External Directory Service zum Authentifizieren von Benutzern

Transkript

1 External Directory Service zum Authentifizieren von Benutzern support.acrolinx.com /hc/de/articles/ external-directory-service-zum-authentifizieren-von-benutzern Betrifft Software Version Acrolinx Server 4.3, 4.4, 4.5, 4.6, 4.7, 5.0 Wenn Sie einen Verzeichnisdienst zur zentralen Verwaltung der Benutzer Ihres Unternehmens verwenden, können Sie Acrolinx Server so einrichten, dass neue Benutzer nicht über das Dashboard erstellt, sondern die Informationen für die Authentifizierung der Benutzer in diesem Verzeichnisdienst gesucht werden. Bevor Sie die externe Authentifizierung in Acrolinx verwenden können, müssen Sie für alle Benutzer im Verzeichnisdienst ein Passwort konfigurieren. Sie benötigen Kenntnisse vom Aufbau Ihres Verzeichnisdienstes, um die externe Authentifizierung mit Acrolinx Server zu konfigurieren. Externe Authentifizierung eignet sich nur für Unternehmen mit mehr als 100 Acrolinx-Benutzern. Externe Authentifizierung mit JAAS Der Acrolinx Server verwendet den Java Authentication and Authorization Service (JAAS) als bevorzugte Methode zur Benutzerauthentifizierung. Durch austauschbare Loginmodule unterstützt JAAS viele verschiedene Authentifizierungmethoden. Viele dieser Loginmodule für Protokolle wie LDAP oder Kerberos sind in der Oracle Java Runtime Engine (JRE) enthalten, die mit dem Server installiert wird. Weil LDAP das am häufigsten mit Acrolinx verwendete Authentifizierungprotokoll ist, beziehen sich die hier beschriebenen Beispiele auf das Oracle LDAP-Loginmodul. Die Anweisungen können jedoch auch als Referenz verwendet werden, wenn Loginmodule für andere Authentifizierungsmethoden konfiguriert werden. Externe Authentifizierung mit der veralteten LDAP-Implementierung Alternativ zu JAAS können Sie Acrolinx Server auch so konfigurieren, dass ein von Acrolinx implementiertes, mittlerweile veraltetes LDAP-Authentifizierungsmodul verwendet wird. Die veraltete LDAP-Implementierung ist sinnvoll, wenn Sie mehr Optionen bei der LDAP-Konfiguration benötigen, zum Beispiel die Möglichkeit, einen internen Authentifizierungscache zu konfigurieren. Die veraltete LDAP-Implementierung ist auf einen Directory Information Tree (DIT) beschränkt. Verwenden Sie JAAS, wenn Ihre Acrolinx-Benutzer in mehreren DITs gespeichert sind. Konfigurieren der LDAP-Authentifizierung mit JAAS Sie können Acrolinx Server so konfigurieren, dass zur Benutzerauthentifizierung an einem LDAP-Server mit dem LDAP- Loginmodul der Java Authentication and Authorization Service (JAAS) verwendet wird. Dies ist die bevorzugte Methode zur Konfiguration der LDAP-Authentifizierung in Acrolinx Server. Ein JAAS-Loginmodul für LDAP ist in der Oracle Java Runtime Engine (JRE) enthalten. Sie konfigurieren die LDAP- Authentifizierung, indem Sie eine JAAS-Konfigurationsdatei im Verzeichnis bin der Serverinstallation erstellen. Im selben Verzeichnis ist auch eine beispielhafte Konfigurationsdatei mit dem Namen login.config.sample enthalten. Vergewissern Sie sich, dass Ihre JRE ein entsprechendes LDAP-Loginmodul enthält, wenn Sie eine andere JRE als die 1/7

2 Oracle JRE verwenden möchten. Die hier enthaltenen Anweisungen beziehen sich auf das Oracle LDAP-Loginmodul, können aber als Grundlage beim Konfigurieren eines ähnlichen Moduls verwendet werden. Konfigurieren der JAAS-Konfigurationsdatei Bevor Sie eine LDAP-Verbindung konfigurieren können, müssen Sie eine JAAS-Konfigurationsdatei erstellen, in der die Konfigurationseigenschaften für das LDAP-Loginmodul enthalten sind. Im Verzeichnis bin der Serverinstallation ist eine beispielhafte Konfigurationsdatei mit dem Namen login.config.sample enthalten. Sie können eine Kopie dieser Datei im Konfigurationsverzeichnis speichern und die darin enthaltenen Eigenschaften mit den korrekten Werten Ihrer LDAP- Implementierung ergänzen. So erstellen Sie eine JAAS-Konfigurationsdatei 1. Öffnen Sie die folgende Datei in einem Texteditor: <INSTALL_VER>\server\bin\login.config.sample 2. Speichern Sie die Datei unter dem Namen login.config im folgenden Verzeichnis: %ACROLINX_CONFIGURATION_ROOT%\server\bin\ Erstellen Sie zunächst die erforderlichen Unterverzeichnisse, wenn das Verzeichnis noch nicht vorhanden ist. 3. Ergänzen Sie die folgenden Eigenschaften mit den korrekten Werten Ihrer LDAP-Implementierung: userprovider Aktualisieren Sie die Eigenschaft entsprechend der folgenden Syntax: ldap://<ldap_server_address>/<search_base>, Zum Beispiel: ldap://topspin.com/dc=topspin,dc=com. 2/7

