Après avoir ajouté le client LDAP, vous devez configurer les autorisations d'accès pour ce client. La page Autorisations d'accès, qui s'affiche automatiquement après avoir ajouté le client LDAP, comprend trois sections vous permettant d'effectuer les opérations suivantes :
- Indiquer le niveau d'accès du client LDAP pour la vérification des identifiants utilisateur : lorsqu'un utilisateur tente de se connecter à l'application, ce paramètre spécifie les unités organisationnelles auxquelles le client LDAP peut accéder afin de vérifier les identifiants de l'utilisateur. Les utilisateurs qui ne font pas partie des unités organisationnelles sélectionnées ne peuvent pas se connecter à l'application.
- Indiquer le niveau d'accès du client LDAP pour la lecture des informations utilisateur : ce paramètre permet d'indiquer les unités organisationnelles et les groupes auxquels le client LDAP peut accéder afin de récupérer des informations utilisateur supplémentaires.
- Indiquer si le client LDAP peut lire des informations concernant les groupes : ce paramètre permet d'indiquer si le client LDAP peut lire les informations concernant les groupes et vérifier l'appartenance d'un utilisateur à des groupes afin de déterminer son rôle dans l'application, par exemple.
Vous pourrez revenir ultérieurement à la page Autorisations d'accès pour modifier ces paramètres. Pour en savoir plus et obtenir des instructions, consultez les sections ci-dessous.
Important : Certains clients LDAP tels qu'Atlassian Jira et SSSD effectuent une recherche parmi les comptes utilisateur pour obtenir plus d'informations sur un utilisateur lors de son authentification. Pour vous assurer que l'authentification utilisateur fonctionne correctement pour ces clients LDAP, vous devez activer Lire les informations relatives à l'utilisateur pour toutes les unités organisationnelles où l'option Vérifier des identifiants utilisateur est activée.
Indiquer le niveau d'accès du client LDAP pour la vérification des identifiants utilisateur
Utilisez cette option si le client LDAP doit authentifier les utilisateurs dans l'annuaire cloud.
Lorsqu'un utilisateur tente de se connecter à l'application, le paramètre Vérifier des identifiants utilisateur spécifie les comptes utilisateur des unités organisationnelles et groupes sélectionnés auxquels le client LDAP peut accéder afin de vérifier les identifiants des utilisateurs.Les utilisateurs qui ne font pas partie d'une unité organisationnelle ou d'un groupe sélectionné, ainsi que les utilisateurs figurant dans la catégorie Exclure des groupes ne peuvent pas se connecter à l'application. (Vous pouvez configurer des autorisations d'accès pour inclure ou exclure des groupes.)
Par défaut, ce paramètre est défini sur Aucun accès pour les unités organisationnelles et les groupes.Si ce client LDAP est utilisé par l'ensemble de votre entreprise, vous pouvez définir le paramètre sur Totalité du domaine pour autoriser l'accès des utilisateurs à l'ensemble du domaine, ou choisir des unités organisationnelles ou des groupes spécifiques.
Remarque : Un délai maximal de 24 heures peut être nécessaire pour que les modifications apportées à ce paramètre soient prises en compte.
Pour choisir des unités organisationnelles auxquelles un client LDAP peut accéder afin de vérifier les identifiants utilisateur :
- Sous Vérifier des identifiants utilisateur, cliquez sur Unités organisationnelles sélectionnées, groupes et groupes exclus.
- Sous Unités organisationnelles incluses, cliquez sur Ajouter ou Modifier.
- Dans la fenêtre Unités organisationnelles incluses, choisissez les unités organisationnelles spécifiques que vous souhaitez inclure.
- Cliquez sur ENREGISTRER.
Pour inclure des groupes auxquels un client LDAP peut accéder afin de vérifier les identifiants de l'utilisateur :
- Sous Vérifier des identifiants utilisateur, cliquez sur Unités organisationnelles sélectionnées, groupes et groupes exclus.
- Sous Groupes inclus, cliquez sur Ajouter ou Modifier.
- Dans la fenêtre Rechercher et sélectionner des groupes, choisissez les groupes spécifiques que vous souhaitez inclure.
- Cliquez sur OK.
Pour empêcher des groupes de vérifier des identifiants utilisateur :
- Sous Vérifier des identifiants utilisateur, cliquez sur Unités organisationnelles sélectionnées, groupes et groupes exclus.
- Sous Groupes exclus, cliquez sur Ajouter ou Modifier.
