KACE Systems Management Appliance 14.0 Common Documents

Das Konto erfordert nur Lesezugriff auf das Feld Suchbasis-DN auf dem LDAP-Server. Das Konto benötigt keinen Schreibzugriff, da die Appliance nicht auf den LDAP-Server schreibt.

Außerdem muss das Konto ein nie ablaufendes Kennwort besitzen. Da das Kennwort nie abläuft, muss es sehr sicher sein. Der Benutzer kann das Kennwort ändern (das den entsprechenden Sicherheitsanforderungen entspricht), das Kennwort muss jedoch in der Appliance aktualisiert werden. Sie können einen Benutzernamen für das Konto vergeben, beispielsweise KACE_Login, oder versuchen, mit einer anonymen Bindung eine Verbindung zum LDAP-Server herzustellen.

LDAP-Benutzerauthentifizierung einrichten und testen

Sie können Verbindungen von der Appliance zu einem externen LDAP-Server konfigurieren und testen.

Führen Sie einen der folgenden Schritte aus:

◦

Melden Sie sich bei der Administratorkonsole der Appliance an: https://appliance_hostname/admin. Oder wählen Sie, wenn in den allgemeinen Einstellungen der Appliance die Option Organisationsmenü in Verwaltungskopfzeile anzeigen aktiviert ist, in der Dropdown-Liste oben rechts auf der Seite neben den Anmeldeinformationen eine Organisation aus.

◦

Melden Sie sich bei der Systemadministratorkonsole der Appliance an: https://appliance_hostname/system. Oder wählen Sie in der Dropdown-Liste rechts oben auf der Seite den Eintrag System aus.

Die Seite Dashboard oder System-Dashboard wird angezeigt.

Rufen Sie die Seite Authentifizierungseinstellungen auf System- oder Verwaltungsebene auf:

Klicken Sie in der linken Navigationsleiste auf Einstellungen und anschließend auf Systemsteuerung.

Klicken Sie in der Systemsteuerung im Abschnitt Benutzerauthentifizierung auf Vertrauen mit LDAP konfigurieren (nur Administratorkonsole) oder Vertrauen mit LDAP konfigurieren (nur Systemverwaltungskonsole).

Wenn Sie das lokale Administratorkonto deaktivieren möchten und als Benutzer auf Administratorebene über LDAP oder SAML angemeldet sind, wählen Sie Vertrauen mit LDAP konfigurieren.

Die Deaktivierung des integrierten Administratorkontos wirkt sich nicht auf einen vom KACE Support verwendeten Tether aus. Weitere Informationen zu dieser Funktion finden Sie unter Tether zum Support von Quest KACE aktivieren.

Wählen Sie die Option LDAP-Authentifizierung aus:

Option

Beschreibung

Lokale Authentifizierung

Lokale Authentifizierung aktivieren (Standard). Wenn die lokale Authentifizierung aktiviert ist, wird das Kennwort anhand der vorhandenen Einträge in der lokalen Datenbank unter Einstellungen > Benutzer authentifiziert.

LDAP-Authentifizierung

Aktivierung der externen Benutzerauthentifizierung über einen LDAP- oder Active Directory-Server.

Wenn LDAP-Authentifizierung aktiviert ist, wird das Kennwort über den externen LDAP-Server authentifiziert.

Hilfe zur Authentifizierung erhalten Sie unter https://support.quest.com/contact-support vom Quest Support.

Klicken Sie auf die Schaltflächen neben den Servernamen, um die folgenden Aktionen auszuführen:

Schaltfläche	Aktion
	Planung eines Benutzerimports für den Server
	Änderung der Serverdefinition. Weitere Informationen zu den Feldern in diesem Abschnitt finden Sie unter Table 5.
	Entfernen des Servers
	Änderung der Reihenfolge der Server in der Serverliste

Optional: Klicken Sie auf Neu, um einen LDAP-Server hinzuzufügen. Es kann mehr als ein LDAP-Server konfiguriert werden.

NOTE: Alle Server müssen über eine gültige IP-Adresse oder einen gültigen Hostnamen verfügen. Anderenfalls tritt bei diesem Vorgang ein Timeout auf, sodass bei der Verwendung der LDAP-Authentifizierung Verzögerungen bei der Anmeldung entstehen.

Geben Sie die folgenden Informationen an, um einen Server hinzuzufügen:

Table 5. Serverinformationen

Option

Beschreibung

Name

Der Name für die Identifizierung des Servers.

