Active Directory 集成

2018年1月26日

Active Directory 集成概述

借助本地部署的 CAMServer Enterprise，通过与 Active Directory 集成，身份验证变得非常简单。可以实现以下目标：

Web 应用版本使用此功能，登录身份验证期间将首先显示 Active Directory 身份验证 ID。
在身份认证方面，现在可以实现无密码认证和使用操作系统密码进行认证。
CAMServer 使用 Active Directory LDAP 协议来确定身份验证是否成功。

Active Directory ID 集成

启用 Active Directory ID 集成后，已通过 Active Directory 身份验证的用户将自动设置登录 ID。

自动设置登录 ID 的功能适用于…… Web 应用版本就这样。

身份验证方法

在保存这些设置之前，请务必先完成 LDAP 配置并执行“测试 LDAP 配置”。

启用 Active Directory ID 集成后，您可以选择“无密码身份验证”或“操作系统密码身份验证”。

无密码身份验证

使用集成 Windows 身份验证的 SSO 这在安全方面具有优势。

・启用此设置后，访问权限将仅限于 Web 应用程序。
如果配置错误，所有用户都将无法登录。但是，您可以通过在 CAMServer/boot.ini 文件中设置 cam.disableADPasswordless=true 并启动 CAMServer 来禁用“无密码身份验证”。禁用并启动后，请检查所有设置，并在启用“无密码身份验证”之前务必执行“LDAP 设置测试”。启用后，请从 cam.ini 文件中删除 cam.disableADPasswordless 并重新启动 CAMServer。

操作系统密码验证

用户身份验证通过操作系统密码进行。

注册新用户时，请设置一个临时密码并进行注册。一旦“操作系统密码验证”成功，验证即视为通过，C&M 中注册的密码将被覆盖。

即使“操作系统密码验证”失败，用户仍会在 C&M 注册并设置密码；如果密码匹配，则视为验证成功。
此设置是使用集成 Windows 身份验证的 SSO 它可以与以下产品配合使用：

LDAP 设置

LDAPURL

这是使用 LDAP 搜索 Active Directory 服务器的 URL。请根据需要指定 LDAPUrl 中的地址和端口。（留空） ldap://localhost:389 访问通过此端口进行。LDAP 的默认端口是 389。

如果需要 SSL，请使用 LDAPS ldaps://<FQDN>:636 请具体说明。

LDAPBaseDN

LDAPBaseDN 是一个值，用于指定在 LDAP 服务器对象树中搜索用户的起始位置。可以指定多个 LDAPBaseDN，它们之间用换行符分隔。

在 CAMServer v4.60.17 及更高版本中，通常情况下，不指定此项不会有问题。在之前的版本中，如果未指定，则只会自动添加 Users 容器（例如，CN=Users,DC=camtest,DC=com）。

如果未指定

如果未指定，LDAPBaseDN 将根据用户 ID 的域自动生成，并搜索整个域。例如，搜索名为 user1@camtest.com 的用户时，LDAPBaseDN 将为“DC=camtest, DC=com”。

如果指定

如果用户位于组织单元 (OU) 内，您可以通过指定其各自的 BaseDN 来缩小搜索范围。下图显示了一个设置，该设置搜索销售部门和会计部门的组织单元 (OU)。

即使您另行指定，默认的 Users 容器 (CN=Users,DC=yourdomain,DC=com) 也会自动添加到搜索中。

测试 AD 用户和 LDAP 设置以进行代理身份验证。

使用 Windows 集成身份验证的 SSO 或无密码身份验证时，请配置 AD 用户以执行代理身份验证，然后执行“测试 LDAP 设置”。

在上述身份验证过程中，执行代理身份验证的 AD 用户将执行内部 LDAP 搜索，以验证其是否为合法的 AD 用户。

Active Directory 同步设置

启用 Active Directory 同步功能后，将在指定时间从 Active Directory 检索信息，并更新 Chat&Messenger 中的用户信息。

需要更新的信息如下：

用户名... AD 的 displayName 属性
组名称... AD 部门属性
电子邮件... AD 电子邮件属性

常问问题

我可以创建一个在Active Directory中不存在的用户吗？

如果您不选择“无密码”作为身份验证方法，即使用户在 Active Directory 中不存在，您也可以通过 Chat&Messenger 用户管理屏幕创建帐户并登录。

我能否通过与 Active Directory 同步来自动添加用户？

目前，Chat&Messenger 不会根据 Active Directory 自动添加或删除用户。因此，即使您启用了 Active Directory 集成，管理员也必须通过管理面板中的用户注册界面或上传 CSV 文件来创建 Chat&Messenger 用户。

我想获取 Active Directory 用户列表并创建一个 CSV 文件。

您可以使用 PowerShell 的 Get-ADUser 命令获取 Active Directory 用户列表。 用户主体名称 请以 Chat&Messenger 上的用户 ID（工作邮箱地址）为数据，创建一个 CSV 文件。

> Get-ADUser -Filter {objectClass -eq "user"} -Properties info

DistinguishedName : CN=user1,CN=Users,DC=***,DC=com
GivenName         : ユーザ１
Name              : user1
ObjectClass       : user
ObjectGUID        : bf84cdab-2c21-44cf-aaca-afe493d97f2a
SamAccountName    : user1
SID               : S-1-5-21-3698402442-2374923176-*****-1104
Surname           : ユーザ１
UserPrincipalName : user1@***.com

DistinguishedName : CN=user2,CN=Users,DC=***,DC=com
GivenName         : user2
Name              : user2
ObjectClass       : user
ObjectGUID        : 482450a4-482a-40ac-b89b-434605f45571
SamAccountName    : user2
SID               : S-1-5-21-3698402442-2374923176-*****-1105
Surname           : テスト
UserPrincipalName : user2@***.com

# AD users のリストを CSVで出力
> $users = Get-ADUser -Filter {objectClass -eq "user"} -Properties UserPrincipalName, GivenName
> $selectedUsers = $users | Select-Object UserPrincipalName, GivenName
> $selectedUsers | Export-Csv -Path "C:\path\to\output\users.csv" -NoTypeInformation

URLをコピーしました！