LDAP y Active Directory

Autentique a los usuarios de la consola contra un servidor LDAP o Active Directory y aprovisione sus registros a partir de los atributos del directorio, incluida la pertenencia a grupos que alimenta l

Qué es esto y cuándo usarlo

Conectar un directorio hace dos cosas a la vez: las personas inician sesión en la solución con las credenciales que ya tienen, y su registro de usuario se crea aquí a partir de los atributos del directorio en lugar de escribirse a mano. La pertenencia a grupos viene con ellas, y eso es lo que hace mantenibles las autorizaciones: usted añade a alguien a un grupo en Active Directory y su acceso aquí lo sigue.

Úselo siempre que la organización ya tenga un directorio. Mantenga además un número reducido de cuentas locales, para emergencias y para la administración local, porque de lo contrario una caída del directorio deja a todo el mundo fuera.

Tres funciones distintas tocan Active Directory, y se confunden con frecuencia:

• Esta página: el directorio autentica a los usuarios de la consola y aporta sus atributos. No se instala nada en ninguna parte.

• Descubrimiento y rotación de cuentas: cuentas del directorio tratadas como credenciales gestionadas que la solución almacena y rota. Eso funciona sobre WinRM u OpenSSH contra el dominio, no sobre esta conexión LDAP. Consulte Descubrimiento de cuentas.

• AD Bridge: unir servidores Linux al dominio para que las identidades del directorio se conviertan en cuentas del sistema operativo del host. Eso es una propiedad del destino, no del inicio de sesión en la consola.

Antes de empezar

• El perfil SYSADMIN.

• Alcance de red desde la solución hasta el directorio, y la cuenta de servicio con la que hará el bind.

• Si piensa usar LDAPS, los archivos de certificado y una ventana de mantenimiento, porque hay que reiniciar el servicio (véase más abajo).

• Una decisión sobre el alcance: qué parte del directorio quiere realmente aquí.

Durante un piloto, no apunte la solución al dominio entero. Traiga solo los usuarios y las cuentas con los que piensa trabajar. Reducir el alcance después cuesta mucho más trabajo que ampliarlo.

Pasos

1. Abra Configuración del sistema › Autenticación › LDAP y habilite el proveedor. Solo los proveedores habilitados aparecen en la pantalla de inicio de sesión.

2. Complete los parámetros de conexión del directorio y la cuenta de bind de su servidor, y la parte del árbol donde buscar.

3. Defina el mapa de Atributos de usuario, el JSON que indica qué atributo del directorio alimenta qué campo aquí. Es el campo que decide si los usuarios importados serán utilizables; véase Asignación de atributos.

4. Defina la Organización en la que se crean los usuarios del directorio, si la creación de usuarios está habilitada. Eso determina en qué inquilino aterrizan.

5. Para alta disponibilidad, configure LDAP HA con el servidor de respaldo. Se usa cuando el primario no responde.

6. Guarde y lea las dos advertencias siguientes antes de dar el trabajo por terminado.

Asignación de atributos

El mapa es JSON puro. Una asignación completa de Active Directory, con grupos:

{
  "username": "samAccountName",
  "name": "displayName",
  "email": "mail",
  "groups": "memberof"
}

Omita groups y solo se importarán los usuarios, no los grupos a los que pertenecen:

{
  "name": "cn",
  "email": "mail",
  "username": "sAMAccountName"
}

Esa segunda forma es deliberada y es una opción frecuente: pertenecer a un grupo del directorio (por ejemplo, XPTO) es lo que habilita a una persona a llegar a la solución, mientras que el acceso que obtiene una vez dentro se concede íntegramente aquí. Obtiene los inicios de sesión del directorio sin importar su estructura de grupos.

LDAPS

Para usar LDAP sobre TLS, cargue ldap_ca.pem, ldap_cert.pem y ldap_cert.key en el appliance y reinicie el servicio. Los certificados no se suben desde esta pantalla, y los archivos nuevos no se toman en cuenta hasta el reinicio.

