LDAP Authentifizierung

Transkript

1 T E C H N I S C H E D O K U M E N T A T I O N LDAP Authentifizierung Intrexx 6

2 1. Einleitung In diesem Dokument wird die LDAP Authentifizierung und die dafür notwendigen Anpassungen ab Intrexx Version 5.2 beschrieben. Bitte beachten Sie, dass die Anmeldedaten bei einer LDAP Authentifizierung zwischen Browser (Client) und Server im Klartext übertragen werden. Es wird daher empfohlen, diese Methode nur über HTTPS zu betreiben. 2. Online Updates Bevor mit der Konfiguration fortgefahren wird, stellen Sie sicher, dass alle Online Updates für Ihre Intrexx Version eingespielt sind. 3. Benutzer- und Gruppenimport Damit eine Authentifizierung der Benutzer gegen den LDAP Server möglich ist, sollte über Intrexx eine Benutzerreplikation durchgeführt werden. Eine Replikation ist für die Authentifizierung nicht zwingend erforderlich, sollte jedoch als "erste Wahl" angesehen werden. Alternativ können Benutzer in Intrexx manuell angelegt werden mit dem Schema (Benutzername, Domain,..) des LDAP-Servers. Beim Login wird unabhängig von der Erstellungsweise des Benutzers zuerst versucht, gegen den LDAP-Server zu authentifizieren. Wollen Sie die Replikation durchführen, gehen Sie bitte wie folgt vor: Öffnen Sie den Intrexx Manager und melden Sie sich an dem gewünschten Portal an Wechseln Sie in die Benutzerverwaltung In der Menüleiste Benutzer / Benutzer- & Gruppenimport neue Replikationsquelle per Doppelklick oder über die -Schaltfläche hinzufügen Vergeben Sie einen Namen und wählen LDAP. Klicken Sie auf Weiter. Servername oder IP des ADS und den Port eintragen. Authentifizierung eintragen (Normalerweise ist einfach ausreichend.) Benutzer angeben, der den LDAP Server kontaktiert, z.b.: mail@example.org und das zugehörige Passwort (hierbei handelt es sich um das Anmeldekennwort an der Domäne) Mit Klick auf die Basis-DN wählen Selektieren Sie in der Auswahlliste das passende Profil für Ihren LDAP Server. Klicken Sie auf Weiter. Sind alle Eingaben korrekt, erscheint ein weiterer Dialog, in dem definiert werden kann welche Werte ausgelesen werden sollen. Darüber hinaus lassen sich weitere Eigenschaften wie Passwörter etc. definieren. Wichtig: Ihr persönliches Benutzerkonto (z.b. JohnD) muss zur Administratorengruppe hinzugefügt werden, um mit dem Windowskonto alle Rechte im Portal Manager zu bekommen. UNITED PLANET - INTREXX 6 PORTAL BUILDER - LDAP-AUTHENTIFIZIERUNG 2

3 4. Authentifizierungsmethode Es ist notwendig, die Authentifizierungsmethode, die von Intrexx verwendet wird, umzustellen. Gehen Sie dafür bitte wie folgt vor: Klicken Sie im Modul Benutzer in der Menüleiste auf Benutzer / Konfiguration Auf dem Reiter Authentifizierung den Punkt Generische Authentifizierung auswählen. Dialog mit OK schließen Melden Sie sich anschließend von Ihrem Portal im Intrexx Manager ab. 5. Anpassung der Konfigurationsdatei Öffnen Sie aus dem Verzeichnis org/<portal>/internal/cfg die Datei LucyAuth.cfg mit einem beliebigen Texteditor. Innerhalb dieser Datei muss die Adresse des LDAP-Servers und weitere Verbindungsinformationen eingetragen werden. Erstellen Sie vor dem Editieren unbedingt ein Backup dieser Datei. Navigieren Sie im Texteditor zu folgendem Abschnitt: GenericAuth { de.uplanet.lucy.server.auth.module.ldap.ldapbindloginmodule java.naming.provider.url="ldap://localhost:389" java.naming.security.authentication="simple" java.naming.security.principal="$[dn]" }; de.uplanet.lucy.server.auth.module.anonymous.anonymousloginmodule In Abhängigkeit davon, ob in einem Portal Benutzer vom LDAP Server repliziert wurden oder manuell angelegt wurden und sich gegenüber dem LDAP-Server authentifizieren, muss der Eintrag entsprechend ersetzt werden. UNITED PLANET - INTREXX 6 PORTAL BUILDER - LDAP-AUTHENTIFIZIERUNG 3

