4. Connettere i client LDAP al servizio LDAP sicuro

Utilizza le istruzioni riportate in questo articolo per connettere il tuo client LDAP al servizio LDAP sicuro.

IMPORTANTE:

Assicurati di leggere la documentazione del fornitore
I dettagli riportati in questo articolo per la connessione del client LDAP al servizio LDAP sicuro sono forniti solo come riferimento e sono soggetti a modifiche. Oltre a queste istruzioni, assicurati di leggere la documentazione del fornitore del client, in cui puoi trovare le procedure più aggiornate per la connessione del client al servizio LDAP sicuro.
Prima di iniziare
Prima di utilizzare le istruzioni riportate in questo articolo, assicurati di avere già aggiunto il client al servizio LDAP sicuro, configurato le autorizzazioni di accesso, scaricato un certificato e una chiave client e, facoltativamente, di avere già creato le credenziali di accesso.
Eseguire un test della connessione
Facoltativamente, prima di iniziare questa procedura, puoi eseguire un rapido test della connessione utilizzando strumenti semplici come ldapsearch, ADSI e ldp.exe. Puoi utilizzare questi strumenti anche per la risoluzione di problemi qualora riscontrassi errori durante il tentativo di connessione del tuo client LDAP al servizio. Per le istruzioni, vedi Test di connettività di LDAP sicuro.
Come completare i passaggi della configurazione
Dopo aver connesso il client LDAP seguendo le istruzioni riportate in questa pagina, devi completare la relativa configurazione impostando lo stato del servizio su Attivo nella Console di amministrazione Google. Per le istruzioni, vedi 5. Attivare i client LDAP.

Argomenti trattati in questo articolo

Questo articolo comprende le seguenti sezioni:

Istruzioni di configurazione di base: istruzioni generiche per la connessione di client LDAP non specificati in questo articolo.
Istruzioni di configurazione per client LDAP specifici: istruzioni per la connessione di client LDAP specifici (ad esempio Atlassian Jira o OpenVPN) al servizio LDAP sicuro. I passaggi variano a seconda del tipo di client.
Istruzioni di configurazione per le applicazioni Java: istruzioni generiche per applicazioni basate su Java che offrono funzionalità LDAP.
(Facoltativo) Utilizzare stunnel come proxy: istruzioni e ulteriori considerazioni riguardo alla connessione dei client LDAP che non supportano i certificati digitali.

Le istruzioni riportate di seguito presuppongono che i file della chiave e del certificato client scaricati siano denominati ldap-client.key e ldap-client.crt.

Istruzioni di configurazione di base

In questa sezione sono riportate istruzioni generiche per la connessione del client LDAP al servizio LDAP sicuro. Se il tuo client LDAP non è citato nelle istruzioni seguenti, assicurati di consultare la documentazione specifica.

Nota: durante l'autenticazione, alcuni client LDAP, come Atlassian Jira e SSSD, eseguono una ricerca per reperire ulteriori informazioni sull'utente. Per assicurarti che l'autenticazione degli utenti funzioni correttamente per questi client LDAP, devi attivare l'opzione Lettura informazioni degli utenti per tutte le unità organizzative per le quali l'opzione Verifica credenziali utente è attiva. Per le istruzioni relative a questa operazione, vedi Configurare le autorizzazioni di accesso.

Per connettere il client LDAP al servizio LDAP sicuro:

Configura il client LDAP con Cloud Directory come server LDAP.
Carica il certificato sul client LDAP.

Il servizio LDAP sicuro utilizza i certificati client TLS come meccanismo di autenticazione principale. Per iniziare il processo di caricamento del certificato sul client LDAP, apri le impostazioni del client LDAP relative all'autenticazione o alla directory e inserisci i dettagli riportati nella tabella seguente.

Nota: per i dettagli completi su come e dove caricare i certificati TLS, consulta la documentazione del fornitore.

Per le informazioni di base sulla connessione, utilizza la seguente tabella:

Nome host	ldap.google.com
Porte	389 per LDAP con StartTLS abilitato 636 per LDAPS (SSL/TLS abilitato)
Base DN (DN di base)	Il tuo dominio in formato DN, ad esempio dc=example,dc=com per example.com
Nome utente e password	Oltre all'autenticazione tramite certificato, alcuni client LDAP richiedono l'inserimento di un nome utente e una password. Se i campi nome utente e password non sono obbligatori, puoi ignorare questo passaggio. Genera un nome utente e una password nella Console di amministrazione Google. Per le istruzioni relative a questa operazione, consulta Generare le credenziali di accesso.
File del certificato e della chiave client	Utilizza i file del certificato e della chiave scaricati dalla Console di amministrazione Google. Se il client LDAP non fornisce un metodo per eseguire l'autenticazione mediante un certificato client, vedi Utilizzare stunnel come proxy. IMPORTANTE: alcuni client LDAP, ad esempio Apache Directory Studio, non supportano il caricamento di certificati digitali. Per risolvere questo problema, vedi Utilizzare stunnel come proxy.

Istruzioni di configurazione per client LDAP specifici

ADSI Edit (Windows)

Segui questi passaggi:

Segui i passaggi 1–11 in ldp.exe (Windows) per installare i certificati client.
Vai ad Action > Connect to… (Azione > Connetti a).
Inserisci le seguenti impostazioni di connessione:

Name (Nome): digita un nome per la connessione, ad esempio Google LDAP.
Connection Point (Punto di connessione): "Select or type a Distinguished Name or Naming Context" (Seleziona o digita un nome distinto o un contesto di denominazione)
Inserisci il nome di dominio nel formato DN, ad esempio dc=example,dc=com per example.com.

Computer: “Select or type a domain or server” (Seleziona o digita un dominio o un server)
ldap.google.com

Use SSL-based Encryption (Usa crittografia basata su SSL): selezionato
Fai clic su Advanced (Avanzate) e inserisci i dettagli seguenti:

Specify credentials (Specifica credenziali): selezionato
Username (Nome utente): il nome utente delle credenziali di accesso della Console di amministrazione
Password: la password delle credenziali di accesso dalla Console di amministrazione
Port Number (Numero porta): 636
Protocol (Protocollo): LDAP
Simple bind authentication (Autenticazione di binding semplice): selezionato
Fai clic su OK, quindi di nuovo su OK.
Se la connettività ha esito positivo, i contenuti di Active Directory nel DN di base sono visualizzati nel riquadro a destra.

Apache Directory Studio

Per utilizzare Apache Directory Studio, connettiti via stunnel e utilizza una credenziale di accesso (nome utente e password) generata nella Console di amministrazione Google. Successivamente, se le credenziali sono corrette e stunnel è in ascolto sulla porta localhost 1389, segui questi passaggi:

Fai clic su File > New… (File > Nuovo…)
Seleziona LDAP Browser > LDAP Connection (Browser LDAP > Connessione LDAP).
Fai clic su Next (Avanti).
Inserisci i parametri di connessione:

Connection name (Nome connessione): scegli un nome, ad esempio Google LDAP
Hostname (Nome host): localhost
Port (Porta): 1389 (o porta di ascolto/accettazione di stunnel)
Encryption method (Metodo di crittografia): nessuna crittografia. Nota: se stunnel viene eseguito da remoto, consigliamo di applicare la crittografia tra stunnel e il client.
Fai clic su Next (Avanti).
Inserisci i parametri di autenticazione:

Authentication Method (Metodo di autenticazione): autenticazione semplice
Bind DN or user (DN o utente di binding): il nome utente delle credenziali di accesso dalla Console di amministrazione
Bind password (Password di binding): la password delle credenziali di accesso dalla Console di amministrazione
Fai clic su Next (Avanti).
Inserisci il DN di base.
Si tratta del nome di dominio in formato DN (dc=example,dc=com per example.com).
Fai clic su Finish (Fine).

