Technische Mitteilung LDAP

Transkript

1 Technische Mitteilung LDAP Einrichten einer LDAPgestützten Benutzerverwaltung

2 Informationen zum Dokument Kurzbeschreibung Dieses Dokument enthält wichtige Hinweise zum Einrichten einer Benutzerverwaltung mithilfe eines LDAP-Verzeichnisdienstes. Autor ahm, Gauss Interprise AG Kontakt Für weitere Informationen wenden Sie sich bitte an Produktmanagement: Jörn Erbguth Version Produktversion: VIP CM Suite 8.0 Dokumentenversion: De-01, Oktober 2001 Freigegeben für Kunden Partner SupPortal (Erscheinungsdatum: 01. November 2001) Seite 2 von 11

3 Copyright Dieses Dokument sowie die zugehörige Software sind Eigentum der Gauss Interprise AG oder ihrer Zulieferer und durch Gesetze zum Schutze des Urheberrechts und andere Gesetze geschützt. Sie werden unter einer Lizenz vertrieben, durch welche die Nutzung, Reproduktion, Vertrieb und Dekompilierung eingeschränkt wird. Weder der Erhalt noch der Besitz dieses Dokumentes ermächtigt Sie, dessen Inhalte ganz oder teilweise auf Papier, elektronisch oder einem anderen Medium zu reproduzieren, weiterzugeben oder anderen den Zugang darauf zu ermöglichen. Kein Teil dieses Dokumentes darf in irgendeiner Form und Weise ohne vorherige schriftliche Zustimmung der Gauss Interprise AG oder Gauss Interprise, Inc. reproduziert werden. Obwohl bei der Erstellung der Dokumente sorgfältig vorgegangen wurde, können Fehler nicht ausgeschlossen werden. Daher können Gauss Interprise AG, Gauss Interprise, Inc. sowie die Autoren keine Haftung für die Richtigkeit oder Vollständigkeit der in diesem Dokument enthaltenen Informationen übernehmen. Die Autoren sind für Hinweise über mögliche Fehler in den Dokumenten dankbar. Darüber hinaus haften Gauss Interprise AG und Gauss Interprise, Inc. nur gemäß dem Lizenzvertrag der Software, die mit diesem Dokument verkauft wurde. DIE DOKUMENTATION WIRD WIE BESEHEN GELIEFERT. SÄMTLICHE AUSDRÜCKLICHEN UND STILLSCHWEIGENDEN BEDINGUNGEN, ZUSICHERUNGEN UND GARANTIEN EINSCHLIESSLICH SÄMTLICHER GARANTIEN DER MARKTGÄNGIGKEIT, DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK ODER DES NICHTVERSTOSSES GEGEN EIN GESETZ WERDEN ABGELEHNT, SOFERN NICHT EINE DERARTIGE ABLEHNUNG RECHTLICH ALS UNGÜLTIG ANGESEHEN WIRD. SpyView, SpyImage, VIP ContentManager, VIP PortalManager und VIP ContentMiner sind eingetragene Warenzeichen der Gauss Interprise AG und Gauss Interprise, Inc. Alle anderen Produkte, Warenzeichen oder Handelsmarken, auf die in diesem Dokument Bezug genommen wurde oder die in diesem Dokument erwähnt wurden, sind Eigentum der entsprechenden Firmen. Seite 3 von 11

4 Inhaltsverzeichnis 1 Einleitung 5 2 Allgemeine Hinweise Anonyme Verbindung Personalisierte Verbindung 6 3 Produktspezifische Hinweise Microsoft Active Directory Service (ADS) Novel Directory Service (NDS edirectory) iplanet Directory Server 10 Seite 4 von 11

5 1 Einleitung Bei der Verwendung einer LDAP-gestützten Benutzerverwaltung sind einige Besonderheiten zu berücksichtigen, die insbesondere vom eingesetzten LDAP- Server abhängen. Dieses Dokument liefert zunächst allgemeine und anschließend produktspezifische Hinweise, die in diesem Zusammenhang berücksichtigt werden müssen. Dabei werden die LDAP-Verzeichnisdienste Microsoft Active Directory, Novell Directory Service und iplanet Directory Server behandelt. Seite 5 von 11

