活动目录链接

2018 年 1 月 26 日

活动目录链接概述

通过提供活动目录链接，内部 CAMServer 企业版可轻松进行身份验证。可以实现以下功能

网络应用程序版本Active Directory 身份验证 ID 最初会在登录身份验证时显示。
在 ID 身份验证中，可以使用无密码身份验证和操作系统密码进行身份验证。
CAMServer 使用 Active Directory 的 LDAP 协议来确定身份验证是否成功。

活动目录 ID 链接

启用 Active Directory ID 集成后，如果用户有 Active Directory 身份验证，登录 ID 将自动设置。

认证方法

在保存此设置之前，请务必先完成 LDAP 设置并执行“测试 LDAP 设置”。

启用Active Directory ID联动后，您可以选择“无密码身份验证”或“操作系统密码身份验证”。

无密码身份验证

AD登录时可以获得的信息经过加密并用作身份验证令牌，允许服务无需密码即可登录。在启用此设置之前，您需要设置“用于代理身份验证的 AD 用户”和“测试 LDAP 设置”。

使用集成 Windows 身份验证的 SSO 在安全性方面具有优势。

中点如果激活此设置，则只能访问网络应用程序版本。
如果配置错误，所有用户都将无法登录。但是，您可以通过在 CAMServer/boot.ini 文件中设置 cam.disableADPasswordless=true 并启动 CAMServer 来禁用“无密码身份验证”。禁用并启动后，请检查所有设置，并在启用“无密码身份验证”之前务必执行“LDAP 设置测试”。启用后，请从 cam.ini 文件中删除 cam.disableADPasswordless 并重新启动 CAMServer。

操作系统密码验证

操作系统密码用于用户身份验证。

注册新用户时，请设置一个临时密码并进行注册。一旦“操作系统密码验证”成功，验证即视为通过，C&M 中注册的密码将被覆盖。

即使“操作系统密码验证”失败，用户仍会在 C&M 注册并设置密码；如果密码匹配，则视为验证成功。
此设置是使用集成 Windows 身份验证的 SSO 它可以与以下产品配合使用：

配置 LDAP

LDAPUrl

这是使用 ldap 搜索 Active Directory 服务器的 URL。根据需要在 LDAPUrl 中指定地址和端口。如果为空 ldap://localhost:389 使用访问它。 389 端口是 ldap 的默认端口。

如果需要 SSL，请使用 LDAPS ldaps://<FQDN>:636 请具体说明。

LDAPBaseDN

LDAPBaseDN 是一个值，用于指定在 LDAP 服务器对象树中搜索用户的起始位置。可以指定多个 LDAPBaseDN，它们之间用换行符分隔。

在 CAMServer v4.60.17 及更高版本中，通常情况下，不指定此项不会有问题。在之前的版本中，如果未指定，则只会自动添加 Users 容器（例如，CN=Users,DC=camtest,DC=com）。

如果未指定

如果未指定，LDAPBaseDN 将根据用户 ID 的域自动生成，并搜索整个域。例如，搜索名为 user1@camtest.com 的用户时，LDAPBaseDN 将为“DC=camtest, DC=com”。

如果指定

如果用户位于组织单元 (OU) 内，您可以通过指定其各自的 BaseDN 来缩小搜索范围。下图显示了一个设置，该设置搜索销售部门和会计部门的组织单元 (OU)。

即使您另行指定，默认的 Users 容器 (CN=Users,DC=yourdomain,DC=com) 也会自动添加到搜索中。

测试 AD 用户和 LDAP 设置以进行委派身份验证

使用 Windows 集成身份验证的 SSO 或无密码身份验证时，请配置 AD 用户以执行代理身份验证，然后执行“测试 LDAP 设置”。

在上述认证过程中，执行代理认证的AD用户会通过内部LDAP搜索来验证自己是否是合法的AD用户。

Active Directory 同步设置

启用 Active Directory 同步设置后，将在指定时间从 Active Directory 检索信息，并更新 Chat&Messenger 中的用户信息。

待更新信息如下。

用户名...AD displayName 属性
组名...AD部门属性
电子邮件・・・AD电子邮件属性

常见问题

我可以创建一个不存在于 Active Directory 中的用户吗？

如果您未选择“无密码”作为身份验证方法，则即使 Active Directory 中不存在该用户，您也可以在 Chat&Messenger 用户管理屏幕上创建帐户并登录。

我可以与 Active Directory 同步以自动添加用户吗？

目前，Chat&Messenger 不会根据 Active Directory 用户自动添加或删除用户。因此，即使启用了Active Directory链接，管理员也必须使用管理屏幕上的用户注册屏幕或上传CSV来创建Chat&Messenger用户。

我想要获取 Active Directory 用户列表并创建 CSV。

您可以使用 PowerShell 的 Get-ADUser 获取 Active Directory 用户列表。此列表中的 用户主体名称 请使用 Chat&Messenger 上的用户 ID（工作电子邮件地址）创建 CSV 文件。

> Get-ADUser -Filter {objectClass -eq "user"} -Properties info

DistinguishedName : CN=user1,CN=Users,DC=***,DC=com
GivenName         : ユーザ１
Name              : user1
ObjectClass       : user
ObjectGUID        : bf84cdab-2c21-44cf-aaca-afe493d97f2a
SamAccountName    : user1
SID               : S-1-5-21-3698402442-2374923176-*****-1104
Surname           : ユーザ１
UserPrincipalName : user1@***.com

DistinguishedName : CN=user2,CN=Users,DC=***,DC=com
GivenName         : user2
Name              : user2
ObjectClass       : user
ObjectGUID        : 482450a4-482a-40ac-b89b-434605f45571
SamAccountName    : user2
SID               : S-1-5-21-3698402442-2374923176-*****-1105
Surname           : テスト
UserPrincipalName : user2@***.com

# AD users のリストを CSVで出力
> $users = Get-ADUser -Filter {objectClass -eq "user"} -Properties UserPrincipalName, GivenName
> $selectedUsers = $users | Select-Object UserPrincipalName, GivenName
> $selectedUsers | Export-Csv -Path "C:\path\to\output\users.csv" -NoTypeInformation

URLをコピーしました！