Atlassian Jira

Durante l'autenticazione, Atlassian Jira esegue una ricerca per recuperare ulteriori informazioni sull'utente. Per assicurarti che l'autenticazione degli utenti funzioni correttamente per questo client LDAP, devi attivare le opzioni Lettura informazioni degli utenti e Lettura informazioni dei gruppi per tutte le unità organizzative per le quali l'opzione Verifica credenziali utente è attiva. Per le istruzioni relative a questa operazione, vedi Configurare le autorizzazioni di accesso.

Importante: se ti attieni alle istruzioni riportate di seguito, il valore keystorePassword potrebbe essere esposto a utenti e file di log. Prendi le precauzioni necessarie per evitare l'accesso non autorizzato alla shell locale, al file di log e alla Console di amministrazione Google. In alternativa alle istruzioni seguenti, utilizza il metodo stunnel4. Vedi (Facoltativo) Utilizzare stunnel come proxy.

Nota: le istruzioni che seguono presuppongono che Jira sia installato in /opt/atlassian/jira.

Per connettere un client Atlassian Jira al servizio LDAP sicuro:

Copia il certificato e la chiave nei tuoi server Jira. Si tratta del certificato generato nella Console di amministrazione Google durante l'aggiunta del client LDAP al servizio LDAP sicuro.

Ad esempio:
$ scp ldap-client.key user@jira-server:
Converti il certificato e le chiavi nel formato Java keystore. Durante questo processo ti verrà richiesto più volte di inserire una password. Per maggiore praticità, scegli una password sicura e utilizzala per tutte le richieste.

$ openssl pkcs12 -export -out jira-ldap.pkcs12 -in ldap-client.crt -inkey ldap-client.key $ sudo /opt/atlassian/jira/jre/bin/keytool -v -importkeystore -srckeystore jira-ldap.pkcs12 -srcstoretype PKCS12 -destkeystore /opt/atlassian/jira/jira-ldap.jks -deststoretype JKS
Configura Jira affinché utilizzi l'archivio chiavi appena creato. Segui le indicazioni fornite qui per aggiungere opzioni:

“-Djavax.net.ssl.keyStore=/opt/atlassian/jira/jira-ldap.jks -Djavax.net.ssl.keyStorePassword=password”

Su Linux:
1. Modifica il file /opt/atlassian/jira/bin/setenv.sh.
2. Individua l'impostazione JVM_SUPPORT_RECOMMENDED_ARGS.
3. Aggiungi “-Djavax.net.ssl.keyStore=/opt/atlassian/jira/jira-ldap.jks -Djavax.net.ssl.keyStorePassword=password”, sostituendo “password” con la password che hai scelto nel passaggio 2.
Riavvia Jira.

$ /opt/atlassian/jira/bin/stop-jira.sh $ /opt/atlassian/jira/bin/start-jira.sh
Accedi all'interfaccia web di Jira come amministratore.
1. Vai a Settings (Impostazioni) > User management (Gestione utenti). Per aprire le impostazioni utilizza l'icona a forma di ingranaggio in alto a destra.
2. Fai clic su User Directories (Directory utente).
3. Fai clic su Add Directory (Aggiungi directory).
4. Scegli LDAP come tipo.
5. Fai clic su Next (Avanti).

Inserisci i seguenti valori:

Name (Nome)	Google Secure LDAP
Directory type (Tipo directory)	OpenLDAP
Hostname (Nome host)	ldap.google.com
Port (Porta)	636
Use SSL (Usa SSL)	Selezionata
Username (Nome utente)	Genera un nome utente e una password nella Console di amministrazione Google. Per le istruzioni relative a questa operazione, consulta Generare le credenziali di accesso.
Password	Genera un nome utente e una password nella Console di amministrazione Google. Per le istruzioni relative a questa operazione, consulta Generare le credenziali di accesso.
Base DN (DN di base)	Il nome di dominio in formato DN, ad esempio, dc=example,dc=com per example.com
Additional User DN (Altro DN utente)	Facoltativo: “ou=Users”
Additional Group DN (Altro DN gruppo)	Facoltativo: “ou=Groups”
LDAP Permissions (Autorizzazioni LDAP)	Sola lettura
Impostazioni avanzate	Invariato
User Schema Settings (Impostazioni schema utente) > User Name Attribute (Attributo nome utente)	googleUid
User Schema Settings (Impostazioni schema utente) > User Name RDN Attribute (Attributo RDN Nome utente)	uid
Group Schema Settings (Impostazioni schema gruppo) > (Classe oggetti gruppo)	groupOfNames
Group Schema Settings (Impostazioni schema gruppo) > Group Object Filter (Filtro oggetti gruppo)	(objectClass=groupOfNames)
Membership Schema Settings (Impostazioni schema appartenenza) > Group Members Attribute (Attributo membri gruppo)	member
Membership Schema Settings (Impostazioni schema appartenenza) > Use the User Membership Attribute (Utilizza attributo appartenenza utente)	Selezionata

Assegna un ruolo a un gruppo.

Affinché Atlassian Jira possa consentire l'accesso da parte di un utente, quest'ultimo deve essere membro di un gruppo autorizzato ad accedere a Jira.

Per assegnare un ruolo a un gruppo:
1. Vai a Settings (Impostazioni) > Applications (Applicazioni) > Application access (Accesso applicazioni).
2. Nella casella di testo Select group (Seleziona gruppo), inserisci il nome del gruppo Google che vuoi autorizzare ad accedere a Jira.

CloudBees Core/Jenkins

Per istruzioni per la connessione di CloudBees Core al servizio LDAP sicuro, leggi come configurare CloudBees Core con il servizio LDAP sicuro di Google Cloud Identity.

FreeRadius

Segui questi passaggi:

Installa e configura FreeRADIUS in /etc/freeradius/3.0/.

Dopo aver installato FreeRADIUS puoi aggiungere la configurazione LDAP installando il plug-in freeradius-ldap.

$ sudo apt-get install freeradius freeradius-ldap
Copia i file della chiave e del certificato del client LDAP rispettivamente in /etc/freeradius/3.0/certs/ldap-client.key e /etc/freeradius/3.0/certs/ldap-client.crt.

$ chown freeradius:freeradius /etc/freeradius/3.0/certs/ldap-client.* $ chmod 640 /etc/freeradius/3.0/certs/ldap-client.*
Attiva il modulo LDAP.

$ cd /etc/freeradius/3.0/mods-enabled/ $ ln -s ../mods-available/ldap ldap
Modifica /etc/freeradius/3.0/mods-available/ldap.
1. ldap->server = 'ldaps://ldap.google.com:636'
2. identity = nome utente delle credenziali dell'applicazione
3. password = password delle credenziali dell'applicazione
4. base_dn = ‘dc=domain,dc=com’
5. tls->start_tls = no
6. tls->certificate_file = /etc/freeradius/3.0/certs/ldap-client.cer
7. tls->private_key_file = /etc/freeradius/3.0/certs/ldap-client.key
8. tls->require_cert = ‘allow’
9. Commenta tutti i campi del breadcrumb che rappresentano la sezione 'ldap -> post-auth -> update'
Modifica /etc/freeradius/3.0/sites-available/default.
In questo modo si modifica la connessione del client FreeRADIUS. Se non utilizzi il client predefinito, assicurati di aggiornare il client pertinente (tunnel interno o qualsiasi client personalizzato) che hai configurato.
1. Modifica la sezione authorize per aggiungere il blocco seguente in fondo, dopo l'istruzione PAP (protocollo di autorizzazione password):
  
  if (User-Password) { update control { Auth-Type := ldap } }
2. Nella sezione authorize, attiva LDAP rimuovendo il segno "-" che lo precede.
  
