Nextcloud LDAP- en Active Directory-aanmelding instellen

Om LDAP- of Active Directory-accounts in Nextcloud te gebruiken, schakelt u de app 'LDAP-gebruikers- en groepsbackend' in, configureert u een directoryverbinding en test u vervolgens de gebruikers-, aanmeldings- en groepsfilters voordat u medewerkers toestaat ze te gebruiken. De LDAP-integratie van Nextcloud authenticeert zich aan de hand van de directory; er worden geen directoryaccounts aangemaakt of beheerd. Begin met een alleen-lezen serviceaccount en een kleine, bekende testgroep, zodat u precies kunt controleren wie zichtbaar is en wie zich kan aanmelden.

Deze stappen volgen de handleiding voor Nextcloud 35-beheer. Menulabels en de vormgeving kunnen per release verschillen, dus raadpleeg de handleiding van uw geïnstalleerde versie als deze afwijken.

Bereid de directoryverbinding voor.

Voordat u de instellingen van Nextcloud opent, vraagt ​​u uw LDAP- of AD-beheerder om de hostnaam van de directory, de versleutelde verbindingsmethode, de poort, de Base DN en een bind-account waarmee de vereiste gebruikers- en groepsstructuren kunnen worden doorzocht. Nextcloud gebruikt dit bind-account om directoryrecords op te zoeken; het is een apart account, los van de inloggegevens van elke gebruiker. Nextcloud beschrijft een speciaal zoekaccount als de aanbevolen methode.

Gebruik een versleutelde verbinding met certificaatverificatie. Nextcloud documenteert poort 636 als de standaard LDAPS-poort. De PHP-omgeving van de Nextcloud-server moet het directorycertificaat vertrouwen; schakel verificatie niet standaard uit. Bevestig eventuele niet-standaard transportprotocollen of poorten met uw directorybeheerder.

Controleer of de PHP LDAP-module is geïnstalleerd (vaak verpakt als php-ldap`php .php`) en of de Nextcloud-server de map op de geselecteerde poort kan bereiken. Container- en beheerde implementaties kunnen hun eigen ondersteunde installatiemethode hebben.

Schakel de LDAP-backend in en maak verbinding met de server.

1. Meld u aan bij Nextcloud als beheerder. Open Apps en schakel de LDAP-gebruikers- en groepsbackend in als deze nog niet is ingeschakeld. De applicatie-ID die wordt gebruikt occis user_ldap.
2. Open de beheerdersinstellingen voor LDAP/AD-integratie en start een nieuwe serverconfiguratie. Vul eerst het tabblad Server in ; Nextcloud gebruikt dit om de directoryverbinding te testen en de instellingen voor de andere tabbladen te detecteren.
3. Voer de hostnaam van de directory of een ldaps://URI in, de poort als deze niet wordt gedetecteerd, de volledige distinguished name (DN) van het bind-account, het wachtwoord en de Base DN. Een Base DN identificeert het deel van de directorystructuur dat Nextcloud doorzoekt. Bijvoorbeeld, dc=example,dc=comis een formaat, geen waarde die u moet kopiëren, tenzij deze overeenkomt met uw directory.
4. Voer de verbindingstest uit. Als de detectie de basis-DN of poort niet vindt, voer dan de waarden in die u van uw directorybeheerder hebt ontvangen. Verbreed de basis-DN niet alleen om een ​​test te laten slagen; gebruik de kleinste directorystructuur die de beoogde gebruikers en groepen bevat.

Een groene serverindicator betekent dat Nextcloud met de directory kan communiceren via de opgegeven verbindingsinstellingen. Dit bewijst echter niet dat de juiste gebruikers kunnen inloggen of dat groepslidmaatschap correct is toegewezen. Doorloop de instellingen voor gebruikers, inloggegevens en groepen voordat u de integratie als gereed beschouwt.

Beperk welke accounts kunnen inloggen.

Gebruik het tabblad Gebruikers om te definiëren welke LDAP-records Nextcloud weergeeft. Gebruik Aanmeldingskenmerken om te bepalen welke kenmerken een persoon mag invoeren op het aanmeldingsscherm. Dit zijn afzonderlijke instellingen: een gebruiker kan vindbaar zijn in de directory zonder dat hij of zij mag inloggen, en een aanmeldingsfilter kan bepalen welke gebruikers worden geaccepteerd.

