LDAP 身份验证模块

类型

显示已启用第三方身份验证的目录服务类型。

名称

存储身份验证模块的名称。 使用此设置可将本模块与 Auth Modules (身份验证模块) 列表中的其他身份验证模块区分开来。 该名称也会显示在登录表单支持的身份验证提供商列表中。

服务器 URL

存储用于在 Hub 中身份验证登录请求的目录服务的 LDAP URL。

LDAP URL 使用格式 ldap://host:port/DN。 输入存储用户帐户的目录的完整专有名称（DN）。

SSL 密钥

选择可用于向 LDAP 服务验证 Hub 实例身份的 SSL 密钥。 仅当您的 LDAP 服务要求客户端 SSL 身份验证时才需使用此设置。

该列表仅显示已导入到 Hub 的密钥库。 有关详细信息，请参见 SSL 密钥。

绑定账号

确定用于 LDAP 绑定请求的帐户。 如需详细信息，请参阅 绑定帐户选项。

绑定 DN

存储用于绑定到目录服务的值。 如需详细信息，请参阅 绑定帐户选项。

筛选

存储用于在 LDAP 服务中定位特定用户记录的表达式。 表达式中的替换变量会被登录页输入的用户名或邮件地址替换。

LDAP 转介

确定在 LDAP 验证模块中忽略还是处理来自服务的请求，以在 LDAP 目录中查找其他信息。

• 如果您的目录服务在不同分区存储映射到 Hub 配置文件的属性，请启用 Follow (关注) 选项。

• 如果用户身份验证不需要重定向，请启用 Ignore (忽略) 选项以提升性能。

LDAP 账户状态

确定在连接的目录服务中删除具有相应凭据的帐户时，Hub 是否会更新用户帐户状态。

• 如果目录服务中的帐户被删除，Hub 帐户会被禁用，对应凭据将从 Hub 帐户中移除。

• 当帐户在连接的目录服务中恢复时，Hub 帐户不会自动解除禁用。 状态必须在 Hub 中手动更新。

此设置有以下可用选项：

仅当身份验证模块的 Bind account (绑定账号) 设置为 Fixed (已修正) 时，此设置才可用。

如果 Synchronization (同步) 设置为 On (开) ，帐户状态会按预定义时间间隔更新。 否则，仅当用户试图通过 Hub 使用其 LDAP 帐户登录应用时，才同步帐户状态。

同步

确定用户帐户凭据及组成员身份与目录服务同步的频率。 您可选择三种预定义间隔之一：

• 每天早晨 9 点

• 每 3 小时

• 每小时

您还可以随时点击 Synchronize now (立即同步) 按钮，手动同步 Hub 数据库与目录服务的数据。

Hub 配置文件中存储的 Full Name (完整名称)、 Username (用户名) 和 Email (电子邮箱) 的值会在用户帐户首次创建时填充，通常是新用户通过其 Okta 帐户首次登录 Hub 时。 后续 Okta 配置文件中这些属性的更改不会同步到 Hub 配置文件。 这些更改会同步到与其 Okta 凭据关联的属性。 这些信息显示在 Hub 配置文件的 Credentials (凭据) 部分的 Account Security (账户安全) 选项卡中。

此同步适用于 Attribute Mapping (属性映射) 设置中配置的属性和 Group Mappings (群组映射) 选项卡中配置的组成员身份。 详情请参见 属性映射 和 群组映射。

当同步为 Off (禁用) 时，在登录期间，组成员身份和帐户状态仍将按用户同步。 了解有关此功能的更多信息，请参见 群组映射。

仅当 Bind account (绑定账号) 设置为 Fixed (已修正) 时，才可用 Synchronization (同步) 选项。 这允许 Hub 以绑定帐户所有者身份在目录服务中进行搜索。

仅当身份验证模块为 Enabled (启用) 时，同步功能才处于激活状态。

已修正

使用指定账户绑定至 LDAP 服务，并代表绑定用户搜索需进行身份验证的用户。 使用此选项，您可以设置 LDAP 身份验证模块，并仍能使用不属于专有名 (DN) 的登录名（如电子邮件地址或令牌）。 此方法通常称为 搜索 + 绑定 或 两步身份验证。

要使用此方法，您需要一个具有查找目录服务中其他用户帐户权限的特殊账号。

输入您要用于 LDAP 绑定请求的用户帐户的完整 DN。 此账号必须具有查找目录服务中其他用户帐户的权限。

使用 Change password (修改密码) 控件将该帐户的密码存储到 Hub。 绑定用户的密码会以明文值的加盐哈希形式存储。

动态

根据登录信息派生用户DN，并尝试以该用户身份直接绑定到LDAP服务。 此方法通常也称为 直接绑定。

使用查询与目录服务绑定。 该查询会查找要进行身份验证的用户的识别名。 用表达式引用用户名。 该表达式将替换变量映射到目录服务中存储用户名的属性。 您选择的属性决定了在筛选字符串中使用哪个查询。