  #
  # Il modulo ldap legge le password dal database LDAP.
  ldap
3. Modifica la sezione authenticate modificando il blocco Auth-Type LDAP come segue:
  
  # Auth-Type LDAP { ldap # }
4. Modifica la sezione authenticate modificando il blocco Auth-Type PAP come segue:
  
  Auth-Type PAP { # pap ldap }

GitLab

Per istruzioni su come connettere GitLab al servizio LDAP sicuro, leggi come configurare il servizio LDAP sicuro di Google per GitLab.

Itopia/Ubuntu

Per istruzioni su come connettere Itopia/Ubuntu al servizio LDAP sicuro, leggi come configurare il servizio LDAP di Google Cloud Identity su Ubuntu 16.04 per gli accessi utente.

Ivanti/LanDesk

Segui questi passaggi:

Sul server web Ivanti, apri OpenLDAPAuthenticationConfiguration.xml o OpenLDAPSSLAuthenticationConfiguration.xml in un editor di testo nelle due cartelle seguenti:

C:\ProgramData\LANDesk\ServiceDesk\servicedesk.Framework e C:\ProgramData\LANDesk\ServiceDesk\servicedesk.WebAccess (dove servicedesk è il nome dell'istanza)
Aggiorna il valore <Server> a ldap.google.com.
Aggiorna il valore <Port> (Porta) alla porta 3268 per il testo in chiaro con StartTLS attivo e a 3269 per la porta SSL/TLS. I valori predefiniti sono 389 per la porta del testo in chiaro o 636 per la porta SSL/TLS.
Imposta il valore <TestDN> sul nome di dominio in formato DN, ad esempio, dc=example,dc=com per example.com.
In entrambi i percorsi, ..ProgramData\LANDesk\ServiceDesk\ServiceDesk.Framework\tps.config e ..ProgramData\LANDesk\ServiceDesk\WebAccess\tps.config, aggiungi la riga:

<add key="AuthenticationProvider" value="Touchpaper.Integrations.OpenLDAPLogon.OpenLDAPAuthenticationProvider" />

o la riga:

<add key="AuthenticationProvider" value="Touchpaper.Integrations.OpenLDAPSSLLogon.OpenLDAPSSLAuthenticationProvider" />
In Ivanti Configuration Center, apri l'istanza richiesta.
Accanto all'applicazione Service Desk Framework, fai clic su Edit (Modifica).
Viene visualizzata la finestra di dialogo Edit Application (Modifica applicazione) per Service Desk Framework.
Nel gruppo Configuration parameters (Parametri di configurazione), seleziona Explicit only (Solo espliciti) nell'elenco Logon policy (Criteri di accesso), quindi fai clic su OK.
Fai clic su Edit (Modifica) accanto all'applicazione Web Access.
Viene visualizzata la finestra di dialogo Edit Application (Modifica applicazione) per Web Access.
Nel gruppo Configuration parameters (Parametri di configurazione), seleziona Explicit only (Solo espliciti) nell'elenco Logon policy (Criteri di accesso), quindi fai clic su OK.

Durante l'accesso, utilizza la password di rete dell'utente del dominio associato.

Registrare le eccezioni per l'autenticazione del server LDAP

In caso di problemi durante la configurazione dell'autenticazione del server LDAP, puoi attivare la registrazione delle eccezioni per identificare il problema. Per impostazione predefinita, questa opzione è disattivata; consigliamo di disattivarla nuovamente al termine delle indagini.

Per attivare la registrazione delle eccezioni per l'autenticazione del server LDAP:

Apri il file XML di configurazione dell'autenticazione appropriato in un editor di testo:

DirectoryServiceAuthenticationConfiguration.xml, OpenLDAPAuthenticationConfiguration.xml o OpenLDAPSSLAuthenticationConfiguration.xml
Cambia la riga:

<ShowExceptions>false</ShowExceptions>
in
<ShowExceptions>true</ShowExceptions>
Salva le modifiche.

Ldp.exe (Windows)

Segui questi passaggi:

Converti i file della chiave e del certificato client in un file in formato PKCS12. Al prompt dei comandi, inserisci quanto segue:

In macOS o Linux, utilizza i comandi seguenti

openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12

Inserisci una password per criptare il file di output.

In Windows, utilizza i seguenti comandi:

$ certutil -mergepfx ldap-client.crt ldap-client.p12

Importante: i due file (<CERT_FILE>.crt e <CERT_FILE>.key) devono trovarsi nella stessa directory. Inoltre, assicurati che il file key e il file crt abbiano lo stesso nome (con un'estensione diversa). In questo esempio utilizziamo i nomi ldap-client.crt e ldap-client.key.
Vai al Pannello di controllo.
Nella casella di ricerca, cerca "certificate" (certificato) e fai clic su Manage user certificates (Gestisci certificati utente).
Vai ad Action > All Tasks > Import… (Azione > Tutte le attività > Importa).
Seleziona Current User (Utente corrente) e fai clic su Next (Avanti).
Fai clic su Browse… (Sfoglia)
Nell'elenco a discesa File type (Tipo di file) nell'angolo inferiore destro della finestra di dialogo, seleziona Personal Information Exchange (*.pfx;*.p12) (Scambio di informazioni personali).
Seleziona il file ldap-client.p12 del passaggio 2, fai clic su Open (Apri) e quindi su Next (Avanti).
Inserisci la password utilizzata al passaggio 2 e fai clic su Next (Avanti).
Seleziona l'archivio certificati Personal (Personale), fai clic su Next (Avanti) e quindi su Finish (Fine).
Esegui Ldp.exe.
Vai a Connection > Connect… (Connessione > Connetti).
Inserisci i seguenti dati di connessione:

Server: ldap.google.com
Port (Porta): 636
Connectionless (Senza connessione): deselezionato
SSL: selezionato
Fai clic su OK.
Vai a View > Tree (Visualizza > Struttura).
Inserisci il DN di base, ovvero il tuo nome dominio in formato DN, ad esempio dc=example,dc=com per example.com.
Fai clic su OK.
Se la connettività ha esito positivo, LDP.exe visualizza i contenuti di Active Directory, ad esempio tutti gli attributi presenti nel DN di base, nel riquadro a destra.

Netgate/pfSense

Per istruzioni su come connettere Netgate/pfSense al servizio LDAP sicuro, leggi come configurare Google Cloud Identity come origine dell'autenticazione.

OpenLDAP/ldapsearch (Linux)

Per accedere alla directory LDAP dalla riga di comando, puoi utilizzare il comando ldapsearch di OpenLDAP.

Supponiamo che i file del certificato e della chiave client siano rispettivamente ldap-client.crt e ldap-client.key, che il tuo dominio sia example.com e il nome utente jsmith:

$ LDAPTLS_CERT=ldap-client.crt LDAPTLS_KEY=ldap-client.key ldapsearch -H ldaps://ldap.google.com -b dc=example,dc=com '(uid=jsmith)'

Il comando imposta le variabili di ambiente pertinenti in modo che rimandino alle chiavi client. Puoi sostituire le altre opzioni di ldapsearch con i filtri da applicare, gli attributi richiesti e così via. Per altri dettagli, vedi le pagine man di ldapsearch (comando "man ldapsearch").

ldapsearch (macOS)

Segui questi passaggi:

Converti i file della chiave e del certificato client in un file in formato PKCS12. Al prompt dei comandi, inserisci quanto segue:

openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12

Inserisci la password per criptare il file di output.
Fai clic sull'icona nell'angolo in alto a destra della barra dei menu e digita Keychain Access (Accesso Portachiavi).
Apri l'applicazione Keychain Access (Accesso Portachiavi) e fai clic su System (Sistema) nell'elenco sulla sinistra.
Fai clic sull'opzione File nella barra all'estremità sinistra e seleziona Import Items (Importa elementi).
Passa al percorso dell'elemento ldap-client.p12 generato e seleziona ldap-client.p12, quindi fai clic su Open (Apri).
Se richiesto, inserisci la password.
A questo punto, nell'elenco dei certificati System Keychain (Portachiavi di sistema) dovrebbe essere presente un certificato denominato LDAP Client.
Fai clic sulla freccia accanto al certificato LDAP Client (Client LDAP). Sotto il certificato verrà visualizzata una chiave privata.
1. Fai doppio clic sulla chiave privata.
2. Nella finestra di dialogo, seleziona la scheda Access Control (Controllo degli accessi) e fai clic sul segno + nell'angolo in basso a sinistra.
3. Nella finestra visualizzata, premi Comando + Maiusc + G per aprire una nuova finestra, quindi sostituisci il testo esistente con /usr/bin/ldapsearch.
4. Fai clic su Go (Vai).
  