Voor Active Directory kan Nextcloud automatisch veelvoorkomende instellingen detecteren, waaronder het gebruikersnaamkenmerk. Het standaard gebruikersnaamkenmerk is doorgaans aanwezig sAMAccountNamein AD en uidin veel LDAP-directory's. Controleer de gedetecteerde waarde met een daadwerkelijk testaccount. Als gebruikers moeten inloggen met e-mailadressen, selecteer dan het e-mailkenmerk pas nadat u hebt bevestigd dat het is ingevuld en uniek is voor elk toegestaan ​​account.

Beperk de toegang indien mogelijk tot een specifieke Nextcloud-groep. Gebruik de groepsselector of een filter dat is getest op basis van uw eigen objectklasse, groeps-DN en attributen. Kopieer geen voorbeeldfilters ongewijzigd: een onjuist filter kan geen gebruikers retourneren of een onbedoeld bredere set gebruikers weergeven.

Kies bij Groepen de objectklasse voor groepen van de directory en de groepen die u wilt weergeven; er zijn standaard geen groepen beschikbaar totdat u deze configureert. Voor geneste AD-groepen geeft Nextcloud aan dat de optie 'Geneste groepen' alleen mogelijk niet voldoende is: de gebruikers- en aanmeldingsfilters hebben mogelijk ook de overeenkomende regel van AD nodig. Bevestig dit gedrag met uw directorybeheerder en test een genest lid.

Test de identiteiten vóór de productie.

1. Bekijk de geavanceerde instellingen zonder opties te wijzigen die u niet begrijpt. Bepaal met name welk veld de weergavenaam bepaalt en laat de interne gebruikersnaamregel ongewijzigd.
2. Controleer de status van de configuratie (Actief) . Nextcloud waarschuwt dat een uitgeschakelde configuratie kan leiden tot een mislukte authenticatie met de misleidende melding 'verkeerd wachtwoord'; een geslaagde test activeert de configuratie normaal gesproken automatisch.
3. Gebruik de testconfiguratie en sla vervolgens op. De knop test de waarden die momenteel in de velden staan, dus opslaan is niet nodig vóór de test.
4. Open de Nextcloud-gebruikerspagina en controleer of de verwachte voorbeeldgebruikers en -groepen worden weergegeven. Test vervolgens het inloggen met één toegestaan ​​account en één account dat moet worden uitgesloten.
5. Controleer of het toegestane account de juiste weergavenaam, groepslidmaatschap en quotagedrag heeft. Als een profielkenmerk of LDAP-quotum is geconfigureerd, controleer dit dan met een testgebruiker voordat u de functie breed uitrolt.

Voor controles via de commandoregel kunt u eerst de configuratie-ID vinden met occ ldap:show-config. Voer vervolgens de gedocumenteerde testopdracht uit en vervang deze door de opgegeven ID:

sudo -E -u www-data php occ ldap:test-config s01
sudo -E -u www-data php occ ldap:test-user-settings "USER_DN"

Pas het pad naar de opdracht en het webserveraccount aan voor uw installatie; containergebruikers dienen de occprocedure van hun image te volgen. De eerste opdracht test de binding, terwijl de tweede de toewijzing van één gebruiker controleert.

Weet wat de integratie níét verandert.

De LDAP-backend leest directory-accounts; deze maakt, bewerkt of verwijdert ze niet. Wachtwoordwijzigingen via Nextcloud zijn optioneel en afhankelijk van de ondersteuning en configuratie van de directory. Anders moeten gebruikers de normale wachtwoordherstelprocedure van de organisatie volgen.

Nextcloud bewaart interne mappings en interne gebruikersnamen zijn in principe onveranderlijk; ze kunnen voorkomen in home-folderpaden en DAV-URL's. Kies een stabiele identifier voordat u gebruikers toevoegt. Wis nooit LDAP-mappings op een productie-instantie als een snelle oplossing voor problemen, omdat dit verwijzingen kan achterlaten en alle LDAP-configuraties beïnvloedt.

Als de test mislukt, controleer dan de Nextcloud-logboeken, DNS, poorttoegang, bind-referenties, Base DN en certificaatvertrouwen. Als er geen gebruikers worden weergegeven, controleer dan de gebruikersfilters en objectklassen; als er wel gebruikers worden weergegeven maar ze niet kunnen inloggen, controleer dan de inlogkenmerken en de actieve status. Controleer dit door in te loggen met een toegestaan ​​account en te bevestigen dat een uitgesloten account wordt geweigerd.

Referenties: Nextcloud 35 LDAP-authenticatiedocumentatie , Nextcloud 35 LDAP occ-opdrachten en Nextcloud PHP-modulevereisten .