วิธีการตั้งค่าการตรวจสอบสิทธิ์ LDAP ใน ownCloud Infinite Scale

การตรวจสอบสิทธิ์ LDAP ใน Infinite Scale หมายความว่าอย่างไร?

ownCloud Infinite Scale (oCIS) ตรวจสอบสิทธิ์การเชื่อมต่อระหว่างเบราว์เซอร์และไคลเอ็นต์ผ่าน OpenID Connect (OIDC) LDAP สามารถให้ข้อมูลผู้ใช้และข้อมูลประจำตัวในไดเร็กทอรีโดยใช้ผู้ให้บริการข้อมูลประจำตัวในตัวของ oCIS หรืออาจใช้ผู้ให้บริการ OIDC ภายนอก เช่น Keycloak ก็ได้ การกำหนดค่าที่เหมาะสมนั้นขึ้นอยู่กับว่าคุณต้องการการใช้งานขนาดเล็กที่มีขั้นตอนการเข้าสู่ระบบที่เรียบง่าย หรือแพลตฟอร์มข้อมูลประจำตัวสำหรับการใช้งานจริงที่มีการควบคุมที่ครอบคลุมมากขึ้น

ความแตกต่างนี้มีประโยชน์เพราะ oCIS ไม่ใช่ ownCloud Server Classic บทช่วยสอนแบบคลาสสิกจะกำหนดค่า LDAP ผ่านหน้าเว็บผู้ดูแลระบบ หรือocc ldap:*ไม่ได้กำหนดค่า oCIS ใน oCIS การตั้งค่าจะเป็นตัวแปรสภาพแวดล้อมการปรับใช้ หรือการกำหนดค่าบริการ และบริการหลายอย่างอาจต้องการมุมมองที่สอดคล้องกันของไดเร็กทอรีเดียวกัน

เอกสารประกอบบริการ IDPเวอร์ชันต่างๆ ของ ownCloud ระบุว่าผู้ให้บริการในตัวสามารถใช้แบ็กเอนด์ LDAP ภายนอกได้คำแนะนำด้านความปลอดภัยแนะนำให้ใช้ผู้ให้บริการ OIDC ภายนอกสำหรับการติดตั้งขนาดใหญ่หรือการใช้งานจริง คู่มือนี้ใช้เอกสารประกอบ oCIS 8.2 โปรดตรวจสอบเอกสารประกอบที่ตรงกับเวอร์ชันที่คุณติดตั้งก่อนที่จะนำตัวแปรไปใช้ เนื่องจากค่าเริ่มต้นและตัวอย่างการปรับใช้อาจเปลี่ยนแปลงได้

คุณควรเลือกรูปแบบการตรวจสอบสิทธิ์แบบใด?

หากคุณใช้งาน Keycloak หรือผู้ให้บริการ OIDC อื่นๆ อยู่แล้ว การเชื่อมต่อเข้ากับไดเร็กทอรีมักจะเป็นวิธีที่สะอาดกว่าสำหรับการใช้งานจริง หากเป็นการใช้งานขนาดเล็กและข้อจำกัดของผู้ให้บริการในตัวนั้นยอมรับได้ ให้กำหนดค่าแบ็กเอนด์ LDAP ของ IDP และทดสอบก่อนที่จะเปิดให้ผู้ใช้เข้าถึง

คุณควรเตรียมข้อมูลอะไรบ้างก่อนทำการแก้ไข oCIS?

