por mais do que apenas a exibição da página de login. Faça login pelo fluxo normal da Web do oCIS com um usuário de diretório de teste, abra um arquivo e confirme o nome de usuário e os detalhes do perfil esperados. Se os grupos controlarem compartilhamentos ou acesso ao espaço, verifique também a associação a um grupo conhecido. Em seguida, teste com uma senha incorreta e uma conta LDAP desativada ou fora da lista de usuários permitidos na busca. Essas contas não devem obter acesso.

Analise os logs de serviço do oCIS em busca de erros de conexão LDAP, TLS, vinculação e pesquisa de usuários. Uma vinculação LDAP válida seguida por uma falha de login no oCIS geralmente indica uma incompatibilidade no filtro de pesquisa, no DN base, no identificador do usuário ou no mapeamento OIDC para usuário. Em um ambiente de produção piloto, verifique os arquivos, compartilhamentos e acesso baseado em grupos de um usuário existente antes de migrar um grupo maior. Uma verificação de autenticação bem-sucedida por si só não garante que a identidade e a autorização da conta existente foram preservadas.

O que você deve alterar se o login ainda falhar?

• Erros de TLS ou de conexão: Confirme se o host oCIS resolve e alcança o servidor LDAP, se a porta e o esquema correspondem e se o arquivo CA contém a cadeia de certificados emissora. Mantenha a verificação ativada.
• A vinculação foi bem-sucedida, mas nenhum usuário foi encontrado: verifique o DN base do usuário, o escopo, a classe do objeto, o atributo de login e o filtro exatos. Um DN de vinculação correto não implica que a pesquisa esteja procurando no ramo correto.
• O LDAP aceita a senha, mas o oCIS não consegue resolver a conta: compare o identificador de login do IdP com o nome de usuário ou o mapeamento de ID estável do serviço de usuários. Mantenha um identificador estável e não altere o nome de usuário para o e-mail de forma leviana.
• O login funciona, mas o acesso baseado em grupo está incorreto: verifique o DN base dos usuários e do grupo do Graph, a classe do objeto do grupo, o atributo de membro e se o backend do Graph está configurado como somente leitura ou com permissão de gravação, conforme o esperado.
• Você precisa de MFA, sessões centralizadas ou controles de identidade mais abrangentes: migre a autenticação LDAP para um provedor OIDC externo e configure o oCIS para confiar nesse emissor. O IdP integrado é intencionalmente limitado; o ownCloud recomenda um provedor externo para instalações maiores e observa que o provedor integrado não oferece todos os recursos de um serviço de identidade externo.

Não habilite PROXY_ENABLE_BASIC_AUTHcomo atalho para login em navegador de produção. A documentação do proxy lista a Autenticação Básica como um esquema de requisição suportado, mas recomenda seu uso apenas para desenvolvimento, não para produção. Para login padrão no oCIS, utilize o provedor OIDC integrado somente quando suas limitações permitirem, ou conecte um provedor de identidade OIDC externo com suporte a LDAP.

O que existe fora desse cenário?

A autenticação LDAP não disponibiliza automaticamente todas as funções administrativas do LDAP no oCIS. O provisionamento de usuários e grupos, a sincronização de grupos, o acesso de gravação, as alterações de senha, as regras para contas desativadas e o mapeamento de usuários existentes exigem configurações de serviço e esquemas LDAP compatíveis. Para o provisionamento automático OIDC externo, o ownCloud também exige uma declaração de usuário estável e um backend Graph com permissão de gravação quando o fluxo escolhido cria contas. Consulte a documentação do proxy antes de habilitar esse comportamento.

Faça uma alteração por vez, teste com um pequeno conjunto de contas e confirme a autenticação e o mapeamento de identidade antes da implementação em larga escala. Se a versão do oCIS, o esquema LDAP ou o provedor de identidade forem diferentes das premissas do exemplo, siga a referência de configuração específica dessa versão em vez de reutilizar o exemplo sem alterações.