Active Directory

Матеріал з Wiki.Zina
Перейти до навігації Перейти до пошуку

На нашем сервере NAS поднят каталог Active Directory (AD) - точнее, его открытая альтернатива Synology Directory Server.

В Active Directory создаются все пользователи студии и через него назначаются права доступа к Windows, файловому серверу NAS и сервисам (с авторизацией через LDAP):

Имя домена

[ред. | ред. код]
  • AD Domain name: ZD
  • DNS name: zd.zina.com.ua (FQDN, от англ. Fully Qualified Domain Name — «полностью определённое имя домена»)
  • Имя сервера: nas.zd.zina.com.ua

Группы пользователей

[ред. | ред. код]
  • ZD\Developers (бывшая Webmasters) — Доступ к Webserver (R+W), Design (R)
  • ZD\Design — Доступ к Design (R+W)
  • ZD\SEO — Доступ к SEO (R+W)
  • ZD\Project Managers — Доступ (R+W) ко всем внутренним нефинансовым ресурсам (ZD\Design, ZD\SEO, ZD\Webserver)
  • ZD\Buh — Доступ к Бухгалтерия (R+W)
  • ZD\Trainee — Стажеры

Авторизация в Active Directory

[ред. | ред. код]

Windows

[ред. | ред. код]

Из важного: при настройке клиентов нужно в настройках сети указывать DNS сервер: 192.168.1.102

Linux

[ред. | ред. код]

Подробная инструкция: Авторизация в Active Directory на Linux.

G Suite

[ред. | ред. код]

Используем GCDS — Google Cloud Directory Sync.

Облачное приложение Slack - Cправка - Администратор G Suite

Особенности настройки и Debug

[ред. | ред. код]
Официальная рекомендация Microsoft: использовать субдомен реально зарегистрированного домена (а не .local): Use a sub-domain of the company's already-registered Internet domain name. So, if you own foo.com, use ad.foo.com or some such.

Из требований Synology:

Ограничения на наименования доменов

  • Имя домена может содержать только буквы алфавита, цифры, дефисы и точки (только в качестве разделителя компонентов имени домена).
  • Имя домена должно содержать не менее двух частей, например «syno.local».
  • Имя домена не может начинаться с дефиса (-).
  • Имя домена не может заканчиваться дефисом (-) или точкой (.).
  • Максимальная длина составляет 255 символов.

Ограничения для пароля

Чтобы пароль соответствовал требованиям надежности, при его создании необходимо следовать хотя бы трем из приведенных ниже правил.

  • Буквы в верхнем регистре латинского и греческого алфавитов, а также кириллицей (включая буквы A–Z с диакритическими знаками).
  • Буквы в нижнем регистре латинского и греческого алфавитов, а также кириллицей (включая буквы a–z с диакритическими знаками).
  • Цифры (0–9).
  • Специальные символы, включая #, $, ! и т. д.
  • Буквы одного регистра из алфавитов Unicode, включая символы из азиатских языков.

Узнать системные настройки можно в командной строке NAS по инструкции:

Авторизацию через AD можно проверить в командной строке с помощью утилиты ldapserch: 

ldapsearch -H ldaps://zd.zina.com.ua:636 -x -W -D cn=Administrator,cn=users,dc=zd,dc=zina,dc=com,dc=ua -b 'CN=Gmail,CN=Users,DC=zd,DC=zina,DC=com,DC=ua' -d5

Для авторизации с dev-сервера HP потребовалось добавить параметр в /etc/ldap/ldap.conf: 

TLS_REQCERT     never

Ссылки

[ред. | ред. код]
Отримано з https://mediawiki.zina.run/index.php?title=Active_Directory&oldid=721