Синхронизация и авторизация с LDAP - История изменений

AZykov в 16:05, 17 сентября 2025

2025-09-17T16:05:52Z

AZykov: /* Общая информация */

2025-09-17T16:02:58Z

Общая информация

← Предыдущая версия		Версия от 16:02, 17 сентября 2025
Строка 1:		Строка 1:
			<syntaxhighlight lang="php">
			Оценка трудоемкости:

			Базовая настройка - 2 часа

			Настройка со сложной логикой распределения прав - 10 часов
			</syntaxhighlight>

	= Общая информация =		= Общая информация =
	В рамках данной статьи будет рассмотрен подход к реализации интегарции с Active Directory по протоколу LDAP.		В рамках данной статьи будет рассмотрен подход к реализации интегарции с Active Directory по протоколу LDAP.

AZykov: /* Общая информация */

2025-09-17T16:01:25Z

Общая информация

← Предыдущая версия		Версия от 16:01, 17 сентября 2025
Строка 13:		Строка 13:

	Для удобства работы, подготовлены шаблоны этих сценариев:		Для удобства работы, подготовлены шаблоны этих сценариев:
	~~вставить шаблоны~~		[[:Файл:Ldap auth template.zip]]

			[[:Файл:Ldap sync template.zip]]

	= Загрузка пользователей из AD =		= Загрузка пользователей из AD =

AZykov: /* Настройка исполнения интеграции по расписанию */

2025-09-17T15:58:22Z

Настройка исполнения интеграции по расписанию

@@ Строка 20: / Строка 20: @@
 === Получение списка пользователей ===
 Сценарий загрузки пользователей представляет собой обращение к LDAP, получение списка пользователей по определенному фильтру и дальнейшую обработку данных в цикле.
 В качестве действия выбирается поиск, а в качестве объекта пользователи домена:
@@ Строка 116: / Строка 118: @@
 Частота исполнения интеграции указывается в секундах, и зависит от конкретных требований к системе.
 [[Категория:Практика]]
 [[Категория:Администрирование]]

AZykov: /* Создание пользователя платформы */

2025-09-17T15:31:52Z

Создание пользователя платформы

← Предыдущая версия		Версия от 15:31, 17 сентября 2025
Строка 104:		Строка 104:
	\},		\},
	\}		\}
	</syntaxhighlight>Данный шаблон заполняется параметрами, прочитанными из данных LDAP. С помощью него можно заранее задать необходимые роли пользователю, указать его email, номер телефона и другие данные.		</syntaxhighlight>Данный шаблон заполняется параметрами, прочитанными из данных LDAP. С помощью него можно заранее задать необходимые роли пользователю, указать его email, номер телефона и другие данные.<blockquote>Так же, при создании пользователя ему генерируется внутренний пароль. Данный пароль не будет использоваться для входа, и не сохраняется. Он необходим только для прохождения стандартной проверки при создании пользователя.</blockquote>На данном этапе часто необходима проектная доработка - возможно создание пользователей с различными правами, в зависимости от данных из AD, возможна реализация обновления прав пользователей при переходе из группы в группу. Список возможных усложнений процесса достаточно обширный, для любых подобных доработок можно использовать существующий шаблон сценария.
	Так же, при создании пользователя ему генерируется внутренний пароль. Данный пароль не будет использоваться для входа, и не сохраняется. Он необходим только для прохождения стандартной проверки при создании пользователя.
	На данном этапе часто необходима проектная доработка - возможно создание пользователей с различными правами, в зависимости от данных из AD, возможна реализация обновления прав пользователей при переходе из группы в группу. Список возможных усложнений процесса достаточно обширный, для любых подобных доработок можно использовать существующий шаблон сценария.

	=== Логирование и отладка ===		=== Логирование и отладка ===

AZykov: /* Логирование и отладка */

2025-09-17T15:31:19Z

Логирование и отладка

← Предыдущая версия		Версия от 15:31, 17 сентября 2025
Строка 112:		Строка 112:

	Для удобства ручной отладки, можно переключить каждый компонент логирования в режим отправки уведомлений пользователю.		Для удобства ручной отладки, можно переключить каждый компонент логирования в режим отправки уведомлений пользователю.