• ระบุเวอร์ชัน oCIS ที่แน่นอนและวิธีการติดตั้งใช้งาน เช่น Docker Compose, Kubernetes หรือกระบวนการไบนารีแบบควบคุมดูแล
• ชื่อ DNS ของเซิร์ฟเวอร์ LDAP, ห่วงโซ่ใบรับรอง TLS และปลายทาง LDAPS ควรldaps://ใช้การตรวจสอบความถูกต้องของใบรับรอง อย่าปิดใช้งานการตรวจสอบเพื่อปกปิดปัญหาความน่าเชื่อถือ
• บัญชีผู้ใช้ที่มีสิทธิ์น้อยที่สุดและชื่อที่ระบุอย่างครบถ้วน (DN) ของบัญชีนั้น บัญชีดังกล่าวควรสามารถค้นหาสาขาผู้ใช้และกลุ่มที่ oCIS ต้องการได้ โดยไม่ต้องมีสิทธิ์ในการเขียนที่ไม่จำเป็น
• ข้อมูลที่ใช้ในการค้นหาประกอบด้วย base DN, ขอบเขตการค้นหา, คุณลักษณะการเข้าสู่ระบบ, คลาสของวัตถุ, คุณลักษณะอีเมลและชื่อที่แสดง และคุณลักษณะรหัสผู้ใช้ที่ไม่ซ้ำกันซึ่งมีเสถียรภาพ โปรดตรวจสอบข้อมูลเหล่านี้กับรายการในไดเร็กทอรีจริง
• ระบุ DN พื้นฐานของกลุ่มและคุณลักษณะการเป็นสมาชิก หากกลุ่ม LDAP ของผู้ใช้ควรปรากฏใน oCIS
• ไฟล์สำรองข้อมูลการตั้งค่า oCIS ปัจจุบัน และการเข้าสู่ระบบของผู้ดูแลระบบที่ผ่านการทดสอบแล้ว ซึ่งไม่ขึ้นอยู่กับการเปลี่ยนแปลงของ LDAP

การกำหนดรหัสประจำตัวที่เสถียรนั้นต้องได้รับการดูแลเป็นพิเศษ ชื่อที่แสดงหรืออีเมลอาจเปลี่ยนแปลงได้ แต่รหัสประจำตัวที่ไม่ซ้ำกันควรยังคงเชื่อมโยงกับบุคคลเดิม หาก oCIS พบรหัสประจำตัวที่แตกต่างออกไปหลังจากมีการเปลี่ยนแปลง บุคคลที่มีอยู่แล้วอาจปรากฏเป็นบัญชีใหม่แทนที่จะได้รับสิทธิ์การเข้าถึงและรหัสประจำตัวตามที่คาดหวังไว้

จะเชื่อมต่อ IDP ในตัวกับเซิร์ฟเวอร์ LDAP ภายนอกได้อย่างไร?

สำหรับการใช้งานขนาดเล็กโดยใช้ IDP ในตัวของ oCIS ให้ตั้งค่าตัวแปร LDAP ที่กำหนดขอบเขตโดย IDP ในการกำหนดค่าสภาพแวดล้อมหรือบริการที่ใช้โดยการใช้งานของคุณ ค่าด้านล่างเป็นเพียงตัวอย่างเท่านั้น โปรดแทนที่ชื่อโฮสต์, DN, เส้นทางใบรับรอง และชื่อสคีมาด้วยค่าจากไดเร็กทอรีของคุณ

IDP_LDAP_URI=ldaps://ldap.example.net:636
IDP_LDAP_TLS_CACERT=/etc/ocis/certs/directory-ca.pem
IDP_LDAP_BIND_DN=uid=ocis-reader,ou=service,dc=example,dc=net
IDP_LDAP_BIND_PASSWORD=<load-from-your-secret-store>
IDP_LDAP_BASE_DN=ou=people,dc=example,dc=net
IDP_LDAP_SCOPE=sub
IDP_LDAP_LOGIN_ATTRIBUTE=uid
IDP_LDAP_EMAIL_ATTRIBUTE=mail
IDP_LDAP_NAME_ATTRIBUTE=displayName
IDP_LDAP_UUID_ATTRIBUTE=entryUUID
IDP_LDAP_UUID_ATTRIBUTE_TYPE=text
IDP_LDAP_OBJECTCLASS=inetOrgPerson

เอกสารอ้างอิง IDP อธิบายการตั้งค่าเหล่านี้ รวมถึง URI, ใบรับรอง CA, bind DN และรหัสผ่าน, user base DN, ขอบเขต, คุณลักษณะการเข้าสู่ระบบ, คุณลักษณะ UUID และคลาสวัตถุ ตัวอย่างนี้สมมติว่าไดเร็กทอรีให้ข้อมูลที่เป็นข้อความเท่านั้นentryUUIDActive Directory และสคีมาอื่นๆ อาจต้องการการแมปที่แตกต่างกัน อย่าคัดลอกentryUUIDเพียงเพราะปรากฏอยู่ที่นี่

