Тестування підключення до Secure LDAP

За допомогою утиліти ldapsearch із командного рядка створіть базовий запит LDAP. Успішний результат запиту LDAP вказує на те, що клієнт LDAP, відповідний сеанс TLS і підключення TCP працюють належним чином.

Щоб перевірити підключення за допомогою ldapsearch:

1. Створіть конфігурацію LDAP і завантажте сертифікат, дотримуючись вказівок у статті Як додавати клієнти LDAP.

   Примітка. Щоб спростити тестове середовище, переконайтеся, що в організаційному підрозділі, до якого ви надаєте доступ клієнту LDAP, є принаймні один користувач.

2. Виконайте запит LDAP. Нижче наведено приклад команди, за допомогою якої можна виконати запит для певного користувача (докладнішу інформацію наведено на сторінці OpenLDAP ldapsearch).

   LDAPTLS_CERT={crt_file} LDAPTLS_KEY={key_file} ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} '(mail={user_email})'

   Замініть заповнювачі, як описано нижче.

   • {crt_file}: назва файлу .crt
   • {key_file}: назва файлу .key
   • {domain}: кожна частина імені домену, наприклад, "example.com" стане "dc=example,dc=com"
   • {user_email}: основна електронна адреса користувача в домені

Примітки щодо використання ldapsearch

• Якщо значення BindDN не вказано, ldapsearch використовує ключ і сертифікат для авторизації пошуку.
• Якщо значення BindDN – це ім’я користувача LDAP, яке ви створили в Консолі адміністратора, ldapsearch використовуватиме дозволи клієнта LDAP, налаштовані в Консолі адміністратора.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {ldap_access_credentials_username} -W '(mail={user_email})

• Якщо значення BindDN – це електронна адреса або унікальне ім’я LDAP користувача Workspace, ldapsearch використовуватиме облікові дані цього користувача для пошуку на основі його дозволів.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {workspace_username@domain} -W '(mail={user_email})'

Як використовувати інструмент ldapsearch із програмою stunnel

Якщо під час розгортання потрібно використовувати програму stunnel, виконайте наведені нижче дії.

1. У Консолі адміністратора згенеруйте облікові дані для доступу, щоб створити ім’я користувача й пароль, необхідні для ldapsearch.
2. Використовуйте таку команду:

   ldapsearch -x -D "{username}" -w {password} -H ldap://{stunnel_host}:{stunnel_port} -b dc={domain},dc={domain} '(mail={user_email})'

   Замініть заповнювачі, як описано нижче.

   • {username}: ім’я користувача зі згенерованих облікових даних у Консолі адміністратора
   • {password}: пароль зі згенерованих облікових даних у Консолі адміністратора
   • {stunnel_host}: IP-адреса або ім’я хоста пристрою у вашій мережі, на якому запущено програму stunnel
   • {stunnel_port}: порт, де використовується програма stunnel (перевірте її конфігурацію)
   • {user_email}: основна електронна адреса користувача в домені

Успішний сценарій команди ldapsearch

Якщо команда ldapsearch буде успішною, користувач з електронною адресою (як указано під час створення клієнта LDAP) показуватиметься у форматі LDIF.

Приклади

# extended LDIF
#
# LDAPv3
# base <dc=example,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# example.com
dn: dc=example,dc=com
objectClass: top
objectClass: domain
objectClass: dcObject
dc: example

# admin-group, Groups, example.com
dn: cn=admin-group,ou=Groups,dc=example,dc=com
objectClass: top
objectClass: groupOfNames
objectClass: posixGroup
cn: admin-group
displayName: admin-group
description:
gidNumber: 12345
member: uid=admin,ou=Users,dc=example,dc=com
memberUid: admin
googleAdminCreated: FALSE

# example-user, Users, example.com
dn: uid=example-user,ou=Users,dc=example,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: example-user
googleUid: example-user
posixUid: example-user
cn: example-user
cn: FirstName LastName
sn: FirstName
displayName: FirstName LastName
givenName: FirstName
mail: [email protected]
uidNumber: 12345
gidNumber: 12345
homeDirectory: /home/example-user
loginShell: /bin/bash
gecos:

Можливі помилки

• Клієнт і/або бібліотека OpenLDAP скомпільовані без підтримки SNI
  
  Клієнт LDAP (у цьому випадку – OpenLDAP) має підтримувати розширення SNI (Server Name Indication). Якщо розширення SNI недоступне, ви можете побачити схожу помилку:
  
  SASL/EXTERNAL authentication started

ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
 additional info: SASL(-4): no mechanism available:
  
  Рекомендація
  • Якщо ви використовуєте macOS, автентифікацію SASL увімкнено за умовчанням. Щоб її обійти, укажіть параметр "-x".
  • Додайте параметр -d5 до ldapsearch і перевірте вихід для такого рядка:
    
    TLS certificate verification: depth: 0, err: 18, subject: /OU=No SNI provided; please fix your client.
     

• ldapsearch повертає статус 0 (success), але у вихідних даних немає користувачів
  
  Якщо використовувати параметр ldapsearch -x із сертифікатами клієнта, автентифікація SASL буде успішною, але користувачі в домені не показуватимуться.
  
  Рекомендація: вилучіть параметр -x і повторіть спробу.

1. Виконайте кроки 1–11 в інструменті ldp.exe (Windows), щоб установити сертифікати клієнта.
2. Виберіть Action (Дія) > Connect to… (Підключитися до…).
3. Введіть наведені нижче налаштування підключення.
   
   Name (Назва): введіть назву підключення, наприклад Google LDAP.
   Connection Point (Точка підключення): Select or type a Distinguished Name or Naming Context (Виберіть або введіть унікальне ім’я або контекст імені)
   Введіть доменне ім’я у форматі DN (наприклад, dc=example,dc=com для example.com).
   
   Computer (Комп’ютер): Select or type a domain or server (Виберіть чи введіть домен або сервер)
   ldap.google.com
   
   Use SSL-based Encryption (Використовувати шифрування на основі SSL): вибрано
    
4. Натисніть Advanced… (Розширені…) і введіть наведені нижче дані.
   
   Specify credentials (Указати облікові дані): вибрано
   Username (Ім’я користувача): ім’я користувача для доступу з Консолі адміністратора
   Password (Пароль): пароль для доступу з Консолі адміністратора
   Port Number (Номер порту): 636
   Protocol (Протокол): LDAP
   Автентифікація через просту прив’язку: вибрано
    
5. Натисніть OK, а потім знову OK.
6. Якщо підключення успішне, на панелі праворуч показуватимуться дані каталогу в базовому унікальному імені.

1. Установіть OpenSSL.
2. Конвертуйте файли сертифіката й ключа в один файл у форматі PKCS12. У командному рядку введіть наведене нижче.
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   Введіть пароль, щоб зашифрувати вихідний файл.
    
3. Відкрийте панель керування.
4. У полі пошуку введіть "certificate" і натисніть Manage user certificates (Керувати сертифікатами користувача).
5. Виберіть Action (Дія) > All Tasks (Усі завдання) > Import… (Імпорт…).
6. Виберіть Current User (Поточний користувач) і натисніть Next (Далі).
7. Натисніть Browse… (Огляд…).
8. У спадному меню file type у нижньому правому куті діалогового вікна виберіть Personal Information Exchange (*.pfx;*.p12) (Обмін особистою інформацією (*.pfx;*.p12)).
9. Виберіть файл ldap-client.p12 із кроку 2, натисніть Open (Відкрити), а потім – Next (Далі).
10. Введіть пароль із кроку 2 і натисніть Next (Далі).
11. Виберіть особисте сховище сертифікатів, натисніть Next (Далі), а потім – Finish (Готово).
12. Запустіть Ldp.exe.
13. Виберіть Connection (Підключення) > Connect… (Підключити…)
14. Введіть наведені далі дані підключення.
    
    Server (Сервер): ldap.google.com
    Port (Порт): 636
    Connectionless (Без підключення): не вибрано
    SSL: вибрано
     
15. Натисніть OK.
16. Виберіть View (Перегляд) > Tree (Дерево).
17. Введіть базове унікальне ім’я. Це ваше доменне ім’я у форматі DN (наприклад, dc=example,dc=com для example.com).
18. Натисніть OK.
19. Якщо підключення успішне, на панелі праворуч показуватимуться дані каталогу в базовому унікальному імені.