Guide
Guide
Pas de fournisseur d'identité, seulement un annuaire OpenLDAP ou Active Directory : vos utilisateurs entrent avec leur identifiant et leur mot de passe d'établissement.
SpotBooker vérifie l'identifiant et le mot de passe auprès de votre annuaire, puis applique les mêmes règles d'entrée que les connexions Microsoft et SAML. Le mot de passe n'est jamais conservé. La connexion LDAP est incluse dans l'abonnement et disponible pendant l'essai gratuit. Seuls les administrateurs de votre espace la configurent, avec votre service informatique.
| Il faut | Pourquoi |
|---|---|
| Un annuaire en LDAPS ou en StartTLS | La connexion en clair n'est pas proposée : les mots de passe y passeraient lisibles. Le certificat du serveur est toujours vérifié ; le nom du serveur doit donc correspondre à son certificat. |
| Un annuaire joignable depuis Internet | SpotBooker joint votre annuaire depuis l'adresse 178.128.162.107 : autorisez-la dans votre pare-feu, sur le port choisi. Les adresses privées ou réservées (10.x, 192.168.x, localhost…) sont refusées. |
| Un compte de service en lecture seule | Il sert à retrouver la personne dans l'annuaire avant de vérifier son mot de passe. Les recherches anonymes ne sont pas utilisées. |
| Une adresse e-mail sur chaque compte | SpotBooker identifie et prévient les personnes par leur adresse (attribut mail par défaut). Un compte sans adresse ne peut pas entrer. |
Le nom du serveur seul, sans ldap:// ni port ; plusieurs serveurs séparés par des virgules sont essayés dans l'ordre. Choisissez le chiffrement, LDAPS (port 636) ou StartTLS (port 389), et ajustez le port si besoin. Collez le certificat de l'autorité (PEM) seulement si le certificat de votre annuaire est signé par une autorité interne.
Son DN et son mot de passe. Le mot de passe est chiffré à l'enregistrement et jamais réaffiché ; laissez le champ vide pour conserver celui qui est enregistré.
La base de recherche, par exemple ou=people,dc=institut,dc=fr, et le filtre des utilisateurs : (objectClass=person) par défaut. Pour réserver l'accès à un groupe : (&(objectClass=person)(memberOf=cn=spotbooker,ou=groups,dc=institut,dc=fr)). Choisissez enfin ce que vos utilisateurs tapent : uid (OpenLDAP), sAMAccountName ou userPrincipalName, l'adresse de connexion (Active Directory).
« Tester la connexion » essaie ce qui est à l'écran, sans l'enregistrer : il joint le serveur, se connecte avec le compte de service et compte les utilisateurs que le filtre retient. En cas d'échec, le message dit quelle étape bloque.
Les noms usuels sont reconnus d'office : objectGUID ou entryUUID pour l'identifiant stable, mail, givenName, sn et memberOf. Ne remplissez la correspondance des attributs que si votre annuaire en emploie d'autres.
Comme pour SAML, les domaines d'adresse acceptés limitent l'accès à ces adresses, permettent à vos utilisateurs de retrouver votre établissement depuis la page de connexion et de relier un compte SpotBooker existant. Avec l'admission automatique, toute personne de l'annuaire entre sans droit d'administration ; sans elle, chaque première connexion dépose une demande d'accès. Ces réglages sont propres à LDAP. La découverte depuis la page de connexion, le rattachement des comptes existants et l'admission automatique n'interviennent qu'une fois le domaine prouvé (voir « Prouver vos domaines » plus bas).
Faites correspondre le DN d'un groupe de l'annuaire, tel qu'il apparaît dans memberOf, à un groupe SpotBooker. À chaque connexion, l'utilisateur rejoint les groupes correspondants et quitte les autres. Seule l'appartenance directe compte : les groupes imbriqués d'Active Directory ne sont pas suivis.
Activez et enregistrez. Sur la page de connexion, vos utilisateurs choisissent « Connexion avec votre établissement » et tapent leur adresse (ou le domaine) : un formulaire identifiant et mot de passe s'ouvre au nom de votre établissement. Vous pouvez aussi leur donner le lien de connexion direct affiché dans les réglages.
Un domaine que vous déclarez filtre les adresses dès l'enregistrement. Pour qu'il retrouve aussi votre établissement depuis la page de connexion, atteste les adresses et admette automatiquement, il faut prouver qu'il vous appartient. Sans cette preuve, n'importe quel espace pourrait revendiquer votre domaine. La preuve vaut pour le domaine exact : institut.fr ne couvre pas labo.institut.fr, qui se déclare et se prouve à part.
Sous le champ des domaines, chaque domaine enregistré affiche son enregistrement : type TXT, valeur spotbooker-verification=….
Votre service informatique l'ajoute sur le domaine lui-même (par exemple institut.fr) ou, s'il préfère, sur _spotbooker.institut.fr. Il peut rester en place : SpotBooker le revérifie chaque jour.
Cliquez sur « Vérifier maintenant ». Sinon, SpotBooker le cherche seul toutes les 15 minutes pendant 14 jours. Un domaine est vérifié par un seul espace : s'il l'est déjà ailleurs, contactez le support. Si l'enregistrement disparaît 7 jours de suite, la vérification est retirée et vos administrateurs sont prévenus par e-mail.
| Ce que vous voyez | Que faire |
|---|---|
| « Impossible de joindre l'annuaire : … » | La suite du message précise la cause. Le plus souvent : nom de serveur erroné, pare-feu qui bloque 178.128.162.107, mauvais port ou chiffrement, certificat non reconnu (collez le certificat de l'autorité) ou dont le nom ne correspond pas, adresse privée refusée. |
| « Le serveur répond, mais refuse le compte de service » | Vérifiez le DN complet du compte de service et son mot de passe, et que le compte n'est ni verrouillé ni expiré. |
| « Le compte de service est accepté, mais la recherche échoue » | La base de recherche n'existe pas ou le compte n'a pas le droit de la lire, ou le filtre est refusé par l'annuaire. La réponse de l'annuaire suit le message. |
| « Connexion réussie, mais aucun utilisateur ne répond au filtre » | La base est trop étroite ou le filtre écarte tout le monde. Élargissez la base, ou vérifiez le DN du groupe dans le filtre. |
| « Identifiant ou mot de passe incorrect », alors que le test réussit | Par sécurité, ce message est le même pour tout échec avant la vérification du mot de passe : mauvais mot de passe, personne hors de la base ou du filtre, identifiant qui correspond à deux entrées, mauvais attribut d'identifiant (sAMAccountName au lieu de userPrincipalName, par exemple), compte sans adresse e-mail. Si tout semble juste, écrivez-nous en indiquant l'heure de l'essai. |
| « Trop de tentatives. Réessayez dans … min. » | Trop d'échecs pour cet identifiant : attendez le délai indiqué avant de réessayer. |
| « La connexion par l'annuaire de votre établissement n'est pas disponible » | La connexion est désactivée ou incomplète, ou l'essai gratuit s'est terminé sans abonnement. Vos réglages sont conservés. |
| « Votre compte n'est pas autorisé… » ou « Un compte existe déjà avec cette adresse… » | Mêmes causes qu'en SAML : adresse hors de vos domaines ou déjà utilisée dans un autre espace SpotBooker, demande d'accès refusée, ou compte existant que SpotBooker ne relie que si son domaine figure dans vos domaines acceptés. |
| « Extension LDAP absente sur le serveur » | La connexion LDAP n'est pas encore ouverte de notre côté. Préparez la configuration : elle s'appliquera dès son ouverture. Écrivez-nous si vous en avez besoin. |