จัดเก็บรหัสผ่านการเชื่อมต่อเป็นความลับในการปรับใช้ หรือในกลไกความลับที่แนะนำสำหรับแพลตฟอร์มของคุณ หลีกเลี่ยงการบันทึกไว้ในไฟล์ Compose สาธารณะ ที่เก็บข้อมูล หรือตั๋ว รักษาใบรับรอง CA ให้สามารถอ่านได้โดยกระบวนการ oCIS และเก็บรักษาการตรวจสอบใบรับรอง การINSECUREตั้งค่าของ IDP จะปิดใช้งานการตรวจสอบใบรับรอง LDAP TLS และไม่ได้มีไว้สำหรับการใช้งานจริงอย่างชัดเจน

นอกจากนี้ ให้จับคู่พฤติกรรมการปิดใช้งานบัญชีกับไดเร็กทอรีของคุณด้วย เอกสาร IDP ระบุไว้IDP_USER_ENABLED_ATTRIBUTEโดยค่าเริ่มต้นจะเป็นชื่อแอตทริบิวต์เฉพาะของ ownCloud หากไดเร็กทอรีของคุณใช้แฟล็กเปิด/ปิดใช้งานที่แตกต่างกัน ให้แมปแอตทริบิวต์นั้นจริง ๆ ตรวจสอบบริการของผู้ใช้USERS_LDAP_DISABLE_USER_MECHANISMด้วยเช่นกัน ขึ้นอยู่กับไดเร็กทอรี ตัวเลือกที่ระบุไว้ในเอกสารคือ การจัดการตามแอตทริบิวต์ การจัดการตามกลุ่ม หรือnoneเลือกอย่างรอบคอบเพื่อให้บัญชีที่ถูกปิดใช้งานไม่ถูกมองว่ายังใช้งานอยู่เนื่องจากความไม่ตรงกันของสคีมา

การค้นหาผู้ใช้และกลุ่มจำเป็นต้องตั้งค่า LDAP ด้วยหรือไม่?

โดยส่วนใหญ่แล้วใช่ การตรวจสอบรหัสผ่านที่สำเร็จและการค้นหาผู้ใช้เป็นงานที่เกี่ยวข้องกันแต่แยกจากกัน IDP จะตรวจสอบสิทธิ์การเข้าสู่ระบบ ในขณะที่ผู้ใช้ oCIS และบริการ Graph จะให้ข้อมูลผู้ใช้และกลุ่มแก่แพลตฟอร์ม หากคุณใช้ไดเร็กทอรีภายนอกเป็นแหล่งข้อมูลประจำตัวของ oCIS ให้กำหนดค่าผู้ใช้และแบ็กเอนด์ LDAP ของ Graph ให้ดึงข้อมูลจากไดเร็กทอรีเดียวกันและแมปผู้ใช้เดียวกันอย่างสม่ำเสมอ

สำหรับบริการผู้ใช้ ให้ตรวจสอบUSERS_DRIVER=ldapและตั้งค่าที่เกี่ยวข้องกับบริการ เช่นUSERS_LDAP_URI, USERS_LDAP_CACERT, USERS_LDAP_BIND_DN, USERS_LDAP_BIND_PASSWORD, USERS_LDAP_USER_BASE_DN, USERS_LDAP_USER_SCHEMA_ID, และUSERS_LDAP_USER_SCHEMA_USERNAMEตั้งค่าตัวแปรอีเมล ชื่อที่แสดง ขอบเขต และกลุ่ม เมื่อการปรับใช้ของคุณต้องการ ชื่อสคีมาที่ถูกต้องต้องตรงกับไดเร็กทอรี ไม่ใช่ตัวอย่างทั่วไป