Desactive la autenticación por clave pública en cuanto la autenticación por directorio esté en producción. En Configuración del sistema › Componentes › SSH & Terminal Protocol, la opción Clave pública viene habilitada por defecto. Si la deja activa, un usuario eliminado de Active Directory todavía puede llegar a los activos con una clave SSH que registró antes: su cuenta de directorio ya no existe y la baja queda silenciosamente incompleta. Deshabilítela para que toda sesión de terminal se autentique a través del directorio.

Lo que debería ver

La pantalla de inicio de sesión ofrece el directorio como opción de acceso. Nada más en la pantalla de configuración indica que la conexión esté sana.

Cómo verificar que funcionó

1. Inicie sesión como un usuario del directorio que todavía no sea usuario local aquí.

2. Abra Usuarios › Usuarios y localícelo. La columna Origen debe indicar LDAP/AD, no Local. Si indica Local, se autenticó contra una cuenta local preexistente y no ha demostrado nada.

3. Compruebe que Nombre y Correo electrónico están rellenados. Los campos en blanco significan que el mapa de atributos es incorrecto, aunque el inicio de sesión haya funcionado.

4. Si asignó groups, confirme que los Grupos de usuarios del usuario reflejan su pertenencia en el directorio.

5. Compruebe que el inicio de sesión aparece en el registro de auditoría con el directorio como fuente de autenticación. Consulte Registro de auditoría.

Que el inicio de sesión funcione no es, por sí solo, comprobación suficiente: el fallo habitual es un acceso correcto que produce un registro de usuario inservible.

Errores comunes

Síntoma	Causa	Solución
Los usuarios del directorio entran pero no tienen nombre ni correo	El mapa de Atributos de usuario nombra atributos que el directorio no publica	Corrija el JSON: samAccountName, displayName y mail para Active Directory
Los usuarios se importan pero no pertenecen a ningún grupo	Falta groups en el mapa	Añada "groups": "memberof", o conceda acceso mediante grupos definidos aquí
LDAPS falla tras cargar los certificados	No se reinició el servicio	Reinicie el servicio; los archivos se leen al arrancar
Un usuario eliminado del directorio sigue llegando a los activos	La autenticación por Clave pública sigue habilitada en el conector de terminal	Deshabilítela en Configuración del sistema › Componentes › SSH & Terminal Protocol
Un usuario del directorio reaparece tras eliminarlo aquí	El directorio es el origen del registro	Elimine o deshabilite la cuenta en el directorio, no aquí
Nadie puede iniciar sesión durante una caída del directorio	Todas las cuentas dependen del directorio	Mantenga al menos una cuenta local de emergencia

Referencia de campos

Campo	Qué significa
Activar	Casilla por proveedor. Solo los proveedores habilitados aparecen en la pantalla de inicio de sesión
Atributos de usuario	Mapa JSON de los atributos del directorio hacia username, name, email y groups
Organización	El inquilino en el que se crean los usuarios del directorio cuando la creación de usuarios está habilitada
LDAP HA	Un segundo servidor de directorio, de alta disponibilidad, usado como respaldo

Claves del mapa y sus orígenes habituales en Active Directory:

Clave	Atributo del directorio	Notas
username	sAMAccountName	El inicio de sesión. Debe ser único
name	displayName, o cn	Nombre para mostrar
email	mail	Notificaciones y recuperación de contraseña
groups	memberof	Opcional. Omítalo para importar usuarios sin sus grupos

Radius se configura junto a los proveedores de directorio, pero es un servidor de autenticación externo y no un directorio: se usa sobre todo para añadir un factor de contraseña de un solo uso. Consulte Autenticación multifactor.

Páginas relacionadas

• Usuarios y grupos: los registros que esto crea

• Single sign-on: los métodos federados, SAML2, OIDC, OAuth2 y CAS

• Autenticación multifactor: añadir un segundo factor por encima

• Autorizaciones: a qué llega un grupo importado

• Descubrimiento de cuentas: cuentas del directorio como credenciales gestionadas