Active Directory 集成

2018年1月26日

Active Directory 整合概述

借助本地部署的 CAMServer Enterprise，透過與 Active Directory 集成，身份驗證變得非常簡單。可以實現以下目標：

Web 應用程式版本使用此功能，登入驗證期間將首先顯示 Active Directory 驗證 ID。
在身份認證方面，現在可以實現無密碼認證和使用作業系統密碼進行認證。
CAMServer 使用 Active Directory LDAP 協定來決定驗證是否成功。

Active Directory ID 集成

啟用 Active Directory ID 整合後，已透過 Active Directory 驗證的使用者將自動設定登入 ID。

自動設定登入 ID 的功能適用於… Web 應用程式版本就這樣。

身份驗證方法

在儲存這些設定之前，請務必先完成 LDAP 設定並執行「測試 LDAP 設定」。

啟用 Active Directory ID 整合後，您可以選擇「無密碼身份驗證」或「作業系統密碼驗證」。

無密碼身份驗證

登入 AD 時取得的資訊會被加密並用作身份驗證令牌，從而實現無需密碼即可登入服務。啟用此設定之前，您需要設定「用於執行代理驗證的 AD 使用者」和「測試 LDAP 設定」。

使用整合 Windows 身份驗證的 SSO 這在安全方面具有優勢。

・啟用此設定後，存取權限將僅限於 Web 應用程式。
如果配置錯誤，所有使用者都將無法登入。但是，您可以透過在 CAMServer/boot.ini 檔案中設定 cam.disableADPasswordless=true 並啟動 CAMServer 來停用「無密碼身份驗證」。停用並啟動後，請檢查所有設置，並在啟用「無密碼身份驗證」之前務必執行「LDAP 設定測試」。啟用後，請從 cam.ini 檔案中刪除 cam.disableADPasswordless 並重新啟動 CAMServer。

作業系統密碼驗證

使用者身份驗證透過作業系統密碼進行。

註冊新用戶時，請設定臨時密碼並進行註冊。一旦「作業系統密碼驗證」成功，驗證即視為通過，C&M 中註冊的密碼將被覆蓋。

即使「作業系統密碼驗證」失敗，使用者仍會在 C&M 註冊並設定密碼；如果密碼匹配，則視為驗證成功。
此設定是使用整合 Windows 身份驗證的 SSO 它可以與以下產品配合使用：

LDAP 設定

LDAPURL

這是使用 LDAP 搜尋 Active Directory 伺服器的 URL。請根據需要指定 LDAPUrl 中的位址和連接埠。（留空） ldap://localhost:389 存取透過此連接埠進行。 LDAP 的預設連接埠是 389。

如果需要 SSL，請使用 LDAPS ldaps://<FQDN>:636 請具體說明。

LDAPBaseDN

LDAPBaseDN 是一個值，用於指定在 LDAP 伺服器物件樹中搜尋使用者的起始位置。可以指定多個 LDAPBaseDN，它們之間以換行符號分隔。

在 CAMServer v4.60.17 及更高版本中，通常情況下，不指定此項不會有問題。在先前的版本中，如果未指定，則只會自動新增 Users 容器（例如，CN=Users,DC=camtest,DC=com）。

如果未指定

如果未指定，LDAPBaseDN 將根據使用者 ID 的網域自動生成，並搜尋整個網域。例如，搜尋名為 user1@camtest.com 的使用者時，LDAPBaseDN 將為「DC=camtest, DC=com」。

如果指定

如果使用者位於組織單元 (OU) 內，您可以透過指定其各自的 BaseDN 來縮小搜尋範圍。下圖顯示了一個設置，該設置搜尋銷售部門和會計部門的組織單元 (OU)。

即使您另行指定，預設的 Users 容器 (CN=Users,DC=yourdomain,DC=com) 也會自動新增至搜尋。

測試 AD 使用者和 LDAP 設定以進行代理身份驗證。

使用 Windows 整合式驗證的 SSO 或無密碼驗證時，請設定 AD 使用者以執行代理程式驗證，然後執行「測試 LDAP 設定」。

在上述身份驗證過程中，執行代理身份驗證的 AD 使用者將執行內部 LDAP 搜索，以驗證是否為合法的 AD 使用者。

Active Directory 同步設定

啟用 Active Directory 同步功能後，將在指定時間從 Active Directory 檢索訊息，並更新 Chat&Messenger 中的使用者資訊。

需要更新的資訊如下：

使用者名稱... AD 的 displayName 屬性
群組名稱... AD 部門屬性
電子郵件... AD 電子郵件屬性

常問問題

我可以建立一個在Active Directory中不存在的使用者嗎？

如果您不選擇「無密碼」作為驗證方法，即使使用者在 Active Directory 中不存在，您也可以透過 Chat&Messenger 使用者管理畫面建立帳戶並登入。

我能否透過與 Active Directory 同步來自動新增使用者？

目前，Chat&Messenger 不會根據 Active Directory 自動新增或刪除使用者。因此，即使您啟用了 Active Directory 集成，管理員也必須透過管理面板中的使用者註冊介面或上傳 CSV 檔案來建立 Chat&Messenger 使用者。

我想取得 Active Directory 使用者清單並建立一個 CSV 檔案。

您可以使用 PowerShell 的 Get-ADUser 命令來取得 Active Directory 使用者清單。 使用者主體名稱 請以 Chat&Messenger 上的使用者 ID（工作郵箱地址）為數據，建立一個 CSV 檔案。

> Get-ADUser -Filter {objectClass -eq "user"} -Properties info

DistinguishedName : CN=user1,CN=Users,DC=***,DC=com
GivenName         : ユーザ１
Name              : user1
ObjectClass       : user
ObjectGUID        : bf84cdab-2c21-44cf-aaca-afe493d97f2a
SamAccountName    : user1
SID               : S-1-5-21-3698402442-2374923176-*****-1104
Surname           : ユーザ１
UserPrincipalName : user1@***.com

DistinguishedName : CN=user2,CN=Users,DC=***,DC=com
GivenName         : user2
Name              : user2
ObjectClass       : user
ObjectGUID        : 482450a4-482a-40ac-b89b-434605f45571
SamAccountName    : user2
SID               : S-1-5-21-3698402442-2374923176-*****-1105
Surname           : テスト
UserPrincipalName : user2@***.com

# AD users のリストを CSVで出力
> $users = Get-ADUser -Filter {objectClass -eq "user"} -Properties UserPrincipalName, GivenName
> $selectedUsers = $users | Select-Object UserPrincipalName, GivenName
> $selectedUsers | Export-Csv -Path "C:\path\to\output\users.csv" -NoTypeInformation

網址をコピーしました！