บริการ Graph มีการตั้งค่า LDAP ของตัวเอง สำหรับไดเร็กทอรีที่มีอยู่ซึ่ง oCIS ควรจะอ่านโดยไม่ต้องจัดการ ให้ตั้งค่าGRAPH_LDAP_SERVER_WRITE_ENABLED=falseและกำหนดค่าการเชื่อมต่อ LDAP และสคีมาของ Graph เอกสาร ownCloud อธิบายสิ่งนี้ว่าเป็นรูปแบบอ่านอย่างเดียวสำหรับการเชื่อมต่อกับเซิร์ฟเวอร์ LDAP ที่มีอยู่ ปิดใช้งานการเขียนไว้เว้นแต่คุณได้เตรียมสคีมา LDAP ที่เข้ากันได้ไว้แล้วและต้องการให้ oCIS สร้างหรือเปลี่ยนแปลงวัตถุในไดเร็กทอรี

โปรดใช้คำนำหน้าตัวแปรเฉพาะบริการหรือOCIS_LDAP_*ตัวแปรส่วนกลางที่ระบุไว้ในเอกสารอย่างระมัดระวัง ตัวแปรส่วนกลางอาจส่งผลกระทบต่อหลายบริการพร้อมกัน สำหรับการผสานรวมครั้งแรก การตั้งค่าเฉพาะบริการจะช่วยให้เห็นได้ง่ายขึ้นว่าบริการใดล้มเหลว และป้องกันการเขียนข้อมูลหรือการสันนิษฐานโครงสร้างข้อมูลโดยไม่ตั้งใจเอกสารอ้างอิงบริการของผู้ใช้และเอกสารอ้างอิงบริการกราฟจะแสดงชื่อและค่าเริ่มต้นเฉพาะรุ่น

จะตั้งค่าต่างๆ อย่างปลอดภัยได้อย่างไร?

1. บันทึกสำเนาไฟล์สภาพแวดล้อมปัจจุบัน หน่วยบริการ หรือการกำหนดค่า Compose ไว้ และจดบันทึกวิธีการย้อนกลับไปยังค่าเดิมด้วย
2. เพิ่มตัวแปร LDAP ลงในคำจำกัดความบริการ oCIS จริงๆ อย่าแทนที่ส่วนที่เหลือของบล็อกสภาพแวดล้อม Compose ที่มีอยู่ด้วยตัวอย่างนี้ ให้ผสานการตั้งค่าเข้ากับการปรับใช้ที่คุณใช้งานอยู่แล้ว
3. ตรวจสอบว่าไฟล์ใบรับรองมีอยู่ภายในคอนเทนเนอร์หรือเนมสเปซของโฮสต์ที่บริการ oCIS อ่านอยู่หรือไม่ เส้นทางของโฮสต์จะไม่ปรากฏให้เห็นโดยอัตโนมัติภายในคอนเทนเนอร์
4. ตรวจสอบความถูกต้องของบัญชีการเชื่อมต่อและฐานข้อมูลการค้นหาเทียบกับ LDAP ก่อนรีสตาร์ท oCIS ใช้ชื่อโฮสต์เซิร์ฟเวอร์, Base DN และแอตทริบิวต์การเข้าสู่ระบบเดียวกันกับที่กำหนดค่าไว้สำหรับบริการ
5. รีสตาร์ท oCIS โดยใช้กระบวนการปกติของการติดตั้งใช้งาน เพื่อให้บริการต่างๆ ได้รับสภาพแวดล้อมใหม่ ในการติดตั้งใช้งานแบบหลายบริการหรือหลายโหนด ให้ตรวจสอบว่าบริการที่เกี่ยวข้องในแต่ละอินสแตนซ์ใช้การกำหนดค่าที่ต้องการหรือไม่
6. ทดสอบโดยใช้บัญชี LDAP ที่ได้รับอนุญาตหนึ่งบัญชี และบัญชีที่ไม่ควรเข้าสู่ระบบอีกหนึ่งบัญชี เปิดเซสชันผู้ดูแลระบบที่มีอยู่ไว้จนกว่าเส้นทางการเข้าสู่ระบบใหม่จะได้รับการตรวจสอบแล้ว

สำหรับการตรวจสอบไดเร็กทอรีโดยตรงldapsearchสามารถทดสอบการผูกและการกรองผู้ใช้ได้โดยไม่ต้องใส่รหัสผ่านในบรรทัดคำสั่ง:

ldapsearch -H ldaps://ldap.example.net:636 \
  -D 'uid=ocis-reader,ou=service,dc=example,dc=net' -W \
  -b 'ou=people,dc=example,dc=net' '(uid=alice)' dn uid entryUUID mail

ใช้แอตทริบิวต์การเข้าสู่ระบบและ base DN ที่คุณต้องการกำหนดค่า การสอบถามที่สำเร็จจะยืนยันเครือข่าย TLS การผูก และพฤติกรรมการค้นหาสำหรับการสอบถามนั้น แต่ไม่ได้พิสูจน์ว่าบริการ oCIS ทุกบริการใช้การแมปแบบเดียวกัน

คุณรู้ได้อย่างไรว่าการตั้งค่าใช้งานได้แล้ว?

