Tenho dois problemas para os quais espero encontrar uma solução comum.
Primeiro, preciso encontrar uma maneira de fazer com que vários servidores LDAP (Windows AD em vários domínios) sejam alimentados em uma única fonte para autenticação. Isso também é necessário para que aplicativos que não podem se comunicar nativamente com mais de um servidor LDAP funcionem. Eu li que isso pode ser feito com o Open LDAP. Existem outras soluções?
Segundo, preciso poder adicionar esses usuários a grupos sem poder fazer alterações nos servidores LDAP que estou fazendo proxy.
Por último, tudo isso precisa funcionar no Windows Server 2003/2008.
Eu trabalho para uma organização muito grande e criar vários grupos e ter um grande número de usuários adicionados, movidos entre eles e removidos deles não é uma tarefa fácil. Isso normalmente requer muita papelada e muito tempo. O tempo é a única coisa que normalmente não temos; evitar a papelada é apenas uma vantagem.
Tenho experiência muito limitada em tudo isso, então nem tenho certeza se o que estou perguntando fará sentido. O Atlassian Crowd chega perto do que precisamos, mas não consegue ter seu próprio front-end LDAP. Alguém pode fornecer algum conselho ou nomes de produtos?
Obrigado por qualquer ajuda que você possa fornecer.
Responder1
Eu recomendo metao backend do OpenLDAP, que atua como um proxy para integrar vários contextos de nomenclatura de vários servidores diferentes em uma única árvore. Usei-o com sucesso para fazer exatamente isso em vários domínios do Windows 2003.
Por exemplo, se você tiver vários domínios AD nomeados ONE.COMPANY.COMe TWO.COMPANY.COM, você terá a seguinte árvore LDAP:
- dc=empresa,dc=com
- dc=um,dc=empresa,dc=com
- Usuários e grupos do domínio
ONE- dc=dois,dc=empresa,dc=com
- Usuários e grupos do domínio
TWO
Assim, você poderia basear solicitações de autenticação no DN base dc=company,dc=com, que retornaria entradas de qualquer um dos servidores.
Obviamente, você deve certificar-se de ter um atributo que possa identificar exclusivamente usuários em todos os domínios, como um endereço de e-mail (você não deseja usar um nome de login se tiver dois jdoeusuários! A menos que tenha certeza de que os logins são exclusivo em todos os domínios).
ConfiraPágina back-meta man do OpenLDAP.
Segundo, preciso poder adicionar esses usuários a grupos sem poder fazer alterações nos servidores LDAP que estou fazendo proxy.
Você pode adicionar facilmente um banco de dados local à mesma instância do OpenLDAP, para conter grupos que façam referência a usuários de todos os domínios com proxy. Eles terão DNs exclusivos neste servidor, basta adicioná-los aos grupos e pronto.
Responder2
Este é um artigo incrível que descreve como configurá-lo passo a passo:https://www.ltb-project.org/documentation/sasl_delegation.html (consulte "Autenticação Pass-Trough em vários diretórios LDAP - com backend OpenLDAP ldap")
Responder3
A sua organização está usando o Active Directory? Você pode interagir facilmente com o AD usando LDAP e, como o AD é um sistema replicado e distribuído, ele é de origem única por natureza. Ou talvez esteja faltando alguma coisa dos seus requisitos e/ou do seu ambiente?