3 userfilter Aktualisieren Sie diese Eigenschaft mit dem Filter, der zur Identifizierung der korrekten LDAP-Einträge der Benutzer verwendet werden soll. Die Variable {USERNAME} ist die Benutzerkennung, mit der sich die Benutzer bei Acrolinx anmelden. Wenn die Benutzer ihre -Adresse als Acrolinx-Benutzerkennung eingeben, aktualisieren Sie die Zeile folgendermaßen: userfilter= mail={benutzername}" Der Server sucht dann nach Benutzern mit einer -Adresse, die der zur Anmeldung an Acrolinx verwendeten Benutzerkennung entspricht. Geben Sie eine vollständige LDAP-Abfrage mit Abgleich der erforderlichen Gruppen ein, um sicherzustellen, dass der Benutzer Mitglied einer bestimmten Gruppe ist. Das folgende Beispiel ist eine LDAP-Abfrage, die Benutzer filtert, die Mitglieder der Gruppen sales oder marketing sind: userfilter="(&(cn={username})(objectclass=person) ( (member=cn=marketing,cn=groups,o=topspin,dc=topspin,dc=com) (member=cn=sales,cn=groups,o=topspin,dc=topspin,dc=com)))" Mehr Informationen zur Syntax von LDAP-Abfragen finden Sie in einem Grundlagenartikel in Microsoft TechNet. java.naming.security.principal Wenn der LDAP-Server keine anonymen Benutzerabfragen zulässt, müssen Sie diese Eigenschaft mit dem Distinguished Name (DN) des Kontos aktualisieren, von dem aus die Benutzersuchen durchgeführt werden. Zum Beispiel: java.naming.security.principal="cn=user234,dc=acrolinx,dc=com" java.naming.security.credentials Wenn der LDAP-Server keine anonymen Benutzerabfragen zulässt, müssen Sie diese Eigenschaft mit dem Passwort des Kontos aktualisieren, von dem aus die Benutzersuchen durchgeführt werden. Zum Beispiel: java.naming.security.credentials="user234password" usessl Setzen Sie diese Eigenschaft auf false, um zu verhindern, dass der Server mit dem LDAP-Server über eine sichere Verbindung kommuniziert. usessl=false Standardmäßig wird vom LDAP-Loginmodul SSL zur Kommunikation mit dem LDAP-Server verwendet. Sie können SSL temporär deaktivieren, um zum Beispiel LDAP-Verbindungen zu testen oder Fehler zu beheben. Tipp: Zusätzliche Informationen zu den JAAS-Konfigurationseigenschaften finden Sie in der Oracle Java- Dokumentation. 4. Speichern Sie die Änderungen und starten Sie den Hauptserver neu. 5. Wenn Sie eine sichere Verbindung für die Verbindung zum LDAP-Server verwenden, müssen Sie sicherstellen, dass der LDAP-Server ein vertrauenswürdiges Zertifikat verwendet. Vertrauen eines nicht vertrauenswürdigen Zertifikats Sie müssen möglicherweise die Vertrauenswürdigkeit der Verbindung bestätigen, wenn Sie Acrolinx Server so konfiguriert 3/7

