Guide
Guide
Sin proveedor de identidad, solo un directorio OpenLDAP o Active Directory: sus usuarios entran con el usuario y la contraseña de su organización.
SpotBooker comprueba el usuario y la contraseña con su directorio y después aplica las mismas reglas de entrada que los inicios de sesión de Microsoft y SAML. La contraseña nunca se guarda. El inicio de sesión LDAP está incluido en la suscripción y disponible durante la prueba gratuita. Solo los administradores de su espacio lo configuran, con su servicio informático.
| Necesita | Por qué |
|---|---|
| Un directorio en LDAPS o StartTLS | No se ofrece la conexión sin cifrar: las contraseñas viajarían legibles. El certificado del servidor siempre se comprueba; por eso el nombre del servidor debe coincidir con su certificado. |
| Un directorio accesible desde Internet | SpotBooker se conecta a su directorio desde la dirección 178.128.162.107: autorícela en su cortafuegos, en el puerto elegido. Se rechazan las direcciones privadas o reservadas (10.x, 192.168.x, localhost…). |
| Una cuenta de servicio de solo lectura | Sirve para encontrar a la persona en el directorio antes de comprobar su contraseña. No se usan búsquedas anónimas. |
| Una dirección de correo en cada cuenta | SpotBooker identifica y avisa a las personas por su dirección (atributo mail por defecto). Una cuenta sin dirección no puede entrar. |
Solo el nombre del servidor, sin ldap:// ni puerto; varios servidores separados por comas se prueban en orden. Elija el cifrado, LDAPS (puerto 636) o StartTLS (puerto 389), y ajuste el puerto si hace falta. Pegue el certificado de la autoridad (PEM) solo si el certificado de su directorio está firmado por una autoridad interna.
Su DN y su contraseña. La contraseña se cifra al guardar y nunca vuelve a mostrarse; deje el campo vacío para conservar la guardada.
La base de búsqueda, por ejemplo ou=people,dc=instituto,dc=es, y el filtro de usuarios: (objectClass=person) por defecto. Para reservar el acceso a un grupo: (&(objectClass=person)(memberOf=cn=spotbooker,ou=groups,dc=instituto,dc=es)). Elija por último lo que escriben sus usuarios: uid (OpenLDAP), sAMAccountName o userPrincipalName, la dirección de inicio de sesión (Active Directory).
« Probar la conexión » prueba lo que está en pantalla, sin guardarlo: contacta con el servidor, se conecta con la cuenta de servicio y cuenta los usuarios que el filtro retiene. Si falla, el mensaje indica qué paso bloquea.
Los nombres habituales se reconocen de entrada: objectGUID o entryUUID para el identificador estable, mail, givenName, sn y memberOf. Rellene la correspondencia de atributos solo si su directorio usa otros.
Como en SAML, los dominios de correo aceptados limitan el acceso a esas direcciones, permiten a sus usuarios encontrar su organización desde la página de inicio de sesión y vincular una cuenta SpotBooker existente. Con la admisión automática, cualquier persona del directorio entra sin derechos de administración; sin ella, cada primer inicio de sesión deja una solicitud de acceso. Estos ajustes son propios de LDAP. El descubrimiento desde la página de inicio de sesión, la vinculación de cuentas existentes y la admisión automática solo se aplican una vez probado el dominio (vea «Probar sus dominios» más abajo).
Haga corresponder el DN de un grupo del directorio, tal como aparece en memberOf, con un grupo de SpotBooker. En cada inicio de sesión, el usuario se une a los grupos correspondientes y sale de los demás. Solo cuenta la pertenencia directa: no se siguen los grupos anidados de Active Directory.
Active y guarde. En la página de inicio de sesión, sus usuarios eligen « Iniciar sesión con su organización » y escriben su dirección (o el dominio): se abre un formulario de usuario y contraseña con el nombre de su organización. También puede darles el enlace de inicio de sesión directo que aparece en los ajustes.
Un dominio que declara filtra las direcciones en cuanto se guarda. Para que además encuentre su organización desde la página de inicio de sesión, certifique las direcciones y admita automáticamente, debe probar que le pertenece. Sin esa prueba, cualquier espacio podría reclamar su dominio. La prueba vale para el dominio exacto: institut.fr no cubre labo.institut.fr, que se declara y se prueba por separado.
Bajo el campo de dominios, cada dominio guardado muestra su registro: tipo TXT, valor spotbooker-verification=….
Su servicio informático lo añade en el propio dominio (por ejemplo institut.fr) o, si lo prefiere, en _spotbooker.institut.fr. Puede quedarse: SpotBooker lo vuelve a comprobar cada día.
Haga clic en «Verificar ahora». Si no, SpotBooker lo busca solo cada 15 minutos durante 14 días. Un dominio lo verifica un solo espacio: si ya lo está en otro, contacte con el soporte. Si el registro desaparece 7 días seguidos, se retira la verificación y sus administradores reciben un aviso por correo.
| Lo que ve | Qué hacer |
|---|---|
| « No se puede contactar con el directorio: … » | El resto del mensaje indica la causa. Lo más habitual: nombre de servidor erróneo, cortafuegos que bloquea 178.128.162.107, puerto o cifrado incorrectos, certificado no reconocido (pegue el certificado de la autoridad) o cuyo nombre no coincide, dirección privada rechazada. |
| « El servidor responde, pero rechaza la cuenta de servicio » | Compruebe el DN completo de la cuenta de servicio y su contraseña, y que la cuenta no esté bloqueada ni caducada. |
| « La cuenta de servicio se acepta, pero la búsqueda falla » | La base de búsqueda no existe o la cuenta no tiene derecho a leerla, o el directorio rechaza el filtro. La respuesta del directorio sigue al mensaje. |
| « Conexión correcta, pero ningún usuario corresponde al filtro » | La base es demasiado estrecha o el filtro excluye a todo el mundo. Amplíe la base o compruebe el DN del grupo en el filtro. |
| « Usuario o contraseña incorrectos », aunque la prueba funciona | Por seguridad, este mensaje es el mismo para cualquier fallo antes de comprobar la contraseña: contraseña errónea, persona fuera de la base o del filtro, usuario que corresponde a dos entradas, atributo de usuario equivocado (sAMAccountName en lugar de userPrincipalName, por ejemplo), cuenta sin dirección de correo. Si todo parece correcto, escríbanos indicando la hora del intento. |
| « Demasiados intentos. Vuelva a intentarlo dentro de … min. » | Demasiados fallos con este usuario: espere el tiempo indicado antes de volver a intentarlo. |
| « El inicio de sesión con el directorio de su organización no está disponible » | El inicio de sesión está desactivado o incompleto, o la prueba gratuita terminó sin suscripción. Sus ajustes se conservan. |
| « Su cuenta no está autorizada… » o « Ya existe una cuenta con esta dirección… » | Las mismas causas que en SAML: dirección fuera de sus dominios o ya usada en otro espacio SpotBooker, solicitud de acceso rechazada, o cuenta existente que SpotBooker solo vincula si su dominio figura en sus dominios aceptados. |
| « Falta la extensión LDAP en el servidor » | El inicio de sesión LDAP aún no está abierto por nuestra parte. Prepare la configuración: se aplicará en cuanto se abra. Escríbanos si lo necesita. |