  Verrà aperta una finestra in cui ldapsearch è evidenziato.
5. Fai clic su Add (Aggiungi).
6. Fai clic su Save Changes (Salva modifiche) e inserisci la password, se richiesta.
  
  Ora è tutto pronto per accedere alla tua directory LDAP dalla riga di comando utilizzando il comando ldapsearch di OpenLDAP.
Supponendo che il nome del file ldap-client.p12 che hai importato prima nel portachiavi sia LDAP Client, il tuo dominio sia example.com e il nome utente sia jsmith, inserisci quanto segue:

$ LDAPTLS_IDENTITY="LDAP Client" ldapsearch -H ldaps://ldap.google.com:636 -b dc=example,dc=com '(uid=jsmith)'

Il comando imposta le variabili di ambiente pertinenti in modo che rimandino al certificato client importato. Puoi sostituire le altre opzioni di ldapsearch con i filtri da applicare, gli attributi richiesti e così via. Per maggiori dettagli, vedi le pagine dedicate a ldapsearch man (man ldapsearch).

OpenVPN (versione community)

Segui questi passaggi:

Se necessario, installa e configura OpenVPN oppure, se lo hai già fatto, apri la pagina delle impostazioni in OpenVPN.

La configurazione generica di una VPN esula dall'ambito di questo articolo del Centro assistenza. Dopo aver configurato una VPN, puoi aggiungere l'autenticazione e l'autorizzazione degli utenti via LDAP. In particolare, devi installare il plug-in openvpn-auth-ldap.

$ sudo apt-get install openvpn openvpn-auth-ldap
Copia i file della chiave e del certificato client LDAP in /etc/openvpn/ldap-client.key e /etc/openvpn/ldap-client.crt.
Crea un file denominato /etc/openvpn/auth-ldap.conf, con il seguente contenuto (in questo esempio il nome di dominio è example.com):

<LDAP> URL ldaps://ldap.google.com:636 # Timeout 15 TLSEnable false TLSCACertDir /etc/ssl/certs TLSCertFile /etc/openvpn/ldap-client.crt TLSKeyFile /etc/openvpn/ldap-client.key </LDAP> <Authorization> BaseDN "dc=example,dc=com" SearchFilter "(uid=%u)" # (o scegli un filtro LDAP personalizzato per gli utenti) RequireGroup false </Authorization>
Modifica il file di configurazione di OpenVPN, in genere denominato /etc/openvpn/server.conf o in modo simile. Aggiungi quanto segue alla fine del file:

plugin /usr/lib/openvpn/openvpn-auth-ldap.so /etc/openvpn/auth-ldap.conf verify-client-cert optional
Riavvia il server OpenVPN.

$ sudo systemctl restart openvpn@server
Configura i client VPN in modo che utilizzino i nomi utente e le password degli utenti. Ad esempio, nella configurazione di un client OpenVPN, aggiungi auth-user-pass alla fine del file di configurazione del client OpenVPN e avvialo:

$ openvpn --config /path/to/client.conf
Segui le istruzioni per utilizzare stunnel come proxy.

OpenVPN Access Server (versione commerciale)

Per istruzioni per la connessione di OpenVPN Access Server al servizio LDAP sicuro, leggi come configurare il servizio LDAP sicuro di Google con OpenVPN Access Server.

PaperCut MF e NG

Per istruzioni su come connettere PaperCut al servizio LDAP sicuro, leggi come sincronizzare e autenticare gli utenti di Google Workspace e Google Cloud Identity in PaperCut.

Puppet Enteprise

Per istruzioni su come connettere Puppet Enterprise al servizio LDAP sicuro, leggi l'articolo su Google Cloud Directory per PE.

Softerra LDAP Browser

Importante: prima di iniziare, assicurati di aver installato Softerra LDAP Browser con la versione numero 4.5 (4.5.19808.0) o successive. Vedi la pagina del browser LDAP 4.5.

Segui questi passaggi:

Converti i file della chiave e del certificato client in un file in formato PKCS12. Al prompt dei comandi, inserisci quanto segue:

In macOS o Linux, utilizza i comandi seguenti

openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12

Inserisci una password per criptare il file di output.

In Windows, utilizza i seguenti comandi:

$ certutil -mergepfx ldap-client.crt ldap-client.p12

Importante: i due file (<CERT_FILE>.crt e <CERT_FILE>.key) devono trovarsi nella stessa directory. Inoltre, assicurati che il file key e il file crt abbiano lo stesso nome (con un'estensione diversa). In questo esempio utilizziamo i nomi ldap-client.crt e ldap-client.key.
In Softerra LDAP Browser, installa la coppia di chiavi.
1. Vai a Tools > Certificate Manager (Strumenti > Gestione certificati).
2. Fai clic su Import… (Importa).
3. Fai clic su Next (Avanti).
4. Fai clic su Browse… (Sfoglia)
5. Nell'elenco a discesa File type (Tipo di file) situato nell'angolo inferiore destro della finestra di dialogo, seleziona Personal Information Exchange (*.pfx;*.p12) (Scambio di informazioni personali).
6. Seleziona il file ldap-client.p12 nel passaggio 2 precedente.
7. Fai clic su Open (Apri) e scegli Next (Avanti).
8. Inserisci la password di cui al precedente passaggio 2 e fai clic su Next (Avanti).
9. Seleziona l'archivio certificati Personal (Personale).
10. Fai clic su Next (Avanti).
11. Fai clic su Finish (Fine).
Aggiungi un profilo del server.
1. Vai a File > New > New Profile… (File > Nuovo > Nuovo profilo).
2. Inserisci un nome per il profilo, ad esempio Google LDAP.
3. Fai clic su Next (Avanti).
  
  Inserisci quanto segue:
  
  Host: ldap.google.com
  Port (Porta): 636
  Base DN (DN di base): il nome di dominio in formato DN, ad esempio dc=example,dc=com per example.com
  Use secure connection (SSL) (Usa connessione sicura - SSL): selezionato
4. Fai clic su Next (Avanti).
5. Seleziona External (SSL Certificate) (Esterno (Certificato SSL)).
6. Fai clic su Next (Avanti).
7. Fai clic su Finish (Fine).

Sophos Mobile

Per istruzioni su come connettere Sophos Mobile al servizio LDAP sicuro, leggi come connettere Sophos Mobile a Google Cloud Identity/Google Cloud Directory utilizzando LDAP sicuro.

Splunk

Quando colleghi Splunk al servizio LDAP sicuro, assicurati di utilizzare la versione 8.1.4 o successive di Splunk. Se utilizzi versioni di Splunk più datate, ad esempio la versione 8.1.3, è possibile che al server LDAP venga inviato un numero eccessivo di query, il che potrebbe portare rapidamente all'esaurimento della tua quota LDAP. Per saperne di più sui problemi con la versione 8.1.3 di Splunk, vedi i problemi noti di Splunk.

Segui questi passaggi:

Copia i file della chiave e del certificato client LDAP rispettivamente in /home/splunk/splunkadmin/etc/openldap/certs/ldap-client.key e /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.crt.