4 Sollten Sie eine Replikation durchgeführt haben, nehmen Sie bitte folgende Einträge vor: GenericAuth { de.uplanet.lucy.server.auth.module.ldap.ldapbindloginmodule java.naming.provider.url="ldap://ldapserver.example.org:389" java.naming.security.authentication="simple" java.naming.security.principal="$[dn]" }; de.uplanet.lucy.server.auth.module.anonymous.anonymousloginmodule ldap Geben Sie ldap an, wenn Sie keine SSL-Verschlüsselung verwenden. ldapserver.example.org IP-Adresse oder voll-qualifizierter Name des LDAP-Servers 389 Port des LDAP-Servers (Standard: 389, Standard SSL: 636) Die Einstellung "$[DN]" ist bei einer erfolgten Replikation nicht zu ändern. Dieser Distinguished Name ist zu verwenden bei OpenLDAP, Novell edirectory, Sun ONE und Active Directory Servern. Bei manuell angelegten Benutzern die Einstellungen bitte wie folgt ändern: GenericAuth { de.uplanet.lucy.server.auth.module.ldap.ldapbindloginmodule java.naming.provider.url="ldap://ldapserver.example.org:389" java.naming.security.authentication="simple" java.naming.security.principal="$[login_name]@$[login_domain]" }; de.uplanet.lucy.server.auth.module.anonymous.anonymousloginmodule ldap Geben Sie ldap an, wenn Sie keine SSL-Verschlüsselung verwenden. ldapserver.example.org IP-Adresse oder voll-qualifizierter Name des LDAP-Servers 389 Port des LDAP-Servers (Standard: 389, Standard SSL: 636) $[LOGIN_NAME]@ $[LOGIN_DOMAIN] Zusammengesetzter principal-name. Dieses Pattern bitte genau wie dargestellt übernehmen. Die Anmeldung funktioniert so zunächst nur im Manager. Soll die Variante auch im Browser beim Zugriff auf das Portal funktionieren, muss die folgende Änderung in der Datei <portal>/internal/system/vm/html/login/initlogin.vm durchgeführt werden. ##Initparams for Intrexx Loginbox ##Module Subdirectory, depends on Loginmodule ## default "intrexxauth" #set($l_strmodulesubdir = "intrexxauth") Ändern Sie die rot markierte Zeile ab auf #set($l_strmodulesubdir = "ldapauth") UNITED PLANET - INTREXX 6 PORTAL BUILDER - LDAP-AUTHENTIFIZIERUNG 4

5 Bitte beachten Sie, dass die Anmeldedaten bei einer LDAP Authentifizierung zwischen Browser (Client) und Server im Klartext übertragen werden. Es wird daher empfohlen, diese Methode nur über HTTPS zu betreiben. UNITED PLANET - INTREXX 6 PORTAL BUILDER - LDAP-AUTHENTIFIZIERUNG 5

6 2013 United Planet. All rights reserved. Intrexx and United Planet are registered trademarks of United Planet, Freiburg - Germany. Alle im Text erwähnten Hersteller, Produkte und Dienstleistungen sind Marken oder eingetragene Marken der jeweiligen Unternehmen in Deutschland und anderen Ländern weltweit.