6 2 Allgemeine Hinweise Das Administrationssystem von VIP ContentManager unterstützt die folgenden LDAP-Verzeichnisdienste: Microsoft Active Directory Service (ADS) Novell directory Service (NDS edirectory) iplanet Directory Server Bezüglich der Zugriffsrechte muss der eingesetzte LDAP-Server wie folgt konfiguriert werden: Eine anonyme Verbindung muss mindestens lesenden Zugriff auf die VIPspezifischen Objektklassen bzw. Attribute (JNDI Login Connection) haben. Eine personalisierte Verbindung muss zusätzlich schreibenden Zugriff auf die VIP-spezifischen Objektklassen bzw. Attribute (JNDI Connection) haben. Hinsichtlich beider Verbindungstypen basiert die VIP CM Suite auf Simple Authentication, d. h. die jeweilige Authentifizierung wird mittels eines in Klartext übertragenen Kennwortes vorgenommen. 2.1 Anonyme Verbindung Die anonyme Verbindung erfüllt den Zweck der Authentifizierung des VIP- Benutzers. Dazu wird zunächst eine anonyme Verbindung zum LDAP-Server aufgebaut, auf deren Basis der zugrunde liegende LDAP-Namensraum durchsucht werden kann, um den sogenannten distinguished name (kurz: DN) zu der eingegebenen Benutzerkennung zu finden. Die nachfolgende Anmeldung erfolgt dann über den gefundenen DN (eindeutiger Schlüssel in LDAP) sowie dem angegebenen Kennwort. Hinweis: Das VIP-CM-System hat keine Informationen darüber, wie das Kennwort im LDAP-Server gespeichert wird. Die Kennwortprüfung kann somit ausschließlich serverseitig erfolgen. Die meisten LDAP-Server verwenden dabei eigene Verschlüsselungsalgorithmen, um den Hashwert des Kennwortes zu speichern. Dieser Wert wird in der Regel im Attribut userpassword gespeichert. 2.2 Personalisierte Verbindung Die personalisierte Verbindung setzt die Existenz eines Bindeprofils in LDAP voraus, über das alle zukünftigen LDAP-Schreibzugriffe des Administrationssystems abgewickelt werden. Dieses Bindeprofil muss bei der Installation mit zusätzlicher Angabe eines Kennwortes spezifiziert werden. Seite 6 von 11

7 Hinweis: Achten Sie darauf, dass das LDAP-Bindeprofil außerhalb des Namensraums liegt, auf den das VIP-CM-System zugreifen kann. Andernfalls kann eine Modifikation durch den Admin Client nicht ausgeschlossen werden. Die Einschränkung des LDAP-Namensraums kann während der Installation vorgenommen werden. Seite 7 von 11

8 3 Produktspezifische Hinweise Die folgenden produktspezifischen Hinweise sind nicht durch den LDAP-Standard erfasst und müssen bei der Verwendung des eingesetzten LDAP-Servers berücksichtigt werden. 3.1 Microsoft Active Directory Service (ADS) Attribute ADS verwendet das Attribut cn als namensgebendes Attribut für den LDAP-Eintrag, das somit als Namenskomponente im distinguished name (DN) repräsentiert wird. Hinweis: Generell gilt für das Administrationssystem, dass Attribute, die einen Bestandteil (Namenskomponenten) des DN ausmachen, nicht verändert werden dürfen. Die folgende Tabelle zeigt die VIP-Attribute, ihr Vorhandensein in ADS, den jeweiligen Datentyp sowie das entsprechende Mapping. VIP-Attribut In ADS vorhanden Datentyp (Syntax) VIP-LDAP- Mapping vipaccess viprights vipwebsite vipfuncarea viptype cn uid uid => samaccountname => mail language vipuserpassword vipuserpassword => userpassword initpassword trustedlogin member vipsubstitute DN Seite 8 von 11