$ cat /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.crt /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.key > /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem $ sudo chown $(splunkuser):$(splunkuser) /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.* $ sudo chmod 644 /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.*
Modifica il file ldap.conf per aggiungere le seguenti configurazioni:
ssl start_tls TLS_REQCERT never TLS_CERT /home/splunkadmin/splunk/etc/openldap/certs/ldap.pem TLS_KEY /home/splunkadmin/splunk/etc/openldap/certs/ldap.pem
Aggiungi le seguenti configurazioni nel file /home/splunkadmin/.ldaprc dell'utente:

TLS_CERT /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem TLS_KEY /home/splunkadmin/splunk/etc/openldap/certs/ldap-client.pem
Aggiungi la strategia LDAP utilizzando l'interfaccia utente web di Splunk. Inserisci i seguenti dettagli, quindi fai clic su Save (Salva):

Name (Nome)	Google Secure LDAP
Host	ldap.google.com
Port (Porta)	636
SSL enabled (SSL attivo)	Selezionata
Connection order (Ordine di connessione)	1
Bind DN (DN di binding)	Inserisci le credenziali di accesso che hai generato nella Console di amministrazione Google.
Bind DN password (Password DN di binding)	Inserisci le credenziali di accesso che hai generato nella Console di amministrazione Google.
Base DN (DN di base)	Il tuo nome di dominio in formato DN (ad esempio dc=example,dc=com per il dominio example.com)
User base filter (Filtro base utenti)	Inserisci il filtro base utenti per la classe di oggetti in base a cui vuoi filtrare gli utenti.
User name attribute (Attributo nome utente)	uid
Real name attribute (Attributo nome utente)	displayname
Email attribute (Attributo email)	posta
Group mapping attribute (Attributo di mappatura di gruppo)	dn
Group base DN (DN di base del gruppo)	Il tuo nome di dominio in formato DN (ad esempio ou=Gruppi,dc=example,dc=com per il dominio example.com)
Static group search filter (Filtro di ricerca gruppi statici)	Inserisci il filtro di ricerca gruppi statici per la classe di oggetti in base a cui vuoi filtrare i gruppi statici.
Group name attribute (Attributo nome del gruppo)	cn
Static member attribute (Attributo membro statico)	member

SSSD (Red Hat Enterprise e CentOS)

Durante l'autenticazione, SSSD esegue una ricerca per recuperare ulteriori informazioni sull'utente. Per assicurarti che l'autenticazione degli utenti funzioni correttamente per questo client LDAP, devi attivare le opzioni Lettura informazioni degli utenti e Lettura informazioni dei gruppi per tutte le unità organizzative per le quali l'opzione Verifica credenziali utente è attiva. Per le istruzioni relative a questa operazione, vedi Configurare le autorizzazioni di accesso.

Per connettere un client SSSD su Red Hat 8 o CentOS 8 al servizio LDAP sicuro:

Aggiungi il client SSSD al servizio LDAP sicuro:
1. Nella Console di amministrazione Google, vai ad Applicazioni > LDAP > AGGIUNGI CLIENT.
  Assicurati di accedere con il tuo account aziendale e non con il tuo account Gmail personale.
2. Inserisci i dettagli del client e fai clic su CONTINUA.
3. Configura le autorizzazioni di accesso:
  Verifica credenziali utente: tutto il dominio
  Lettura informazioni degli utenti: tutto il dominio
  Lettura informazioni dei gruppi:ON
4. Fai clic su AGGIUNGI CLIENT LDAP.
5. Scarica il certificato generato.
6. Fai clic su VAI AI DETTAGLI DEL CLIENT.
7. Cambia lo stato del servizio impostandolo su ON.
Installa le dipendenze:

dnf install openldap-clients sssd-ldap install -d --mode=700 --owner=sssd --group=root /etc/sssd/ldap

decomprimi il file .zip dei certificati e copia i file .crt e .key in /etc/sssd/ldap
(Facoltativo) Esegui un test con ldapsearch:
LDAPTLS_REQCERT=never \ LDAPTLS_KEY=Google.key \ LDAPTLS_CERT=Google.crt \ ldapsearch -H ldaps://ldap.google.com:636/ \ -b dc=example,dc=com \ -D usertoverify@example.com \ -W \ '(mail=usertoverify@example.com)' \ mail dn

Quando richiesto, inserisci la password di Google dell'utente.

Nota: all'utente deve essere assegnata una licenza di Google Workspace Enterprise o Cloud Identity Premium.
Crea il file /etc/sssd/sssd.conf con il seguente contenuto:

[sssd] services = nss, pam domains = example.com

[domain/example.com] ldap_tls_cert = /etc/sssd/ldap/Google.crt ldap_tls_key = /etc/sssd/ldap/Google.key ldap_tls_reqcert = never ldap_uri = ldaps://ldap.google.com ldap_search_base = dc=example,dc=com id_provider = ldap auth_provider = ldap ldap_schema = rfc2307bis ldap_user_uuid = entryUUID
Aggiorna le autorizzazioni e le etichette SELinux:

chown 0:0 /etc/sssd/sssd.conf /etc/sssd/ldap/* chmod 600 /etc/sssd/sssd.conf /etc/sssd/ldap/* restorecon -FRv /etc/sssd
Riavvia SSSD:

systemctl restart sssd
Test:

da ssh a server:
ssh -l user@example.com {HOSTNAME}

Risoluzione dei problemi

Controlla la versione di SSSD (deve essere maggiore o uguale a 1.15.2):

# sssd --version 2.2.3
In RHEL/CentOS (o qualsiasi distribuzione con applicazione di SELinux), i file di configurazione SSSD e il file e la chiave del certificato devono essere in una directory accessibile dal ruolo sssd_conf_t:

# egrep "object_r:sssd_conf_t" /etc/selinux/targeted/contexts/files/file_contexts

Controlla se in /var/log/audit/audit.log sono presenti messaggi di rifiuto AVC.
Verifica che /etc/nsswitch.conf abbia "sss" per le entità passwd, shadow, group e netgroup:

passwd: files sss shadow: files sss group: files sss netgroup: files sss

Qui i file locali sostituiranno gli utenti LDAP.
Verifica se in /var/log/sssd.conf sono presenti errori di configurazione:

Esempio:
[sssd] [sss_ini_add_snippets] (0x0020): Config merge error: File /etc/sssd/sssd.conf did not pass access check. Skipping.

Azione: devi usare il comando chmod 600 per il file .conf.

Example:
[sssd] [sss_ini_call_validators] (0x0020): [rule/allowed_domain_options]: Attribute 'ldap_groups_use_matching_rule_in_chain' is not allowed in section 'domain/{DOMAIN}'. Check for typos.

[sssd] [sss_ini_call_validators] (0x0020): [rule/allowed_domain_options]: Attribute 'ldap_initgroups_use_matching_rule_in_chain' is not allowed in section 'domain/{DOMAIN}'. Check for typos.

Azione: rimuovi le estensioni LDAP delle corrispondenze dei gruppi non supportate da sssd.conf.
Verifica se in /var/log/sssd_{DOMAIN}.log sono presenti errori LDAP, di rete o di autorizzazione.

Esempio:

[sssd[be[example.com]]] [sss_ldap_init_sys_connect_done] (0x0020): ldap_install_tls failed: [Connect error] [error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed (self signed certificate)]

Azione: devi aggiungere "ldap_tls_reqcert = never" a sssd.conf.

Per aumentare il livello di dettaglio degli errori, aggiungi "debug_level = 9" in sssd.conf nella sezione del dominio e riavvia sssd.

SSSD (altre distribuzioni Linux)

Per connettere un client SSSD al servizio Secure LDAP:

Installa la versione di SSSD 1.15.2 o una versione successiva.