在登录页面输入作为用户名的值会在替换变量前进行修剪。 如果用户指定了域名，则会被丢弃。 例如，用户名为 WORKGROUP\smith 的值会被修剪为 smith。 要指定域名，需将域名以静态值的方式输入。 例如， WORKGROUP\%u。

用户名

必填。 映射到LDAP属性，该属性存储要复制到Hub资料中 Username (用户名) 字段的值。 对于LDAP，默认值为 uid。

全名

映射到LDAP属性，该属性存储要复制到Hub资料中 Full name (全名) 字段的值。

电子邮箱

映射到LDAP属性，该属性存储要复制到Hub资料中 Email (电子邮件) 字段的值。

VCS 用户名

映射到LDAP属性，该属性存储要复制到Hub资料中 VCS username (VCS 用户名) 字段的值。

分组

映射到已连接目录服务中存储组成员分配的 LDAP 属性。

指定该值后，可以将目录服务中的组成员关系与 Hub 中的相应组进行映射和同步。 有关详细信息，请参阅 群组映射。

帐户已过期

映射到连接目录服务中存储帐户到期日期的 LDAP 属性。

帐户已禁用

映射到连接目录服务中存储用户帐户被禁用日期的 LDAP 属性。

锁定阈值

映射到存储用户在帐户被锁定前允许登录失败次数的 LDAP 属性。

锁定时间

映射到当帐户因超过最大锁定阈值被阻止时，存储日期和时间的 LDAP 属性。

锁定持续时间

映射到用户超过锁定阈值后，被阻止登录帐户的时长的 LDAP 属性。

用户创建

允许用在已连接目录服务中存储的账户登录的未注册用户创建 Hub 帐户。 Hub 通过电子邮件地址判断用户是否已有现有帐户。

所有 LDAP 身份验证模块都必须允许用户创建。 如果禁止用户创建，未注册用户将看到一个错误。

自动加入组

当用户使用已连接目录服务中的账号登录时，将其添加到某一组。 您可以选择一个或多个组。 自动加入组的新用户会继承分配给该组的所有权限。

建议您至少将用户添加到一个组中。 否则，新用户只会获得当前分配给 All Users (所有用户) 组的权限。

连接超时

设置建立与授权服务连接时的超时时长。 默认设置为 5000 毫秒（5 秒）。

读取超时

设置从授权服务读取和检索用户资料数据的等待时间。 默认设置为 5000 毫秒（5 秒）。

审核

链接到Hub中的 Audit Events (审核事件) 页面。 在此，您可以查看应用于此身份验证模块的更改记录列表。

设为默认

将身份验证模块指定为当前安装的默认模块。每次只能有一个身份验证模块设为默认。如果其他模块当前被设为默认，则该状态会被清除。 每次只能有一个身份验证模块设为默认。 如果其它模块当前为默认，该状态将被清除。

仅当当前身份验证模块未被指定为默认时显示此选项。

清除默认

将身份验证模块从当前安装的默认模块中移除。

如果没有任何可用的身份验证模块被指定为默认，则未认证的用户总会被重定向到 Hub 登录页面。

仅当当前身份验证模块被指定为默认时显示此选项。

禁用模块

禁用身份验证模块。

仅当身份验证模块当前启用时显示此选项。

启用模块

启用身份验证模块。

仅当身份验证模块当前被禁用时显示此选项。

测试登录

允许您输入用户名和密码来测试与身份验证服务的连接。

删除模块

将身份验证模块从 Hub 中移除。 仅在已配置其他身份验证模块允许用户登录您的 Hub 安装时使用。

服务器 URL

ldap://ldap.company.com:389/dc=company,dc=com

绑定 DN

uid=%u,ou=People

筛选

uid=%u

服务器 URL

ldaps://ldap.company.com:636/dc=company,dc=com

绑定 DN

uid=%u,ou=People

筛选

uid=%u

Hub 用户帐户存储了多个由目录服务管理的账户的凭据。 连接目录服务中的帐户属于不同的组集合。

如果 Hub 用户拥有由连接目录服务管理的多个账号，组成员关系同步可能会表现得不可预测。 同步任务会先应用找到的第一个账号的成员分配，如果后续遇到不同的组分配，会更新这些成员分配。

您可以通过以下任意一种方法解决该问题：

• 在关联的目录服务中删除任何未使用或不需要的账户，然后在Hub中使用 Synchronize now (立即同步) 选项。 此操作会从 Hub 资料中删除多余的凭据，并将账户成员关系与仅剩的目录服务账户同步。

  这是此场景下的推荐解决方案。

• 关闭同步设置并移除 Hub 帐号内多余的凭据。 您可以通过用户界面或使用 REST API 手动移除凭据。

• 从 Hub 帐号中删除所有来自连接目录服务的登录信息。 如果关联帐户的电子邮件地址与 Hub 中的电子邮件地址匹配，则用户下次尝试使用该帐户登录时，活动帐户的凭据将恢复。 组成员关系分配将自动同步。