อย่าพิจารณาแค่เพียงว่าหน้าล็อกอินปรากฏขึ้นหรือไม่ ให้ล็อกอินผ่านขั้นตอนการใช้งานเว็บ oCIS ตามปกติ โดยใช้ผู้ใช้ไดเร็กทอรีทดสอบ เปิดไฟล์ และยืนยันชื่อผู้ใช้และรายละเอียดโปรไฟล์ที่คาดหวังไว้ หากกลุ่มเป็นตัวกำหนดการเข้าถึงไฟล์หรือพื้นที่จัดเก็บข้อมูล ให้ตรวจสอบการเป็นสมาชิกกลุ่มที่รู้จักอย่างน้อยหนึ่งกลุ่มด้วย จากนั้นทดสอบด้วยรหัสผ่านที่ไม่ถูกต้อง และบัญชี LDAP ที่ถูกปิดใช้งาน หรืออยู่นอกเหนือการค้นหาผู้ใช้ที่อนุญาต บัญชีเหล่านั้นไม่ควรได้รับสิทธิ์ในการเข้าถึง

ตรวจสอบบันทึกการทำงานของบริการ oCIS เพื่อหาข้อผิดพลาดในการเชื่อมต่อ LDAP, TLS, การผูกข้อมูล และการค้นหาผู้ใช้ การผูกข้อมูล LDAP ที่ถูกต้องแต่การเข้าสู่ระบบ oCIS ล้มเหลว มักบ่งชี้ถึงความไม่ตรงกันของตัวกรองการค้นหา, Base DN, ตัวระบุผู้ใช้ หรือการแมป OIDC กับผู้ใช้ ในการทดสอบระบบจริง ให้ตรวจสอบไฟล์ การแชร์ และการเข้าถึงตามกลุ่มของผู้ใช้ที่มีอยู่ก่อนที่จะย้ายกลุ่มขนาดใหญ่ การตรวจสอบสิทธิ์ที่สำเร็จเพียงอย่างเดียวไม่ได้ยืนยันว่าข้อมูลประจำตัวและการอนุญาตของบัญชีที่มีอยู่ได้รับการรักษาไว้

ถ้าการเข้าสู่ระบบยังคงล้มเหลว คุณควรเปลี่ยนแปลงอะไรบ้าง?