			=== Настройка исполнения интеграции по расписанию ===
			[[Файл:Настройка задачи для интеграции с Active Directory.png\|мини\|Настройка задачи для интеграции с Active Directory]]
			Для того, чтобы новые пользователи добавлялись в систему оперативно, необходимо настроить автоматический запуск интеграции. Для этого в приложении Настройки, в разделе Задачи необходимо создать новую запись, запускающую созданный сценарий.

			Частота исполнения интеграции указывается в секундах, и зависит от конкретных требований к системе.
	[[Категория:Практика]]		[[Категория:Практика]]
	[[Категория:Администрирование]]		[[Категория:Администрирование]]

AZykov: /* Проверка групп пользователя */

2025-09-17T15:28:02Z

Проверка групп пользователя

@@ Строка 60: / Строка 60: @@
 Данный этап можно дополнительно кастомизировать и проверять несколько групп, в зависимости от чего в дальнейшем выдавать пользователям различные роли и права.
 [[Категория:Практика]]
 [[Категория:Администрирование]]

AZykov: /* Загрузка пользователей из AD */

2025-09-17T15:08:11Z

Загрузка пользователей из AD

← Предыдущая версия		Версия от 15:08, 17 сентября 2025
Строка 16:		Строка 16:

	= Загрузка пользователей из AD =		= Загрузка пользователей из AD =
	[[Файл:Сценарий загрузки пользователей из Active Directory.png\|центр\|1318x1318px\|мини]]		[[Файл:Сценарий загрузки пользователей из Active Directory.png\|центр\|1318x1318px\|мини]]Каждый из важных этапов обработки помечен комментарием. Каждый из этих шагов рекомендуется настроить под свои нужды.[[Файл:Получение списка пользователей по LDAP.png\|мини\|Получение списка пользователей по LDAP]]
	[[Файл:Получение списка пользователей по LDAP.png\|мини\|Получение списка пользователей по LDAP]]


			=== Получение списка пользователей ===
	Сценарий загрузки пользователей представляет собой обращение к LDAP, получение списка пользователей по определенному фильтру и дальнейшую обработку данных в цикле.		Сценарий загрузки пользователей представляет собой обращение к LDAP, получение списка пользователей по определенному фильтру и дальнейшую обработку данных в цикле.

Строка 53:		Строка 52:

	Полное описание работы компонента LDAP можно найти в [[Компоненты работы с данными#LDAP-интеграция\|курсе по разработке]].		Полное описание работы компонента LDAP можно найти в [[Компоненты работы с данными#LDAP-интеграция\|курсе по разработке]].

			После получения данных в компоненте LDAP, происходит обработка резульата в цикле.

			=== Проверка групп пользователя ===
			[[Файл:Проверка наличия группы у пользователя.png\|мини\|365x365пкс\|Проверка наличия группы у пользователя]]
			Для каждого пользователя из списка необходимо проверить, включен ли он в группу пользователей платформы Эра. Для этого используется поиск подстроки в атрибуте memberOf.

			Данный этап можно дополнительно кастомизировать и проверять несколько групп, в зависимости от чего в дальнейшем выдавать пользователям различные роли и права.
	[[Категория:Практика]]		[[Категория:Практика]]
	[[Категория:Администрирование]]		[[Категория:Администрирование]]

AZykov: /* Загрузка пользователей из AD */

2025-09-17T15:03:14Z

Загрузка пользователей из AD

@@ Строка 17: / Строка 17: @@
 = Загрузка пользователей из AD =
 [[Файл:Сценарий загрузки пользователей из Active Directory.png|центр|1318x1318px|мини]]
-выфвфы
+Сценарий загрузки пользователей представляет собой обращение к LDAP, получение списка пользователей по определенному фильтру и дальнейшую обработку данных в цикле.
 [[Категория:Практика]]
 [[Категория:Администрирование]]