$ sudo apt-get install sssd
Supponendo che i file del certificato e della chiave client siano denominati rispettivamente /var/ldap-client.crt e /var/ldap-client.key e che il tuo dominio sia example.com, modifica il file /etc/sssd/sssd.conf utilizzando una configurazione simile alla seguente:

[sssd]
services = nss, pam
domains = example.com

[domain/example.com]
ldap_tls_cert = /var/ldap-client.crt
ldap_tls_key = /var/ldap-client.key
ldap_uri = ldaps://ldap.google.com
ldap_search_base = dc=example,dc=com
id_provider = ldap
auth_provider = ldap
ldap_schema = rfc2307bis
ldap_user_uuid = entryUUID
ldap_groups_use_matching_rule_in_chain = true
ldap_initgroups_use_matching_rule_in_chain = true
Cambia la proprietà e le autorizzazioni del file di configurazione:

$ sudo chown root:root /etc/sssd/sssd.conf $ sudo chmod 600 /etc/sssd/sssd.conf
Riavvia SSSD:

$ sudo service sssd restart

Suggerimento: se utilizzi il modulo SSSD su computer Linux senza indirizzi IP esterni su Google Compute Engine, puoi comunque connetterti al servizio LDAP sicuro a condizione che l'accesso interno ai servizi Google sia attivo. Per maggiori dettagli, leggi come configurare un accesso privato Google.

macOS

Segui questi passaggi per connettere il client macOS per l'autenticazione degli account utente tramite il servizio LDAP sicuro.

Requisiti di sistema

macOS deve essere Catalina versione 10.15.4 o successiva.
L'ID utente super amministratore di Google è necessario per completare il passaggio 1 della fase di preparazione.
Devi avere le autorizzazioni di amministratore locali per eseguire questa configurazione.

Fase di preparazione

Le istruzioni riportate in questa sezione sono incentrate su come impostare e testare manualmente l'autenticazione macOS utilizzando il servizio LDAP sicuro.

Passaggio 1: inizializza macOS come client LDAP nella Console di amministrazione Google

Per le istruzioni, vedi Aggiungere i client LDAP oppure guarda questa demo di LDAP sicuro. Durante questo processo, scarichi anche un certificato client TLS generato automaticamente.

Passaggio 2: importa il certificato nel portachiavi di sistema

Copia il certificato (il file ZIP scaricato nel passaggio 1) e la chiave nel computer macOS.
Suggerimento: decomprimi il file per trovare i file del certificato e delle chiavi.
Importa la coppia di chiavi nel portachiavi di sistema:
1. Converti la chiave e il certificato in un file PKCS 12 (p12). Esegui il comando seguente nel terminale:
  
  openssl pkcs12 -export -out ldap-client.p12 -in ldap-client.crt -inkey ldap-client.key
  
  Suggerimento: prendi nota del nome del file con estensione p12.
  
  Ti verrà chiesto di inserire una password. Inserisci una password con cui criptare il file .p12.
2. Apri l'applicazione Accesso Portachiavi .
3. Fai clic sul portachiavi del sistema.
4. Fai clic su File > Importa elementi.
5. Seleziona il file ldap-client.p12 creato in precedenza.
6. Se richiesto, inserisci la password dell'amministratore per consentire la modifica del portachiavi di sistema.
7. Inserisci la password creata in precedenza per decriptare il file .p12.
  Nota: nell'elenco delle chiavi verranno visualizzati un nuovo certificato e la chiave privata associata. Il nome del certificato può essere LDAP Client (Client LDAP). Prendi nota del nome del certificato per il passaggio successivo.
8. Segui il passaggio 6 nella sezione ldapsearch (macOS) di questo articolo per configurare il controllo dell'accesso per la chiave privata per aggiungere le app specificate di seguito. Se la chiave privata non viene visualizzata nella categoria Tutti gli elementi, prova a passare alla categoria I miei certificati e individua la chiave privata corretta espandendo il certificato corrispondente.
  
  L'app ldapsearch, come specificato nelle istruzioni, è pertinente solo se è necessario risolvere dei problemi, non per altri scopi. In genere viene rimossa prima di fornire l'accesso a macOS agli utenti.
  
  Le seguenti tre app devono essere aggiunte all'elenco di controllo di accesso:
  
  /System/Library/CoreServices/Applications/Directory Utility /usr/libexec/opendirectoryd /usr/bin/dscl
Aggiungi una riga al file /etc/openldap/ldap.conf, assicurandoti che "LDAP Client" (Client LDAP) sia lo stesso nome di certificato visualizzato nell'applicazione macOS Keychain Access dopo l'importazione del file .p12 (il nome deriva dal nome comune del soggetto X.509 del certificato generato):

sudo bash -c 'echo -e "TLS_IDENTITY\tLDAP Client" >> /etc/openldap/ldap.conf'

Passaggio 3: indirizza il dispositivo alla directory Google per l'autenticazione

Apri l'applicazione Utility Directory per creare un nuovo nodo di directory LDAP:

Fai clic sul lucchetto per apportare le modifiche e inserisci la password.
Seleziona LDAPv3 e fai clic sull'icona a forma di matita per modificare le impostazioni.
Fai clic su Novità.
Per il nome del server, inserisci ldap.google.com, seleziona Cripta usando SSL e fai clic su Manuale.
Seleziona il nuovo nome del server e fai clic su Modifica.
Inserisci un nome descrittivo per la configurazione, ad esempio Google LDAP sicuro.
Seleziona Cripta usando SSL e assicurati che la porta sia impostata su 636.
Vai alla scheda Ricerca & Assegnazione.
1. Scegli RFC2307 dall'elenco a discesa Accedi al server LDAPv3 usando.
2. Quando richiesto, inserisci le informazioni relative al dominio in Suffisso per la base di ricerca. Ad esempio, inserisci dc=zomato,dc=com per il nome del dominio zomato.com.
3. Fai clic su OK.
4. Configura gli attributi nel tipo di record Utenti:
  1. Nella sezione Tipi di record e attributi, seleziona Utenti e fai clic sul pulsante "+".
  2. Nella finestra popup, scegli Tipi di attributo, seleziona GeneratedUID e fai clic su OK per chiudere la finestra popup.
    
    GeneratedUID dovrebbe essere visibile nella sezione Utenti espansa.
  3. Fai clic su GeneratedUID e sull'icona "+" nella casella a destra.
  4. Inserisci apple-generateduid nella casella di testo e premi Invio.
  5. Sotto il nodo Utenti, fai clic sull'attributo NFSHomeDirectory.
  6. Nella schermata a destra, aggiorna il valore di questo attributo in #/Users/$uid$
  7. Fai di nuovo clic su OK e inserisci la tua password per salvare le modifiche.
Nella finestra Utility Directory imposta la nuova configurazione LDAP:
1. Vai alla scheda Politica di ricerca.
2. Fai clic sull'icona lucchetto per apportare le modifiche e inserisci la password dell'utente corrente quando richiesto.
3. Modifica l'opzione del menu a discesa da Cerca a Percorso personalizzato.
4. Apri la scheda Autenticazione e fai clic sull'icona "+".
5. Scegli /LDAPv3/ldap.google.com dall'elenco dei domini Directory, quindi fai clic su Aggiungi.
6. Fai clic sul pulsante Applica e, se richiesto, inserisci la password amministratore.
Esegui i quattro comandi che seguono per disattivare i meccanismi di autenticazione SASL DIGEST-MD5, CRAM-MD5, NTLM e GSSAPI. macOS userà il simple bind per effettuare l'autenticazione mediante il servizio Google LDAP sicuro:

sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string DIGEST-MD5" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string CRAM-MD5" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string NTLM" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist sudo /usr/libexec/PlistBuddy -c "add ':module options:ldap:Denied SASL Methods:' string GSSAPI" /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist
Riavvia il computer per ricaricare la configurazione di OpenDirectory.