9 Objektklassen Die Objektklasse vip muss als abstrakte Basisklasse aller VIP-spezifischen Objektklassen angelegt werden. Für die Objektklassen vipuser, vipgroup sowie viprole muss der ADS-Objektklassentyp Zusätzlich gewählt werden. Nach der Einrichtung der Objektklassen ist die Objektklasse vipuser der in ADS vordefinierten Objektklasse user als Erweiterungsklasse hinzuzufügen. Die Objektklassen vipgroup sowie viprole werden der ADS-Objektklasse group als Erweiterungsklasse hinzugefügt. Durch die Festlegung der VIP-Objektklassen auf den jeweiligen ADS- Objektklassentyp können vorhandene Einträge der ADS-Objektklasse user bzw. group über den Admin Client um die VIP-spezifischen Attribute erweitert werden. Hinweis: Benutzer, Gruppen und Rollen können nicht über den Admin Client im LDAP-Server angelegt werden. Das Neuanlegen von Benutzern, Gruppen und Rollen muss über die ADS-Administrationskonsole erfolgen. Installation Bei der Installation des VIP-CM-Systems muss zum Speichern des Principal-Typs das Attribut viptype gewählt werden. 3.2 Novel Directory Service (NDS edirectory) Attribute NDS kann das Attribut cn oder uid (auch uniqueid) als namensgebendes Attribut für den LDAP-Eintrag verwenden, welches somit als Namenskomponente im distinguished name (DN) repräsentiert wird. Hinweis: Generell gilt für das Administrationssystem, dass Attribute, die einen Bestandteil (Namenskomponenten) des DN ausmachen, nicht verändert werden dürfen. Die folgende Tabelle zeigt die VIP-Attribute, ihr Vorhandensein in NDS, den jeweiligen Datentyp sowie das entsprechende Mapping. VIP-Attribut In NDS vorhanden Datentyp (Syntax) VIP-LDAP- Mapping vipaccess viprights vipwebsite vipfuncarea cn uid uid => uniqueid => mail Seite 9 von 11

10 VIP-Attribut In NDS vorhanden Datentyp (Syntax) VIP-LDAP- Mapping language vipuserpassword stream vipuserpassword => userpassword initpassword trustedlogin member member => uniquemember vipsubstitute DN (mit Attributsynchronisation) Objektklassen Die Objektklasse vip muss als abstrakte Basisklasse aller VIP-spezifischen Objektklassen angelegt werden. Für die Objektklassen vipuser, vipgroup sowie viprole muss der NDS-Objektklassentyp Extended (entspricht Zusätzlich ) gewählt werden. Durch die Festlegung der VIP-Objektklassen auf den jeweiligen NDS- Objektklassentyp können vorhandene NDS-Einträge über den Admin-Client um die VIP-spezifischen Attribute erweitert werden. Hinweis: Benutzer, Gruppen und Rollen können nicht über den Admin Client im LDAP-Server angelegt werden. Das Neuanlegen von Benutzern, Gruppen und Rollen muss über die ADS-Administrationskonsole erfolgen. Installation Bei der Installation des VIP-CM-Systems muss zum Speichern des Principal-Typs das Attribut objectclass gewählt werden. 3.3 iplanet Directory Server Attribute iplanet kann das Attribut cn oder uid als namensgebendes Attribut für den LDAP- Eintrag verwenden, welches somit als Namenskomponente im distinguished name (DN) repräsentiert wird. Hinweis: Generell gilt für das Administrationssystem, dass Attribute, die einen Bestandteil (Namenskomponenten) des DN ausmachen, nicht verändert werden dürfen. Seite 10 von 11

11 Die folgende Tabelle zeigt die VIP-Attribute, ihr Vorhandensein in iplanet, den jeweiligen Datentyp sowie das entsprechende Mapping. VIP-Attribut In iplanet vorhanden Datentyp (Syntax) VIP-LDAP- Mapping vipaccess viprights directory string vipwebsite directory string vipfuncarea directory string cn uid => mail language directory string vipuserpassword vipuserpassword => userpassword initpassword trustedlogin member vipsubstitute DN Objektklassen Die Objektklasse vip muss als abstrakte Basisklasse aller VIP-spezifischen Objektklassen angelegt werden. Die Definition der Objektklassen vipuser, vipgroup sowie viprole unterliegt keiner Beschränkung auf einen Objektklassentyp. Benutzer, Gruppen und Rollen können somit mithilfe des Admin Clients im LDAP-Server neu angelegt werden. Existierende LDAP-Einträge können außerdem um die VIP-spezifischen Attribute erweitert werden. Installation Bei der Installation des VIP-CM-Systems muss zum Speichern des Principal-Typs das Attribut objectclass gewählt werden. Seite 11 von 11