AZykov: /* Загрузка пользователей из AD */

2025-09-17T13:27:56Z

Загрузка пользователей из AD

← Предыдущая версия		Версия от 13:27, 17 сентября 2025
Строка 16:		Строка 16:

	= Загрузка пользователей из AD =		= Загрузка пользователей из AD =
	[[Файл:Сценарий загрузки пользователей из Active Directory.png\|центр\|~~безрамки~~\|~~1335x1335пкс~~]]		[[Файл:Сценарий загрузки пользователей из Active Directory.png\|центр\|1318x1318px\|мини]]

← Предыдущая версия		Версия от 16:05, 17 сентября 2025
Строка 8:		Строка 8:

	= Общая информация =		= Общая информация =
	В рамках данной статьи будет рассмотрен подход к реализации ~~интегарции~~ с Active Directory по протоколу LDAP.		В рамках данной статьи будет рассмотрен подход к реализации интеграции с Active Directory по протоколу LDAP.

	Так же будут рассмотрены два основных кейса данной интеграции:		Так же будут рассмотрены два основных кейса данной интеграции:
Строка 16:		Строка 16:
	Работа с LDAP в рамках платформы выполняется с помощью [[Принципы работы служебных сценариев\|служебных сценариев]], и в частности, [[Компоненты работы с данными#LDAP-интеграция\|компонента LDAP-интеграция]].		Работа с LDAP в рамках платформы выполняется с помощью [[Принципы работы служебных сценариев\|служебных сценариев]], и в частности, [[Компоненты работы с данными#LDAP-интеграция\|компонента LDAP-интеграция]].

	Для синхронизации списка пользователей создается '''служебный сценарий''', который получает список пользователей из AD с ~~определнным~~ фильтром, и создает/обновляет пользователей соответствующего домена платформы. С помощью '''Задачи''' (svctask) данный сценарий настраивается на выполнение по расписанию.		Для синхронизации списка пользователей создается '''служебный сценарий''', который получает список пользователей из AD с определенным фильтром, и создает/обновляет пользователей соответствующего домена платформы. С помощью '''Задачи''' (svctask) данный сценарий настраивается на выполнение по расписанию.

	Для авторизации пользователя создается сценарий авторизации, который принимает авторизационные данные пользователя, выполняет запрос к AD и возвращает результат авторизации.		Для авторизации пользователя создается сценарий авторизации, который принимает авторизационные данные пользователя, выполняет запрос к AD и возвращает результат авторизации.
Строка 65:		Строка 65:
	Полное описание работы компонента LDAP можно найти в [[Компоненты работы с данными#LDAP-интеграция\|курсе по разработке]].		Полное описание работы компонента LDAP можно найти в [[Компоненты работы с данными#LDAP-интеграция\|курсе по разработке]].

	После получения данных в компоненте LDAP, происходит обработка ~~резульата~~ в цикле.		После получения данных в компоненте LDAP, происходит обработка результата в цикле.

	=== Проверка групп пользователя ===		=== Проверка групп пользователя ===
Строка 77:		Строка 77:
	Перед созданием нового пользователя с помощью интеграции, необходимо осуществить его поиск для предотвращения создания дублей. Поиск выполняется с помощью компонента Операции с типом CRUD в домене, к типу объекта user. Простейший фильтр выглядит следующим образом:		Перед созданием нового пользователя с помощью интеграции, необходимо осуществить его поиск для предотвращения создания дублей. Поиск выполняется с помощью компонента Операции с типом CRUD в домене, к типу объекта user. Простейший фильтр выглядит следующим образом:
	'["equal",["property","login"],["const",'+ [username] +']]'		'["equal",["property","login"],["const",'+ [username] +']]'
	При необходимости, можно ~~осущетвлять~~ поиск по идентификатору из AD (objectGUID), сохраняя его при создании пользователя.		При необходимости, можно осуществлять поиск по идентификатору из AD (objectGUID), сохраняя его при создании пользователя.

