Gestione degli utenti con LDAP/Active Directory

Per creare una connessione a un server compatibile con LDAP è necessario un utente con permessi di lettura per il server. Come minimo, deve avere permessi di lettura per le persone e i gruppi che deve sincronizzare. Nell'esempio seguente questo utente si chiama check_mk.

Sotto Setup > Users > LDAP & Active Directory > Add connection puoi creare una nuova connessione. Nel modulo, inserisci prima l'IDe che preferisci per la connessione nella box General Properties. Se vuoi, puoi inserire un titolo semplice e significativo nel campo Description. Come sempre, l'IDe deve essere unico e non può essere modificato in seguito. Può contenere solo lettere, cifre, trattini e caratteri di sottolineatura, e deve iniziare con una lettera o un carattere di sottolineatura.

Successivamente, in "LDAP Connection" puoi definire il server LDAP, nonché uno o più server di failover, se disponibili. Poi devi solo selezionare "Directory type" e definire i dati utente per l'accesso in lettura in "Bind credentials". Tieni presente che devi inserire il nome utente con il suo percorso LDAP completo. Non è necessario tenere conto delle maiuscole e delle minuscole. La configurazione dovrebbe quindi apparire più o meno così:

Checkmk supporta non solo Active Directory. Per cambiare la directory, ad esempio in OpenLDAP, selezionala nel campo Directory type — ulteriori modifiche alla configurazione derivanti da questa azione si verificano solo in pochi punti.

I server di failover vengono utilizzati quando il server effettivo non è accessibile o quando è stato superato un limite di tempo. Questo ha senso se non si utilizza un proprio server locale, ma si desidera creare una connessione ridondante.

La connessione di Checkmk con il server LDAP viene sempre mantenuta finché il server LDAP non è più accessibile a causa di un timeout o di altri problemi. Solo allora si passa al server di failover. Lo stesso vale dopo il switch: la connessione tornerà al server effettivamente configurato solo se il server di failover non è più disponibile.

Successivamente verranno definiti i percorsi verso gli utenti e i gruppi e impostati i filtri. In "User base DN", inserisci prima il percorso tramite il quale devono essere trovati gli utenti. Assicurati qui che l'Operational Unit (OU) sia impostata in modo da includere tutti gli utenti desiderati e il minor numero possibile di altri. Più utenti vengono interrogati, più lenta sarà l'elaborazione della sincronizzazione.

Imposta quindi l’opzione “Search scope”. Qui puoi filtrare in modo ricorsivo tutti gli utenti presenti nell’OU e nelle unità sottostanti, oppure limitare la ricerca a quelli che si trovano direttamente in questa OU. Se hai inserito un utente direttamente nel percorso, dovresti selezionare “Search only the entry at the base DN” — in questo modo verrà incluso solo quell’utente.

Con l'aiuto dell'opzione "Search filter" puoi restringere ulteriormente la selezione degli utenti da importare. Se, ad esempio, desideri sincronizzare solo gli utenti appartenenti a un gruppo specifico, imposta una query LDAP come mostrato nella schermata seguente. Il prerequisito per questo è che gli utenti abbiano l'attributo "memberof". Di seguito puoi scoprire come filtrare in base all'appartenenza a un gruppo, senza questo attributo.

Il filtro standard può anche essere combinato con l'attributo memberof o con altri filtri:

(&(objectclass=user)(objectcategory=person)(memberof=cn=cmk-admins,ou=groups,dc=mycompany,dc=org))

Come si può vedere nella box Users, ci sono ulteriori opzioni per la ricerca degli utenti. Con l'opzione User-ID attribute è possibile specificare quale attributo l'utente deve utilizzare come ID di accesso in Checkmk. L'utente utilizzerà successivamente questo login al momento dell'accesso. Di norma, in Active Directory sarà l'attributo sAMAccountName, che viene utilizzato come standard in Checkmk. In OpenLDAP è spesso l'attributo uid.

Con le opzioni Lower case User-IDs puoi convertire gli ID sincronizzati in lettere minuscole. Questo può essere utile, poiché, come già detto, Active Directory/LDAP non fa distinzione tra maiuscole e minuscole, mentre Checkmk sì. Ciò può creare confusione, che questa opzione può risolvere.

L'opzione Umlauts in User-IDs (deprecated) è stata fornita solo per motivi di compatibilità e non dovrebbe più essere utilizzata/modificata.

Infine, l'opzione Create users only on login ti permette di creare nuovi utenti solo dopo che hanno effettuato il login su Checkmk, invece che durante la sincronizzazione con LDAP.