Hostname oder IP-Adresse

Die IP-Adresse oder der Hostname des LDAP-Servers. Wenn die IP-Adresse ungültig ist, wartet die Appliance auf ein Timeout, sodass bei der Verwendung der LDAP-Authentifizierung Verzögerungen bei der Anmeldung entstehen.

NOTE: Wenn die Verbindung über SSL hergestellt wird, verwenden Sie die IP-Adresse oder den Hostnamen. Beispiel: ldaps://hostname.

Port

Die LDAP-Port-Nummer, in der Regel 389 (LDAP) oder 636 (sicheres LDAP).

Basis-DN

Die Kriterien für die Suche nach Konten.

Diese Kriterien legen einen Standort oder Container in der LDAP- oder Active Directory-Struktur fest und sollten alle Benutzer umfassen, die authentifiziert werden sollen. Geben Sie eine genaue Kombination aus OUs, DCs oder CNs an, die Ihren Kriterien entsprechen, die von links (sehr genau) bis rechts (sehr allgemein) reichen. Dieser Pfad führt beispielsweise zum Container mit den Benutzern, die Sie authentifizieren müssen:

OU=end_users,DC=company,DC=com.

NOTE: Domainbenutzer ist eine spezielle Gruppe, die nicht zu den memberof-Attributwerten hinzugefügt wird. Verwenden Sie für Benutzer der Gruppe "Domainbenutzer" das folgende Format: (primaryGroupId=513).

Erweiterte Suche

Der Suchfilter. Beispiel:

(&(sAMAccountName=KBOX_USERNAME)(memberOf=CN=financial,DC=example,DC=com))

Anmeldung

Die Anmeldeinformationen, die erforderlich sind, damit die Appliance sich beim LDAP-Server anmelden und Konten lesen kann. Beispiel:

LDAP Login:CN=service_account,CN=Users,

DC=Unternehmen, DC=com.

Wenn Benutzername und Kennwort nicht angegeben werden, wird der Struktur-Lookup nicht ausgeführt.

Jedes LDAP-Label kann eine Verbindung zu einem anderen LDAP- oder Active Directory-Server herstellen.

Kennwort

Das Kennwort des Kontos, mit dem sich die Appliance beim LDAP-Server anmeldet.

Rolle

(Erforderlich) Die Rolle des Benutzers:

•

Globaler Administrator: Der Benutzer kann als Administrator mit vollständigen Lese-/Schreibberechtigungen auf die Systemverwaltungskonsole und jede Administratorkonsole der Organisation zugreifen. Er muss sich zuerst bei der Systemverwaltungskonsole und dann über die Dropdown-Liste oben rechts beim entsprechenden Konto der Organisation anmelden.

•

Administrator: Der Benutzer kann sich bei der Administratorkonsole, Benutzerkonsole oder Systemverwaltungskonsole anmelden und auf alle Funktionen zugreifen.

•

Administrator mit Leseberechtigung: Der Benutzer kann sich bei der Administratorkonsole, Benutzerkonsole oder Systemverwaltungskonsole anmelden, jedoch keine Einstellungen ändern.

•

Nur Benutzerkonsole: Der Benutzer kann sich nur bei der Benutzerkonsole anmelden. Diese Rolle ist nur in der Administratorkonsole verfügbar.

•

Kein Zugriff: Der Benutzer kann sich nicht bei der Administratorkonsole, Systemverwaltungskonsole oder Benutzerkonsole anmelden. Kein Zugriff ist die Standardrolle.

NOTE: Diese Rollen sind vordefiniert und können nicht bearbeitet werden. Sie können jedoch nach Bedarf benutzerdefinierte Rollen erstellen und bearbeiten.

NOTE: Halten Sie die Such- und Filterkriterien fest, die Sie für das Ausfüllen des Formulars verwenden. Sie benötigen dieselben Daten zum Importieren von Benutzerdaten und später für die Planung des regelmäßigen Benutzerimports.

Klicken Sie auf Speichern.

Testen Sie die Authentifizierung auf einem externen LDAP-Server wie folgt:

Wählen Sie LDAP-Authentifizierung aus.

Klicken Sie auf die Schaltfläche Bearbeiten neben dem Server, auf dem sich das zu testende Benutzerkonto befindet

Ersetzen Sie zu Testzwecken im Feld Erweiterte Suche: den Eintrag KBOX_USER durch den Benutzernamen. Die Syntax lautet sAMAccountName=username.

Geben Sie das Kennwort des Benutzers in das Feld Kennwort für Test ein.

Klicken Sie auf Testen.

Wenn der Test erfolgreich war, ist die Authentifizierung für diesen und andere Benutzer im selben LDAP-Kontainer abgeschlossen.