Passaggio 4: crea un account per dispositivi mobili (consente l'accesso offline)

Qualsiasi utente di Google Workspace o Cloud Identity può accedere con un account di rete (Account Google) utilizzando il proprio nome utente e la propria password. La procedura di accesso richiede una connessione di rete. Se un utente deve eseguire l'accesso con o senza connessione alla rete, è possibile creare un account dispositivo mobile. Un account dispositivo mobile ti consente di utilizzare il nome utente e la password del tuo account di rete (Account Google) per effettuare l'accesso, indipendentemente dal fatto che tu sia connesso o meno alla rete. Per maggiori dettagli, vedi Creare e configurare un account mobile sul Mac.

Per creare un account dispositivo mobile per gli utenti di LDAP sicuro:

Esegui il comando seguente per connetterti al server LDAP sicuro e configurare un percorso della home directory e gli account dispositivo mobile:

sudo /System/Library/CoreServices/ManagedClient.app/Contents/Resources/createmobileaccount -n $uid -v

Suggerimento: sostituisci $uid con il nome utente dell'indirizzo email associato all'Account Google dell'utente. Ad esempio, jsmith è la parte del nome utente per jsmith@solarmora.com.
Quando viene richiesto il nome utente dell'amministratore di SecureToken, inserisci il nome utente dell'amministratore e inserisci la tua password nella richiesta successiva. in questo modo $uid viene aggiunto a FileVault. Questa operazione è necessaria se il disco macOS è criptato.

Passaggio 5: (facoltativo) imposta la preferenza per la schermata di accesso

Vai a Preferenze di Sistema > Utenti e Gruppi > Opzioni login in basso a sinistra.
Per sbloccare, devi fornire le credenziali di amministratore.
Imposta la visualizzazione della finestra di accesso su Nome e password.

Passaggio 6: riavvia e accedi al tuo dispositivo

Assicurati che il dispositivo sia connesso a Internet. Se non hai una connessione a Internet, l'accesso per l'utente di LDAP sicuro non funzionerà.
Nota: la connessione a Internet è necessaria solo per il primo accesso. Qualsiasi accesso successivo può avvenire senza accesso a Internet.
Accedi al dispositivo con l'account utente configurato per l'uso di LDAP sicuro per l'autenticazione.

Fase di deployment

Le istruzioni contenute in questa sezione sono incentrate sull'automazione della configurazione dei dispositivi per gli utenti. Esegui i passaggi 1 e 2 riportati di seguito sullo stesso dispositivo macOS in cui hai completato la configurazione manuale durante la fase di preparazione.

Passaggio 1: crea un profilo Mac con certificato utilizzando Apple Configurator 2

Installa Apple Configurator 2 sul computer dove hai configurato manualmente l'autenticazione macOS con LDAP sicuro.
Apri Apple Configurator 2, crea un nuovo profilo e, nella sezione dei certificati, fai clic su Configura e importa il file .p12 generato in precedenza.
Nota: assicurati che il file .p12 abbia una password. Inserisci questa password nella sezione Password del certificato.
Salva questo profilo.
Apri il profilo in qualsiasi editor di testo e aggiungi le seguenti righe nel primo tag <dict>:

<key>PayloadScope</key> <string>System</string>

Il motivo di questa aggiunta è che Apple Configurator non supporta ancora i profili per macOS.
Nel secondo tag <dict>, parallelo ai dati del certificato, aggiungi le seguenti righe:

<key>AllowAllAppsAccess</key> <true/>

In questo modo avrai la certezza che sia possibile accedere a questo certificato da tutte le applicazioni.

Passaggio 2: converti il file di configurazione della directory (plist) in XML

In questo passaggio stai estraendo tutte le configurazioni manuali che hai completato durante il passaggio 3 della fase di preparazione in un file XML. Puoi utilizzare questo file e il profilo Mac creato nel passaggio 1 per configurare automaticamente altri dispositivi macOS.

Copia /Library/Preferences/OpenDirectory/Configurations/LDAPv3/ldap.google.com.plist sul desktop o altrove.
Convertilo in XML per poterlo esaminare in qualsiasi editor di testo. Esegui il comando seguente nel terminale:

sudo plutil -convert xml1 <path>/ldap.google.com.plist

Puoi accedere al file come <path>/ldap.google.com.plist.
Modifica l'autorizzazione del file precedente in modo da poter aprire il file XML. Assicurati che non sia vuoto.

Passaggio 3: crea uno script Python per automatizzare la configurazione sui dispositivi degli utenti finali

Copia lo script Python seguente e salvalo come file Python (file .py).

Nota: questo script di esempio viene fornito così com'è. L'Assistenza Google non fornirà alcun supporto per gli script di esempio.

Ldap_pythong_config.py

#!/usr/bin/python from OpenDirectory import ODNode, ODSession, kODNodeTypeConfigure from Foundation import NSMutableData, NSData

import os import sys

# Lettura di plist GOOGLELDAPCONFIGFILE = open(sys.argv[1], "r") CONFIG = GOOGLELDAPCONFIGFILE.read() GOOGLELDAPCONFIGFILE.close()

# Scrittura di plist od_session = ODSession.defaultSession() od_conf_node, err = ODNode.nodeWithSession_type_error_(od_session, kODNodeTypeConfigure, None) request = NSMutableData.dataWithBytes_length_(b'\x00'*32, 32) request.appendData_(NSData.dataWithBytes_length_(CONFIG, len(CONFIG))) response, err = od_conf_node.customCall_sendData_error_(99991, request, None)

# Modifica del percorso di ricerca predefinito e aggiunta del nuovo nodo per consentire il login os.system("dscl -q localhost -append /Search CSPSearchPath /LDAPv3/ldap.google.com") os.system("bash -c 'echo -e \"TLS_IDENTITY\tLDAP Client\" >> /etc/openldap/ldap.conf' ")

Passaggio 4: configura automaticamente i dispositivi degli utenti finali

Passa ad altri dispositivi macOS che vuoi configurare e segui questi passaggi:

Copia nel dispositivo il file del profilo Mac generato nel passaggio 1, il file di configurazione XML generato nel passaggio 2 e lo script Python del passaggio 3.
Esegui questo comando:

sudo python </path/to/saved_python_script> </path/to/ldap.google.com.plist generato nel passaggio 2>
Per importare i certificati nel portachiavi di sistema di macOS, fai doppio clic sul file del profilo Mac generato nel passaggio 1 e, quando richiesto, fornisci le tue credenziali di amministratore locale di macOS. Ti verrà quindi chiesto di inserire la password .p12 che hai impostato durante la fase di preparazione.
Riavvia il computer macOS.
Crea gli account dispositivo mobile seguendo le istruzioni del passaggio 4 della fase di preparazione e, se vuoi, imposta le preferenze aggiuntive descritte nel passaggio 5 della fase di preparazione.

Limitazioni e linee guida

Quando un utente inizia ad accedere a macOS utilizzando le credenziali Google, la gestione delle password utente (ripristino o recupero) deve avvenire sul sito web di Google (ad esempio, su myaccount.google.com o nella Console di amministrazione Google). Se scegli di gestire le password utilizzando una soluzione di terze parti, assicurati che la password più recente sia sincronizzata con Google.
Se l'amministratore crea un nuovo utente o reimposta la password di un utente esistente con l'impostazione Richiedi di cambiare la password all'accesso successivo attiva, l'utente non può accedere al Mac utilizzando la password temporanea impostata dall'amministratore.
Soluzione: l'utente deve accedere a Google utilizzando un altro dispositivo (ad esempio il proprio dispositivo mobile o un altro dispositivo desktop), impostare una password permanente e accedere a macOS utilizzando la nuova password.
Il Mac deve essere collegato a una connessione Internet funzionante in modo che ldap.google.com sia raggiungibile durante il primo accesso dopo la configurazione descritta sopra. Gli accessi successivi non richiederanno l'accesso a Internet purché tu abbia deciso di configurare un account dispositivo mobile.
L'integrazione di Google LDAP sicuro con macOS viene testata su macOS Catalina e Big Sur.
Abbiamo visto che si verificano dei problemi se si aggiungono nuovi Account Google con la funzionalità FileVault dopo l'upgrade del dispositivo a macOS Big Sur. Stiamo lavorando attivamente con Apple per esaminare il problema. Se riscontri questo problema, ti consigliamo vivamente di aprire un ticket di assistenza direttamente presso Apple.