L'opzione "Filter group" dovrebbe essere utilizzata solo se il server LDAP non è un Active Directory e l'attributo dinamico "memberof" non è disponibile nei dati utente. In questi casi, il filtraggio degli utenti avviene direttamente in Checkmk. Durante questo processo è possibile che vengano interrogati molti utenti che verranno successivamente scartati. Un scenario del genere può essere in gran parte evitato dal modulo LDAP in Checkmk.

Se tuttavia dovessi dipendere da questa opzione, devi inserire qui il percorso completo del gruppo da filtrare:

Se desideri filtrare gli utenti per gruppo, definisci il percorso del gruppo in modo che sia possibile eseguire una corrispondenza. Questo può essere fatto allo stesso modo degli utenti: quando un gruppo è specificato direttamente, in "Search scope" è possibile utilizzare l'opzione "Search only the entry at the base DN"; altrimenti la ricerca verrà eseguita direttamente nell'OU oppure verranno incluse anche le sue unità subordinate.

Anche in questo caso, con l’aiuto dell’opzione Search filter è possibile specificare come deve essere definito il nome del gruppo in Checkmk. Puoi inoltre specificare il nome dell’attributo (Member attribute) in cui sono memorizzati i membri del gruppo. Checkmk utilizza di default member. In OpenLDAP questo può essere anche uniqueMember. Modifica l’opzione come preferisci.

Il primo Setup è ora completo e, a scopo di verifica, è possibile salvare e testare il Setup tramite il pulsante "Save & test".

Non è necessario specificare gruppi per ottenere una configurazione funzionante. Tuttavia, se nell'OU sono presenti solo utenti per Checkmk, è opportuno limitare la selezione tramite uno o più gruppi.

Infine, puoi anche definire la frequenza con cui gli utenti devono essere sincronizzati automaticamente. In un ambiente in cui le modifiche avvengono raramente, l'impostazione predefinita potrebbe essere troppo rigida. L'intervallo di tempo non dovrebbe però essere troppo lungo, in modo che eventuali modifiche possano essere riportate tempestivamente in Checkmk.

Una sincronizzazione può essere avviata manualmente in qualsiasi momento in Setup > Users > Users > Synchronize users. Inoltre, un utente verrà sincronizzato, se necessario, quando tenta di effettuare l'accesso e non è ancora stato sincronizzato.

Non serve a molto poter creare automaticamente tutti gli utenti, se poi è necessario assegnarli manualmente ai gruppi di contatto. Checkmk offre la possibilità di utilizzare i gruppi del server LDAP per consentire l’assegnazione ai gruppi di contatto. Per farlo, attiva l’opzione Attribute sync plugins > Contactgroup Membership:

Affinché l'assegnazione vada a buon fine, il nome del gruppo (cn) sul server LDAP deve essere identico a quello in Checkmk, ovvero il gruppo oracle_admins verrà assegnato a un utente solo se è presente anche nel gruppo oracle_admins in LDAP. Se invece si trova nei gruppi oracle-admins o ORACLE_admins, l'assegnazione non funzionerà. Fai quindi attenzione a usare la sintassi corretta e a rispettare le maiuscole e le minuscole nel caso in cui dovessero sorgere problemi in questa situazione.

Anche i ruoli possono essere assegnati automaticamente in modo simile e anche qui si utilizza la funzione Gruppi nidificati. Per ogni ruolo è possibile definire uno o più gruppi. Seleziona il ruolo per il quale deve essere creata una connessione e inserisci il percorso completo del gruppo. Di default verrà eseguita una ricerca nei gruppi trovati nel filtro gruppi. È tuttavia possibile effettuare una ricerca in altre connessioni per utilizzare i gruppi che vi si trovano. Seleziona dall'elenco le connessioni da cercare.

Con le impostazioni nell'immagine sopra, tutti gli utenti nel gruppo indicato saranno assegnati al ruolo Administrator, purché siano sincronizzati anche dal filtro utenti. Come si vede nello screenshot, puoi selezionare anche i ruoli che hai configurato tu e effettuare la connessione con i gruppi LDAP.

Per la sincronizzazione di altre informazioni sull'utente, di norma è sufficiente attivare il plug-in corrispondente in Attribute Sync Plugins, e eventualmente inserire l'attributo che fornisce l'informazione. Di seguito trovi una tabella dei plug-in e degli attributi utilizzati (se non impostati manualmente) con una breve descrizione. Alcuni attributi si trovano anche nel menu Utente di un utente.