Guide
Guide
Sem fornecedor de identidade, apenas um diretório OpenLDAP ou Active Directory: os seus utilizadores entram com o utilizador e a palavra-passe da organização.
O SpotBooker verifica o utilizador e a palavra-passe junto do seu diretório e aplica depois as mesmas regras de entrada que os inícios de sessão Microsoft e SAML. A palavra-passe nunca é guardada. O início de sessão LDAP está incluído na subscrição e disponível durante o teste gratuito. Só os administradores do seu espaço o configuram, com o serviço informático.
| É preciso | Porquê |
|---|---|
| Um diretório em LDAPS ou StartTLS | A ligação sem cifra não é proposta: as palavras-passe passariam legíveis. O certificado do servidor é sempre verificado; por isso o nome do servidor tem de corresponder ao certificado. |
| Um diretório acessível a partir da Internet | O SpotBooker liga-se ao seu diretório a partir do endereço 178.128.162.107: autorize-o na sua firewall, na porta escolhida. Os endereços privados ou reservados (10.x, 192.168.x, localhost…) são recusados. |
| Uma conta de serviço só de leitura | Serve para encontrar a pessoa no diretório antes de verificar a palavra-passe. Não são usadas pesquisas anónimas. |
| Um endereço de email em cada conta | O SpotBooker identifica e avisa as pessoas pelo endereço (atributo mail por predefinição). Uma conta sem endereço não pode entrar. |
Apenas o nome do servidor, sem ldap:// nem porta; vários servidores separados por vírgulas são tentados por ordem. Escolha a cifra, LDAPS (porta 636) ou StartTLS (porta 389), e ajuste a porta se necessário. Cole o certificado da autoridade (PEM) apenas se o certificado do seu diretório for assinado por uma autoridade interna.
O DN e a palavra-passe. A palavra-passe é cifrada ao guardar e nunca volta a ser mostrada; deixe o campo vazio para manter a que está guardada.
A base de pesquisa, por exemplo ou=people,dc=instituto,dc=pt, e o filtro de utilizadores: (objectClass=person) por predefinição. Para reservar o acesso a um grupo: (&(objectClass=person)(memberOf=cn=spotbooker,ou=groups,dc=instituto,dc=pt)). Escolha por fim o que os seus utilizadores escrevem: uid (OpenLDAP), sAMAccountName ou userPrincipalName, o endereço de início de sessão (Active Directory).
« Testar a ligação » experimenta o que está no ecrã, sem o guardar: contacta o servidor, liga-se com a conta de serviço e conta os utilizadores que o filtro retém. Em caso de falha, a mensagem diz que passo bloqueia.
Os nomes habituais são reconhecidos de imediato: objectGUID ou entryUUID para o identificador estável, mail, givenName, sn e memberOf. Preencha a correspondência de atributos apenas se o seu diretório usar outros.
Tal como no SAML, os domínios de email aceites limitam o acesso a esses endereços, permitem aos seus utilizadores encontrar a sua organização a partir da página de início de sessão e associar uma conta SpotBooker existente. Com a admissão automática, qualquer pessoa do diretório entra sem direitos de administração; sem ela, cada primeiro início de sessão deixa um pedido de acesso. Estas definições são próprias do LDAP. A descoberta a partir da página de início de sessão, a ligação de contas existentes e a admissão automática só se aplicam depois de o domínio estar provado (veja «Provar os seus domínios» mais abaixo).
Faça corresponder o DN de um grupo do diretório, tal como aparece em memberOf, a um grupo SpotBooker. Em cada início de sessão, o utilizador entra nos grupos correspondentes e sai dos outros. Só conta a pertença direta: os grupos aninhados do Active Directory não são seguidos.
Ative e guarde. Na página de início de sessão, os seus utilizadores escolhem « Iniciar sessão com a sua organização » e escrevem o endereço (ou o domínio): abre-se um formulário de utilizador e palavra-passe com o nome da sua organização. Também lhes pode dar a ligação de início de sessão direto apresentada nas definições.
Um domínio que declara filtra os endereços assim que é guardado. Para que também encontre a sua organização a partir da página de início de sessão, certifique os endereços e admita automaticamente, tem de provar que lhe pertence. Sem essa prova, qualquer espaço poderia reivindicar o seu domínio. A prova vale para o domínio exato: institut.fr não abrange labo.institut.fr, que se declara e se prova à parte.
Sob o campo dos domínios, cada domínio guardado mostra o seu registo: tipo TXT, valor spotbooker-verification=….
O seu serviço informático adiciona-o no próprio domínio (por exemplo institut.fr) ou, se preferir, em _spotbooker.institut.fr. Pode ficar: o SpotBooker volta a verificá-lo todos os dias.
Clique em «Verificar agora». Caso contrário, o SpotBooker procura-o sozinho a cada 15 minutos durante 14 dias. Um domínio é verificado por um único espaço: se já o estiver noutro, contacte o suporte. Se o registo desaparecer 7 dias seguidos, a verificação é retirada e os seus administradores são avisados por e-mail.
| O que vê | O que fazer |
|---|---|
| « Não é possível contactar o diretório: … » | O resto da mensagem indica a causa. O mais frequente: nome de servidor errado, firewall que bloqueia 178.128.162.107, porta ou cifra incorretas, certificado não reconhecido (cole o certificado da autoridade) ou cujo nome não corresponde, endereço privado recusado. |
| « O servidor responde, mas recusa a conta de serviço » | Verifique o DN completo da conta de serviço e a palavra-passe, e que a conta não está bloqueada nem expirada. |
| « A conta de serviço é aceite, mas a pesquisa falha » | A base de pesquisa não existe ou a conta não tem direito de a ler, ou o diretório recusa o filtro. A resposta do diretório segue a mensagem. |
| « Ligação bem-sucedida, mas nenhum utilizador corresponde ao filtro » | A base é demasiado estreita ou o filtro exclui toda a gente. Alargue a base ou verifique o DN do grupo no filtro. |
| « Utilizador ou palavra-passe incorretos », embora o teste funcione | Por segurança, esta mensagem é a mesma para qualquer falha antes da verificação da palavra-passe: palavra-passe errada, pessoa fora da base ou do filtro, utilizador que corresponde a duas entradas, atributo de utilizador errado (sAMAccountName em vez de userPrincipalName, por exemplo), conta sem endereço de email. Se tudo parecer certo, escreva-nos indicando a hora da tentativa. |
| « Demasiadas tentativas. Tente novamente dentro de … min. » | Demasiadas falhas com este utilizador: aguarde o tempo indicado antes de tentar de novo. |
| « O início de sessão com o diretório da sua organização não está disponível » | O início de sessão está desativado ou incompleto, ou o teste gratuito terminou sem subscrição. As suas definições são mantidas. |
| « A sua conta não está autorizada… » ou « Já existe uma conta com este endereço… » | As mesmas causas que no SAML: endereço fora dos seus domínios ou já usado noutro espaço SpotBooker, pedido de acesso recusado, ou conta existente que o SpotBooker só associa se o seu domínio constar dos domínios aceites. |
| « Falta a extensão LDAP no servidor » | O início de sessão LDAP ainda não está aberto do nosso lado. Prepare a configuração: aplicar-se-á logo que abrir. Escreva-nos se precisar. |