• ข้อผิดพลาด TLS หรือการเชื่อมต่อ:ตรวจสอบให้แน่ใจว่าโฮสต์ oCIS สามารถระบุและเชื่อมต่อกับเซิร์ฟเวอร์ LDAP ได้ พอร์ตและรูปแบบตรงกัน และไฟล์ CA มีห่วงโซ่ใบรับรองที่ออกให้ เปิดใช้งานการตรวจสอบไว้เสมอ
• การเชื่อมต่อสำเร็จ แต่ไม่พบผู้ใช้:โปรดตรวจสอบ DN ฐานผู้ใช้ ขอบเขต คลาสวัตถุ คุณลักษณะการเข้าสู่ระบบ และตัวกรองให้ถูกต้อง DN การเชื่อมต่อที่ถูกต้องไม่ได้หมายความว่าการค้นหาจะค้นหาในสาขาที่ถูกต้องเสมอไป
• LDAP ยอมรับรหัสผ่าน แต่ oCIS ไม่สามารถระบุบัญชีได้:เปรียบเทียบตัวระบุการเข้าสู่ระบบ IDP กับชื่อผู้ใช้บริการหรือการจับคู่ ID ที่เสถียรระหว่างผู้ใช้และบริการ รักษาตัวระบุให้คงที่และอย่าเปลี่ยนจากชื่อผู้ใช้เป็นอีเมลโดยพลการ
• การล็อกอินใช้งานได้ แต่การเข้าถึงแบบกลุ่มไม่ถูกต้อง:ตรวจสอบ DN พื้นฐานของผู้ใช้และกลุ่ม Graph, คลาสของอ็อบเจ็กต์กลุ่ม, คุณลักษณะของสมาชิก และตรวจสอบว่าแบ็กเอนด์ Graph ถูกกำหนดค่าเป็นแบบอ่านอย่างเดียวหรือแบบเขียนได้ตามที่ต้องการหรือไม่
• หากคุณต้องการ MFA (การตรวจสอบสิทธิ์แบบหลายปัจจัย), เซสชันแบบรวมศูนย์ หรือการควบคุมข้อมูลประจำตัวที่ครอบคลุมมากขึ้น:ย้ายการตรวจสอบสิทธิ์ LDAP ไปยังผู้ให้บริการ OIDC ภายนอก และกำหนดค่า oCIS ให้เชื่อถือผู้ให้บริการนั้น IDP ในตัวนั้นมีข้อจำกัดโดยเจตนา ownCloud แนะนำให้ใช้ผู้ให้บริการภายนอกสำหรับการติดตั้งขนาดใหญ่ และระบุว่าผู้ให้บริการในตัวนั้นไม่มีความสามารถครบถ้วนเหมือนกับบริการข้อมูลประจำตัวภายนอก

อย่าเปิดใช้งานPROXY_ENABLE_BASIC_AUTHเป็นทางลัดสำหรับการเข้าสู่ระบบเบราว์เซอร์ในสภาพแวดล้อมการใช้งานจริง เอกสารพร็อกซีระบุว่า Basic Auth เป็นรูปแบบการร้องขอที่รองรับ แต่ระบุให้ใช้เฉพาะสำหรับการพัฒนาเท่านั้น ไม่ใช่สำหรับการใช้งานจริง สำหรับการลงชื่อเข้าใช้ oCIS มาตรฐาน ให้ใช้ผู้ให้บริการ OIDC ในตัวเฉพาะในกรณีที่ข้อจำกัดเหมาะสม หรือเชื่อมต่อผู้ให้บริการข้อมูลประจำตัว OIDC ภายนอกที่รองรับโดย LDAP

อะไรอยู่นอกเหนือจากระบบนี้?

การตรวจสอบสิทธิ์ LDAP ไม่ได้ทำให้ฟังก์ชันการจัดการ LDAP ทั้งหมดพร้อมใช้งานใน oCIS โดยอัตโนมัติ การจัดเตรียมผู้ใช้และกลุ่ม การซิงโครไนซ์กลุ่ม การเข้าถึงการเขียน การเปลี่ยนรหัสผ่าน กฎบัญชีที่ถูกปิดใช้งาน และการแมปผู้ใช้ที่มีอยู่ ต้องใช้การตั้งค่าบริการที่เข้ากันได้และสคีมา LDAP ของตนเอง สำหรับการจัดเตรียมอัตโนมัติ OIDC ภายนอก ownCloud ยังต้องการการอ้างสิทธิ์ผู้ใช้ที่เสถียรและแบ็กเอนด์ Graph ที่เปิดใช้งานการเขียนเมื่อขั้นตอนที่เลือกสร้างบัญชี ตรวจสอบเอกสารพร็อกซีก่อนเปิดใช้งานพฤติกรรมนั้น

ทำการเปลี่ยนแปลงทีละอย่าง ทดสอบกับชุดบัญชีขนาดเล็ก และยืนยันทั้งการตรวจสอบสิทธิ์และการแมปข้อมูลประจำตัวก่อนที่จะเปิดใช้งานในวงกว้าง หากเวอร์ชัน oCIS, สคีมา LDAP หรือผู้ให้บริการข้อมูลประจำตัวแตกต่างจากข้อสมมติในตัวอย่าง ให้ปฏิบัติตามเอกสารอ้างอิงการกำหนดค่าของเวอร์ชันนั้น ๆ แทนที่จะนำตัวอย่างมาใช้ซ้ำโดยไม่เปลี่ยนแปลง