Product SiteDocumentation Site

⁠42.3.3. LDAP аутентификация

В данном разделе приведён пример настройки аутентификации LDAP для аутентификации на сервере FreeIPA. В примере используются следующие исходные данные:
  • ipa.example.test, 192.168.0.113 — сервер FreeIPA;
  • admin@example.test — учётная запись с правами чтения LDAP;
  • pve — группа, пользователи которой имеют право аутентифицироваться в PVE.
Для настройки LDAP аутентификации необходимо выполнить следующие шаги:
  1. Создать область аутентификации LDAP. Для этого в разделе Центр обработки данных → Разрешения → Области нажать кнопку Добавить → Сервер LDAP:
    Создать область аутентификации LDAP
  2. На вкладке Общее указать следующие данные:
    • Область — идентификатор области;
    • Имя основного домена (base_dn) — каталог, в котором выполняется поиск пользователей (dc=example,dc=test);
    • Атрибут имени пользователя (user_attr) — атрибут LDAP, содержащий имя пользователя, с которым пользователи будут входить в систему (uid);
    • По умолчанию — установить область в качестве области по умолчанию для входа в систему;
    • Сервер — IP-адрес или имя FreeIPA-сервера (ipa.example.test или 192.168.0.113);
    • Резервный сервер (опционально) — адрес резервного сервера на случай, если основной сервер недоступен;
    • Порт — порт, который прослушивает сервер LDAP (обычно 389 без ssl, 636 с ssl);
    • Режим — режим протокола LDAP;
    • Требовать двухфакторную проверку подлинности — включить двухфакторную аутентификацию.
    Настройка аутентификации FreeIPA (вкладка Общее)
  3. На вкладке Параметры синхронизации заполнить следующие поля (в скобках указаны значения, используемые в данном примере):
    • Пользователь привязки — имя пользователя (uid=admin,cn=users,cn=accounts,dc=example,dc=test);
    • Пароль привязки — пароль пользователя (пароль будет сохранен в файл /etc/pve/priv/realm/<realmname>.pw);
    • Атрибут электронной почты (опционально);
    • Атрибут имени группы — атрибут имени группы (cn);
    • Классы пользователей — класс пользователей LDAP (person);
    • Классы групп — класс групп LDAP (posixGroup);
    • Фильтр пользователей — фильтр пользователей (memberOf=cn=pve,cn=groups,cn=accounts,dc=example,dc=test);
    • Фильтр групп — фильтр групп ((|(cn=*pve*)(dc=ipa)(dc=example)(dc=test)));
    Настройка аутентификации FreeIPA (вкладка Параметры синхронизации)
  4. Нажать кнопку Добавить.
  5. Выбрать добавленную область и нажать кнопку Синхронизировать:
    Кнопка Sync
  6. Указать, если необходимо, параметры синхронизации и нажать кнопку Синхронизировать:
    Параметры синхронизации области аутентификации
    В результате синхронизации пользователи и группы PVE будут синхронизированы с сервером FreeIPA LDAP. Сведения о пользователях и группах можно проверить на вкладках Пользователи и Группы.
  7. Настроить разрешения для группы/пользователя на вкладке Разрешения.

Примечание

Команда синхронизации пользователей и групп: 
# pveum realm sync example.test --scope both
Для автоматической синхронизации пользователей и групп можно создать задание синхронизации области (в разделе Центр обработки данных → Разрешения → Области в разделе Задания синхронизации области нажать кнопку Добавить):
Создание задания синхронизации области аутентификации