4 haben, dass dieser eine Verbindung zu einem sicheren Verzeichnisserver herstellt. In den meisten Fällen ist dies bei selbstsignierten Zertifikaten erforderlich. Bevor Sie Benutzer authentifizieren können, müssen Sie die Vertrauenswürdigkeit des Zertifikats bestätigen, wenn der Verzeichnisserver ein Zertifikat einer nicht vertrauenswürdigen Quelle verwendet. Der Acrolinx Server lädt das Zertifikat in das Konfigurationsverzeichnis herunter, wenn ein nicht vertrauenswürdiges Zertifikat auf dem Verzeichnisserver erkannt wird. Sie müssen dann bestätigen, dass das Zertifikat vertrauenswürdig ist, indem Sie die heruntergeladene Datei an einen vertrauenswürdigen Speicherort im Konfigurationsverzeichnis verschieben. In den Protokolldateien des Servers wird die folgende Meldung aufgezeichnet, wenn der Server ein nicht vertrauenswürdiges Zertifikat erkennt: A communication partner provided a certificate that is not trusted. So vertrauen Sie nicht vertrauenswürdigen Zertifikaten 1. Öffnen Sie das folgende Verzeichnis: %ACROLINX_CONFIGURATION_ROOT%\server\certificates\untrusted\ 2. Kopieren Sie das Zertifikat in das folgende Verzeichnis: %ACROLINX_CONFIGURATION_ROOT%\server\certificates\trusted\ Die Änderungen werden sofort wirksam und der Server authentifiziert die Benutzer beim nächsten Verbindungsversuch erfolgreich. LDAP und Active Directory Sie können das LDAP-Protokoll verwenden, um Benutzer von Acrolinx bei der Verwendung von Microsoft Active Directory zu authentifizieren. Ein Installationsszenario, in dem Acrolinx Server Benutzer mit einem Active Directory authentifiziert ist auch ein gutes Beispiel dafür, wie Sie die LDAP-Einstellungen für Acrolinx allgemein konfigurieren müssen. Die folgenden Empfehlungen und Beispiele gelten für Active Directory, bieten jedoch auch eine gute Übersicht über die Konfigurationen, die in den standardmäßigen LDAP-Konfigurationen beschrieben sind. Empfehlungen Richten Sie einen eingeschränkten Benutzer in Active Directory ein, der nur lesenden Zugriff auf das Verzeichnis hat. Die Berechtigungen dieses Benutzers werden von Acrolinx Server verwendet, um das Active Directory abzufragen. Der Benutzer sollte deshalb eingeschränkten Zugriff haben, weil sein Passwort als Klartext in der Hauptserver-Eigenschaftendatei gespeichert wird. Verwenden Sie ein Active Directory-Tool, um das Verzeichnis zu durchsuchen. Eine grafische Darstellung des Verzeichnisses hilft dabei, die Verzeichnisstruktur zu verstehen und die DNs der Benutzer zu identifizieren. Beispiel: 4/7

5 Active Directory mit hervorgehobenem Distinguished Name und Suchschlüssel Die vorherige Abbildung stammt aus dem Apache LDAP Browser Plug-in in Eclipse und zeigt den LDAP-Eintrag für den Benutzer Test Case. Im Screenshot sehen Sie: 1. Den Speicherort des Benutzers in der Verzeichnisstruktur. Beachten Sie, dass die meisten Nodes im Verzeichnis mit einem Common Name (CN) angezeigt werden. Dies ist wichtig, um zu verstehen, wie DN im Verzeichnis aufgebaut sind. Die DN für Benutzer werden zusammengesetzt, indem die Kennzeichner für jeden Node im Verzeichnis kombiniert werden. So ist der Node CN=Test Case im Node CS=Users enthalten, und der Node CN=Users wiederum im Node DC=acrolinx,DC=local. Diese Kennzeichner werden dann in einer kommagetrennten Liste kombiniert, um den DN zu bilden. 2. Den DN des Benutzers Test Case. Der DN wird als Teil des Benutzereintrags dargestellt. Sie können sehen, wie die DN dem Schema CN=<COMMON_NAME>,CN=User,DC=acrolinx,DC=local entsprechen. 3. Den Base Node, in dem sich die Benutzer im Verzeichnis befinden. Bei diesem Base Node handelt es sich im Allgemeinen um den Namen der Domäne, der die Benutzer angehören, und hat den DN DC=acrolinx,DC=local, wobei DC für eine Domänenkomponente (domain component) steht. 4. Einen möglichen Kandidaten für einen Suchschlüssel. Suchschlüssel werden von den Benutzern als Acrolinx Benutzerkennung anstelle des DN eingegeben. Das Attribut mailnickname ist ein guter Kandidat, weil es kurz ist und keine Sonderzeichen enthält. Der Acrolinx Server verwendet diesen Suchschlüssel, um den DN zu erhalten und 5/7