- Dans la fenêtre Rechercher et sélectionner des groupes, choisissez les groupes à exclure.
- Cliquez sur OK.
Remarque : Pour afficher rapidement la liste des unités organisationnelles incluses ou pour consulter la liste des groupes inclus ou exclus, passez la souris sur les paramètres répertoriés ci-dessus.
Indiquer le niveau d'accès du client LDAP pour la lecture des informations utilisateur
Utilisez cette option si le client LDAP nécessite un accès en lecture seule pour effectuer des recherches parmi les comptes utilisateur.
Le paramètre Lire les informations relatives à l'utilisateur indique les unités organisationnelles auxquelles le client LDAP peut accéder afin de récupérer des informations utilisateur supplémentaires. Par défaut, ce paramètre est défini sur Aucun accès, mais vous pouvez le définir sur Totalité du domaine, ou choisir des unités organisationnelles spécifiques.
Pour choisir les unités organisationnelles auxquelles le client LDAP peut accéder pour extraire des informations utilisateur supplémentaires :
-
Sous Lire les informations relatives à l'utilisateur, cliquez sur Unités organisationnelles sélectionnées.
-
Effectuez l'une des opérations suivantes :
Cliquez sur Ajouter. Dans la fenêtre Unités organisationnelles incluses, cochez les cases correspondant aux unités organisationnelles souhaitées. Vous pouvez également utiliser le champ de recherche en haut de la fenêtre pour rechercher des unités organisationnelles.
--OU--
Cliquez sur Copier les données du panneau "Vérifier des identifiants utilisateurs".
-
(Facultatif) Spécifiez les attributs auxquels ce client peut accéder pour lire les informations sur un utilisateur. Choisissez parmi les attributs système, les attributs personnalisés publics et les attributs personnalisés privés. Pour en savoir plus, consultez Indiquer les attributs que vous souhaitez rendre disponibles au client LDAP.
-
Cliquez sur ENREGISTRER.
Indiquer les attributs que vous souhaitez rendre disponibles au client LDAP
Il existe trois types d'attributs :
- Attributs système : attributs utilisateur par défaut disponibles pour tous les comptes utilisateur, par exemple nom, adresse e-mail et numéro de téléphone.
Remarque : vous ne pouvez pas désactiver cette option.
- Attributs personnalisés publics : attributs utilisateur personnalisés marqués comme visibles pour l'organisation.
- Attributs personnalisés privés : attributs utilisateur personnalisés marqués comme visibles uniquement pour l'utilisateur et les administrateurs. Soyez prudents lorsque vous utilisez des attributs personnalisés privés, car vous divulguez des informations privées au client LDAP.
Exigences et consignes de dénomination des attributs personnalisés :
- Les noms des attributs personnalisés ne peuvent contenir que des caractères alphanumériques et des tirets.
- Il ne doit pas exister de noms d'attributs en double dans les schémas personnalisés.
- Si le nom de l'attribut personnalisé correspond à un attribut système existant, la valeur de l'attribut système est renvoyée.
Important : Si le nom des attributs ne respecte pas les consignes ci-dessus, les valeurs des attributs en question sont exclues de la réponse LDAP.
Pour obtenir des informations détaillées et des instructions sur la configuration des attributs personnalisés, consultez Créer des attributs personnalisés pour les profils utilisateur.
Indiquer si le client LDAP peut lire les informations concernant les groupes
Utilisez cette option si le client LDAP nécessite un accès en lecture seule pour effectuer des recherches parmi les groupes.
Le paramètre Lire les informations relatives au groupe indique si le client LDAP peut vérifier l'appartenance d'un utilisateur à des groupes afin de déterminer son rôle dans l'application, par exemple.
Important : Certains clients LDAP, tels qu'Atlassian Jira et SSSD, effectuent une recherche parmi les groupes pour obtenir plus d'informations sur l'appartenance d'un utilisateur à des groupes lors de l'authentification ou de l'autorisation de son compte. Pour vous assurer que l'authentification des utilisateurs fonctionne correctement pour ces clients LDAP, vous devez activer l'option Lire les informations relatives au groupe.
Étapes suivantes
Une fois la configuration des autorisations d'accès terminée, cliquez sur AJOUTER UN CLIENT LDAP.
Vous devez ensuite télécharger le certificat généré, connecter le client LDAP au service LDAP sécurisé, puis définir l'état du service sur Activé pour le client LDAP.
Pour connaître la suite de la procédure, consultez l'article 3. Télécharger le certificat généré.