KACE Systems Deployment Appliance 9.2 Common Documents

Einen LDAP-Server für die Benutzerauthentifizierung konfigurieren

Für die LDAP-Authentifizierung muss auf Ihrem LDAP-Server ein Anmeldekonto für die Appliance erstellt werden. Dieses Konto dient zum Lesen und Importieren von Benutzerinformationen des LDAP-Servers durch die Appliance. Das Konto erfordert nur Lesezugriff auf das Feld Suchbasis-DN auf dem LDAP-Server. Das Konto benötigt keinen Schreibzugriff, da die Appliance nicht auf den LDAP-Server schreibt.

Weitere Informationen zum Hinzufügen von Benutzerkonten zur Appliance finden Sie unter Lokale Administratorkonten hinzufügen oder bearbeiten.

HINWEIS: Wenn LDAP aktiviert ist, werden alle lokalen Konten mit Ausnahme des Administratorkontos deaktiviert.

Beim Anmelden fragt die Appliance die aufgelisteten externen Server automatisch ab. Das Timeout für einen Server beträgt ca. 10 Sekunden. Quest KACE empfiehlt, den LDAP-Beispielserver zu löschen, um Verzögerungen bei der Anmeldung zu vermeiden.

Klicken Sie im linken Navigationsbereich auf Einstellungen und anschließend auf Benutzerauthentifizierung, um die Seite Authentifizierungseinstellungen anzuzeigen.

Wählen Sie die Option Externe LDAP-Serverauthentifizierung aus und klicken Sie anschließend auf Neuen Server hinzufügen.

Alle Server müssen eine gültige IP-Adresse oder einen gültigen Hostnamen besitzen. Andernfalls tritt für die Appliance ein Timeout auf, was wiederum Anmeldeverzögerungen bei der LDAP-Authentifizierung zur Folge hat.

Geben Sie folgende Informationen an, um einen Server hinzuzufügen:

Feld

Beschreibung

Anzeigename des Servers

Der Name des Servers.

Hostname (oder IP) des Servers

Die IP-Adresse oder der Hostname des LDAP-Servers. Wenn die IP-Adresse ungültig ist, wartet die Appliance auf ein Timeout, sodass bei der Verwendung der LDAP-Authentifizierung Verzögerungen bei der Anmeldung entstehen.

HINWEIS: Wenn die Verbindung über SSL hergestellt wird, verwenden Sie die IP-Adresse oder den Hostnamen. Beispiel: ldaps://hostname.

Ist auf Ihrem LDAP-Server ein nicht standardmäßiges SSL-Zertifikat installiert (beispielsweise ein intern signiertes Zertifikat oder ein Kettenzertifikat, das nicht von einem größeren Zertifikatanbieter wie VeriSign stammt), wenden Sie sich unter https://support.quest.com/contact-support an den technischen Support von Quest KACE.

LDAP-Port-Nummer

Die LDAP-Port-Nummer, in der Regel 389 (LDAP) oder 636 (sicheres LDAP).

Suchbasis-DN

Der Bereich der LDAP-Struktur, in dem die Appliance mit der Benutzersuche beginnen soll. Möchten Sie also beispielsweise nach der IT-Gruppe suchen, geben Sie

OU=it,DC=Unternehmen,DC=com ein.

Suchfilter

Der Suchfilter. Beispiel: LDAP_attribute=KBOX_USER, wobei LDAP_attribute den Namen des Attributs darstellt, das eine eindeutige Benutzer-ID enthält, und KBOX_USER eine Variable ist, die von der Appliance während der Laufzeit durch die von Ihnen eingegebene Anmelde-ID ersetzt wird. Geben Sie beispielsweise bei der Verwendung von Active Directory samaccountname=KBOX_USER ein. Bei den meisten anderen LDAP-Servern können Sie UID=KBOX_USER eingeben.

LDAP-Anmeldung

Die Anmeldeinformationen, die erforderlich sind, damit die Appliance sich beim LDAP-Server anmelden und Konten lesen kann. Beispiel: LDAP Login:CN=service_account,CN=Users, DC=company,DC=com. Ohne Angabe eines Benutzernamens erfolgt ein anonymer Zugriffsversuch.

LDAP-Kennwort (sofern erforderlich)

Das Kennwort des Kontos, mit dem sich die Appliance beim LDAP-Server anmeldet.

Benutzerberechtigungen

Die Benutzerberechtigungen.

•

Admin: Lese-/Schreibzugriff auf die Administratorkonsole.

•

Schreibgeschützte Verwaltung: Es können alle Seiten angezeigt, aber keine Änderungen vorgenommen werden.

Benutzerkennwort testen

Der LDAP-Benutzername und das dazugehörige Kennwort für den Test auf dem LDAP-Server. Siehe LDAP-Server testen.

Notieren Sie sich die Angaben für Suchbasis-DN und Suchfilter, da Sie diese zum Importieren von Benutzerdaten sowie zum Planen von Benutzerimporten benötigen.

Empfohlen: Klicken Sie neben externen Servern, die nicht für tatsächliche Server in Ihrer Umgebung konfiguriert sind, auf das Symbol Entfernen.

Klicken Sie auf Speichern.

Das nächste Mal, wenn sich Benutzer anmelden, werden sie bei den LDAP-Servern in der angegebenen Reihenfolge authentifiziert.

HINWEIS: Das Administratorkonto wird immer anhand der internen Datenbank authentifiziert, auch wenn in einem externen LDAP ein Konto mit dem gleichen Namen vorhanden ist.

Testen Sie die Authentifizierung auf einem externen LDAP-Server. Siehe LDAP-Server testen.

LDAP-Server testen

Sie können die LDAP-Serverauthentifizierung mit einem gültigen Benutzernamen und Kennwort testen und sich so vergewissern, dass die Authentifizierung erfolgreich ist.

Wählen Sie ein LDAP-Profil aus.

Ersetzen Sie für den Test unter Suchfilter die Variable KBOX_USER durch eine gültige Anmelde-ID. Verwenden Sie dabei folgende Syntax: samaccountname=username.

Geben Sie das entsprechende Kennwort für das LDAP-Konto ein.

Klicken Sie auf Einstellungen testen.

Wenn der Test erfolgreich war, ist die Authentifizierung für diesen und andere Benutzer im selben LDAP-Kontainer abgeschlossen.

Geben Sie unter Suchfilter wieder die Systemvariable KBOX_User an.

Benutzerkonten löschen

Sie können Benutzerkonten löschen.

Klicken Sie im linken Navigationsbereich auf Einstellungen > Systemsteuerung, um die Systemsteuerung anzuzeigen, und klicken Sie anschließend auf Benutzer, um die Seite Benutzer anzuzeigen.

Aktivieren Sie das Kontrollkästchen neben einem oder mehreren Konten.

Wählen Sie Aktion auswählen > Löschen.

Klicken Sie zur Bestätigung auf Ja.