6 leitet den DN dann zur Authentifizierung an den Verzeichnisdienst weiter. Das folgende Beispiel enthält ein Konfiguration, die auf den Informationen des oben abgebildeten Verzeichnisses basiert. Sie können dieses Beispiel verwenden, um die JAAS-Konfigurationsdatei für Ihre Umgebung zu aktualisieren. other { com.sun.security.auth.module.ldaploginmodule Requisite userprovider="ldaps://ldapserver.acrolinx.local" usessl="true" userfilter="(&(mailnickname={testcase})(objectclass=person)( (member=cn=.sales,cn=groups,dc=acrolinx,dc=local) (.Marketing,cn=groups,dc=acrolinx,dc=local)))" debug="true" java.naming.security.principal="cn=lookupuser,dc=acrolinx,dc=com" java.naming.security.credentials="m3pruhug" ; }; Beachten Sie, dass die Domäne acrolinx.local als Base Node für alle LDAP-Abfragen konfiguriert ist und über den DN dc=acrolinx,dc=local referenziert wird. Um Abfragen erfolgreich ausführen zu kommen, muss Acrolinx Server diese Domäne zu einer IP-Adresse auflösen können. Sie können sicherstellen, dass der Server das Active Directory erfolgreich abfragen kann, indem Sie die Domäne zur Liste der Domänen in der Hosts-Datei auf dem Computer hinzufügen, auf dem der Server installiert ist. Das vorangehende Beispiel enthält außerdem Filterkriterien für die Gruppenmitgliedschaft. In der Zeile userfilter sehen Sie zum Beispiel die folgenden Kriterien: ( (member=cn=.sales,cn=groups,dc=acrolinx,dc=local) (.Marketing,cn=groups,dc=acrolinx,dc=local). Diese Kriterien sorgen dafür, dass nur Benutzer der Gruppen.Sales oder.marketing auf Acrolinx zugreifen können. Konfigurieren der Authentifizierungseinstellungen Sie können die Authentifizierungseinstellungen anpassen, um einzustellen, wann die gespeicherten Zugangsdaten eines Benutzers gelöscht werden und sich der Benutzer wieder erneut anmelden muss. Wenn ein Benutzer sein Passwort erstmals eingibt, wird dieses im Authentifizierungsspeicher auf dem Acrolinx Server gespeichert. Acrolinx kann diesen Authentifizierungsspeicher verwenden, um Benutzer lokal zu authentifizieren. In diesem Fall hat Acrolinx nicht für jede Authentifizierung Kontakt zum LDAP-Server. Darüber hinaus wird für jeden Benutzer ein Authentifizierungstoken gespeichert. Acrolinx verwendet dieses Token, um Benutzer mit dem LDAP-Server zu authentifizieren, ohne die Benutzer erneut nach ihren Anmeldedaten zu fragen. Die Authentifizierungseinstellungen gelten sowohl für JAAS als auch andere, nicht mehr verwendete LDAP-Methoden. Konfigurieren des Timeouts der Authentifizierung Über die Einstellungen des Timeouts bei der Authentifizierung können Sie festlegen, wie häufig Benutzer ihre externen Authentifizierungsdaten erneut eingeben müssen, wenn sie eine Verbindung mit dem Acrolinx Server herstellen. Um zu vermeiden, dass beide Passwörter voneinander abweichen, läuft das gespeicherte Passwort automatisch nach fünf Tagen ab. Nach diesen fünf Tagen müssen Benutzer ihre Zugangsdaten erneut eingeben. Sie können diese Einstellung anpassen, wenn Sie möchten, dass Benutzer ihre Zugangsdaten häufiger eingeben müssen. So konfigurieren Sie das Timeout der Authentifizierung 1. Öffnen Sie Ihr Overlay der Hauptserver-Eigenschaftendatei. Das Overlay der Hauptserver-Eigenschaftendatei befindet sich im folgenden Verzeichnis: 6/7

7 %ACROLINX_CONFIGURATION_ROOT%\server\bin\coreserver.properties 2. Fügen Sie die folgende Eigenschaft hinzu: license.authtokenexpiretimeminutes=<minutes> Legen Sie die Zeit in Minuten fest, wie häufig Benutzer Ihre Authentifizierungsdaten eingeben müssen. Bei einem Timeout von zehn Tagen müssen Sie folgende Eigenschaft eingeben: license.authtokenexpiretimeminutes= Speichern Sie die Änderungen und starten Sie den Hauptserver neu. Konfigurieren des internen Authentifizierungs-Cache Mit dem internen Authentifizierungs-Cache wird die Anzahl der LDAP-Transaktionen verringert, die zur Authentifizierung von Benutzern notwendig sind. Dies geschieht, indem die Authentifizierungsdaten nach der ersten erfolgreichen Authentifizierung gespeichert werden. Sobald die Lebensdauer des internen Zwischenspeichers abgelaufen ist, wird der Benutzer erneut extern authentifiziert. So konfigurieren Sie den internen Authentifizierungs-Cache 1. Öffnen Sie Ihr Overlay der Hauptserver-Eigenschaftendatei. Das Overlay der Hauptserver-Eigenschaftendatei befindet sich im folgenden Verzeichnis: %ACROLINX_CONFIGURATION_ROOT%\server\bin\coreserver.properties 2. Fügen Sie die folgende Eigenschaft hinzu: authentication.external.ldap.localauthenticationlifetimeminutes=<minuten> Legen Sie die die Lebensdauer des internen Authentifizierungs-Cache fest. Beispiel: authentication.external.ldap.localauthenticationlifetimeminutes=30 Der Standardwert für die Eigenschaft authentication.external.ldap.localauthenticationlifetimeminutes sind 5 Minuten. 3. Speichern Sie die Änderungen und starten Sie den Hauptserver neu. 7/7