	=== Создание пользователя платформы ===		=== Создание пользователя платформы ===
Строка 119:		Строка 119:

	=== Логирование и отладка ===		=== Логирование и отладка ===
	На каждом из шагов сценария реализовано логирование промежуточных результатов. Для того что избежать "захламления логов", по умолчанию логируются только исключения, операции по созданию новых пользователей, а ~~так же~~ начало и окончание процесса интеграции.		На каждом из шагов сценария реализовано логирование промежуточных результатов. Для того что избежать "захламления логов", по умолчанию логируются только исключения, операции по созданию новых пользователей, а также начало и окончание процесса интеграции.

	Для удобства ручной отладки, можно переключить каждый компонент логирования в режим отправки уведомлений пользователю.		Для удобства ручной отладки, можно переключить каждый компонент логирования в режим отправки уведомлений пользователю.
Строка 147:		Строка 147:
	Первым шагом сценария является получение авторизационных данных из входящих параметров. Получение делается с помощью функции startparam(1), startparam(2) и т.д.		Первым шагом сценария является получение авторизационных данных из входящих параметров. Получение делается с помощью функции startparam(1), startparam(2) и т.д.

	'''Важно понимать''', что первым параметром, в качестве домена придет домен платформы, а не Active Directory. Пользователи при логине так же должны указывать именно домен платформы. Непосредственно имя домена, в котором необходимо осуществить авторизацию пользователя через LDAP, необходимо либо указывать статично в компоненте запроса, либо осуществлять сопоставление имени домена платформы эра с определенным доменом Active Directory.<blockquote>Например, если пользователь работает в домене платформы era.example.com, то при использовании интеграции с AD он ~~так же~~ должен вводить правильный домен era.example.com, а уже в сценарии авторизации, в запросе должен использоваться корневой домен AD - example.com.</blockquote>~~Так же~~, по умолчанию задается негативный результат ~~авториации~~.		'''Важно понимать''', что первым параметром, в качестве домена придет домен платформы, а не Active Directory. Пользователи при логине так же должны указывать именно домен платформы. Непосредственно имя домена, в котором необходимо осуществить авторизацию пользователя через LDAP, необходимо либо указывать статично в компоненте запроса, либо осуществлять сопоставление имени домена платформы эра с определенным доменом Active Directory.<blockquote>Например, если пользователь работает в домене платформы era.example.com, то при использовании интеграции с AD он также должен вводить правильный домен era.example.com, а уже в сценарии авторизации, в запросе должен использоваться корневой домен AD - example.com.</blockquote>Также, по умолчанию задается негативный результат авторизации.

	=== Запрос авторизации через LDAP ===		=== Запрос авторизации через LDAP ===
	[[Файл:Запрос авторизации через LDAP.png\|мини\|Запрос авторизации через LDAP]]		[[Файл:Запрос авторизации через LDAP.png\|мини\|Запрос авторизации через LDAP]]
	Сам запрос авторизации выполняется по аналогии с получением списка пользователей, однако в данном случае выбирается ~~дейтсвие~~ "Авторизовать", а вместо пользователя с административными правами, передаются данные пользователя, переданные в сценарий как параметры.		Сам запрос авторизации выполняется по аналогии с получением списка пользователей, однако в данном случае выбирается действие "Авторизовать", а вместо пользователя с административными правами, передаются данные пользователя, переданные в сценарий как параметры.

	Данный компонент имеет две ветки - при успешной авторизации и при неуспешной. В случае успешной авторизации устанавливается значение переменной result=1, а при неуспешной остается равным нулю, а в лог пишется сообщение об ошибке.		Данный компонент имеет две ветки - при успешной авторизации и при неуспешной. В случае успешной авторизации устанавливается значение переменной result=1, а при неуспешной остается равным нулю, а в лог пишется сообщение об ошибке.