Risoluzione dei problemi

In caso di problemi di connessione al servizio LDAP sicuro, segui le istruzioni riportate di seguito.

Passaggio 1: verifica la connessione

Verifica la connessione utilizzando odutil.
Esegui il comando odutil show nodenames nel terminale.
Verifica che lo stato di /LDAPv3/ldap.google.com sia online. Se non è online, prova l'opzione telnet.

Verifica la connessione utilizzando nc.
Esegui il comando seguente nel terminale: nc -zv ldap.google.com 636
Se non riesci a collegarti a Google utilizzando questo metodo, prova a connetterti con IPv4.

Verifica la connessione con IPv4.
Puoi impostare l'utilizzo del protocollo IPv4 nel dispositivo nel seguente modo:

Vai a Preferenze di Sistema > Rete > Wi-Fi > Avanzate.
Nel menu delle opzioni avanzate, vai alla scheda TCP/IP.
Cambia la selezione nel menu a discesa da Configura IPv6 a Solo link locale.
Fai clic su OK, quindi su Applica per salvare le modifiche.
Verifica l'autenticazione del servizio tramite la connettività ldapsearch e convalida la ricerca.

Passaggio 2: controlla se riesci a visualizzare gli oggetti della directory

Apri Utility Directory e apri la scheda Editor directory.
Seleziona il nodo /LDAPv3/ldap.google.com nell'elenco a discesa.
Verifica se sei in grado di visualizzare gli utenti e i gruppi del tuo dominio Google.

Istruzioni di configurazione per le applicazioni Java

La maggior parte delle applicazioni basate su Java che offrono funzionalità LDAP può essere configurata in modo che l'autenticazione venga effettuata mediante certificati client installando tali certificati nell'archivio chiavi dell'applicazione. L'esatto contenuto dei file di configurazione varia a seconda dell'applicazione, ma il processo è in genere analogo. L'installazione richiede che OpenSSL e Java Runtime Environment siano installati.

Converti il certificato e le chiavi nel formato Java keystore. Durante questo processo ti verrà richiesto più volte di inserire una password. Scegli una password sicura e utilizzala per tutte le richieste. Supponendo che il file della chiave client sia denominato ldap-client.key:

In macOS o Linux, utilizza i comandi seguenti:

$ openssl pkcs12 -export -out java-application-ldap.pkcs12 -in ldap-client.crt -inkey ldap-client.key

In Windows, utilizza i comandi seguenti:

$ certutil -mergepfx ldap-client.crt java-application-ldap.pkcs12

Importante: i due file (<CERT_FILE>.crt e <CERT_FILE>.key) devono trovarsi nella stessa directory. Inoltre, assicurati che il file key e il file crt abbiano lo stesso nome (con estensioni diverse). In questo esempio utilizziamo i nomi ldap-client.crt e ldap-client.key.
Importa il certificato nel keystore:

$ keytool -v -importkeystore -srckeystore java-application-ldap.pkcs12 -srcstoretype PKCS12 -destkeystore java-application-ldap.jks -deststoretype JKS
Le proprietà Java possono essere configurate in modi diversi a seconda dell'applicazione. Spesso è possibile impostarle utilizzando l'opzione -D nella riga di comando "java" utilizzata per l'avvio. Imposta le proprietà Java per la tua applicazione:

javax.net.ssl.keyStore = /<path-to>/java-application-ldap.jks javax.net.ssl.keyStorePassword = <password selezionata nel passaggio precedente>
Configura le impostazioni di connessione LDAP dell'applicazione utilizzando le informazioni contenute nella sezione Istruzioni di configurazione di base.

(Facoltativo) Utilizzare stunnel come proxy

Per i client che non forniscono alcun metodo per eseguire l'autenticazione su LDAP mediante un certificato client, utilizza stunnel come proxy.

Configura stunnel in modo che fornisca il certificato client al server LDAP e configura il client in modo che stabilisca una connessione a stunnel. La soluzione ideale consiste nell'eseguire stunnel sullo stesso server in cui è eseguita l'applicazione e configurarlo in modo che resti in ascolto solo in locale, così da non esporre la directory LDAP oltre quel server.

Segui questi passaggi:

Installa stunnel. Ad esempio, su Ubuntu:

$ sudo apt-get install stunnel4
Crea un file di configurazione denominato /etc/stunnel/google-ldap.conf con il seguente contenuto (supponendo che ldap-client.crt sia il certificato e ldap-client.key la chiave):

[ldap]
client = yes
accept = 127.0.0.1:1636
connect = ldap.google.com:636
cert = ldap-client.crt
key = ldap-client.key
Per attivare stunnel, modifica /etc/default/stunnel4 con la seguente impostazione: ENABLED=1.
Riavvia stunnel.

$ sudo /etc/init.d/stunnel4 restart
Configura la tua applicazione in modo che rimandi a ldap://127.0.0.1:1636.

Puoi sostituire "1636" con il numero di una qualsiasi porta non utilizzata, a patto che modifichi anche la riga accept nel file di configurazione descritto sopra. Devi utilizzare LDAP in testo non crittografato, senza attivare StartTLS/SSL/TLS fra il client e stunnel, dal momento che comunicano in locale.

Nota: se decidi di eseguire stunnel su un server a sé stante, devi configurare i firewall in modo che soltanto le applicazioni che ne hanno bisogno possano accedere al server di stunnel. Puoi anche configurare stunnel in modo da restare in ascolto utilizzando TLS, così che i dati scambiati tra il client e i server di stunnel siano criptati. I dettagli di entrambe queste configurazioni dipendono dal tuo ambiente.

Passaggi successivi

Dopo aver connesso il client LDAP al servizio LDAP Sicuro, devi attivare lo stato del servizio per il client LDAP.

Per i passaggi successivi, vedi 5. Attivare i client LDAP.

Nota: se necessario, puoi utilizzare strumenti semplici come ldapsearch, ADSI o ldp.exe per la risoluzione di problemi qualora riscontrassi errori durante il tentativo di connessione del tuo client LDAP al servizio. Per le istruzioni, vedi Testare la connettività e risolvere i problemi.

È stato utile?

Come possiamo migliorare l'articolo?

4. Connettere i client LDAP al servizio LDAP sicuro

Argomenti trattati in questo articolo

Istruzioni di configurazione di base

Istruzioni di configurazione per client LDAP specifici

Registrare le eccezioni per l'autenticazione del server LDAP

Risoluzione dei problemi

Requisiti di sistema

Sommario:

Fase di preparazione

Passaggio 1: inizializza macOS come client LDAP nella Console di amministrazione Google

Passaggio 2: importa il certificato nel portachiavi di sistema

Passaggio 3: indirizza il dispositivo alla directory Google per l'autenticazione

Passaggio 4: crea un account per dispositivi mobili (consente l'accesso offline)

Passaggio 5: (facoltativo) imposta la preferenza per la schermata di accesso

Passaggio 6: riavvia e accedi al tuo dispositivo

Fase di deployment

Passaggio 1: crea un profilo Mac con certificato utilizzando Apple Configurator 2

Passaggio 2: converti il file di configurazione della directory (plist) in XML

Passaggio 3: crea uno script Python per automatizzare la configurazione sui dispositivi degli utenti finali

Passaggio 4: configura automaticamente i dispositivi degli utenti finali

Limitazioni e linee guida

Risoluzione dei problemi

Istruzioni di configurazione per le applicazioni Java

(Facoltativo) Utilizzare stunnel come proxy

Passaggi successivi

Articoli correlati

È stato utile?

Hai bisogno di ulteriore assistenza?

Prova i passaggi successivi indicati di seguito: