Configuration d'un agent d'identité pour l'authentification à l'aide de plusieurs sources d'attributs

"authenticationSource":{
"isAuthenticationSource": false,
      "disablePrimaryLDAPLookup": false
    },

URI de l'hôte LDAP externe

Cet attribut correspond aux informations de connexion du serveur LDAP sur site. Pour une configuration de reprise en ligne LDAP de cluster, vous pouvez ajouter plusieurs URI de serveur LDAP en sélectionnant Ajouter un URI.

Base

Cet attribut est la base de recherche de conteneur LDAP pour les utilisateurs.

Nom distinctif de liaison LDAP

Cet attribut est l'utilisateur de connexion au serveur LDAP.

Mot de passe de liaison LDAP

Cet attribut est le mot de passe de connexion au serveur LDAP.

Certificat d'autorité de certification LDAP

Cet attribut facultatif est le certificat SSL utilisé si l'agent sur site nécessite une connexion TLS au serveur LDAP.

Afficher les paramètres supplémentaires

Vous pouvez définir les paramètres suivants.

• Indiquez si LDAP requiert TLS.
• Nombre maximal de connexions LDAP simultanées pour le serveur LDAP.
• Combien de temps une authentification par mot de passe réussie est-elle mise en cache?
• Durée de maintien de la connexion.
• Délai d'inactivité avant la fermeture d'une connexion par le serveur LDAP.
• Durée maximale de traitement d'une demande.

Attributs

Cet attribut est une liste d'attributs utilisateur LDAP séparés par des virgules qui sont renvoyés par une opération de vérification de mot de passe réussie. Pour les attributs d' LDAP s primaires, utilisez le nom d'attribut « LDAP ». Pour les sources de données alternatives, faites précéder le nom des attributs utilisateur du nom du plug-in JavaScript censé renvoyer ces attributs au format pluginName-Attribute.. Par exemple, si vous définissez

"pluginName": "OcPlug",

OcPlug alors tous les attributs renvoyés par doivent être précédés du préfixe OcPlug-. Par exemple, OcPlugin-mobile cela demande au plug-in OcPlug « JavaScript » de récupérer la valeur «mobile».

Les attributs doivent être séparés par des virgules. Par exemple :

givenName, sh, displayName, manager, mail, mobile,
memberOf, uid, OcPlug-OCD_SPEC_ID, db2PLUG-
XTENDEDATTR, ldap-seeAlso

Remarque : cet exemple montre comment définir les attributs d'un plug-in. Les attributs sans préfixe tels que givenName, sn, displayName, manager, mail, mobile memberOf,, et uid proviennent de la source principale LDAP. OcPlug renvoie l'attribut OCD_SPEC_ID, « db2Plug » renvoie l'attribut XTENDEDATTR et le module «ldap» renvoie l'attribut seeAlso.

Attributs binaires

Cet attribut est une liste d'attributs utilisateur LDAP binaires séparés par des virgules qui sont renvoyés par une opération de vérification de mot de passe réussie.

Attribut du nom d'utilisateur

Cet attribut est l'attribut de dénomination tel que user id qui est utilisé pour rechercher un utilisateur pour la vérification des mots de passe.

Remarque : les attributs d'identification des noms d'utilisateur sont sensibles à la casse. L'attribut samAccountName par défaut s'applique aux versions antérieures de Windows Active Directory. Pour les versions 2016 et ultérieures d' Active Directory, l'attribut est sAMAAccountName.

Classe d'objets

Cet attribut est une liste de classes d'objets séparées par des virgules que l'utilisateur LDAP peut détenir. Les classes d'objets sont utilisées avec l'attribut username pour rechercher un utilisateur pour la vérification des mots de passe.

• Un nom unique et reconnaissable pour l'agent
• Une description
• Un nom d'affichage pour le fournisseur d'identité
• Un domaine pour le fournisseur d'identité

• ./jsconfig/ - L'emplacement des fichiers de configuration.
• ./jsplugins/ - L'emplacement des plug-ins d' JavaScript.

Pour rendre ces répertoires accessibles à un conteneur Docker, vous pouvez effectuer un montage lié à partir du système de fichiers de l'hôte.

volumes:
                - ./jsconfig:/go/src/jsconfig:ro
                - ./jsplugins:/go/src/jsplugins:ro

{
    "pluginName": "OcPlug",
    "pluginType": "oracledb",
    "executionOrder": 1,
    "hardFail": true,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "connectionString": "oracle://system:oraclepass@host.docker.internal:1521/XE?CONNECTION TIMEOUT=5",
      "maxPoolSize": 50,
      "minPoolSize": 10,
      "agedTimeout": 60,
      "maxIdleTime": 10
    },
    "custom": {
      "table": "users"
    }
  }

{
    "pluginName": "plugin1",
    "pluginType": "ldap",
    "executionOrder": 1,
    "hardFail": false,
    "authenticationSource": {
      "isAuthenticationSource": true,
      "disablePrimaryLDAPLookup": false
    },
    "bindingConfig": {
      "bindDn": "cn=admin,dc=ibm,dc=com",
      "bindPassword": "pass",
      "uris": [
        "ldaps://localhost:8636",
        "ldap://localhost:8389"
      ],
      "maxPoolSize": 50,
      "agedTimeout": 60,
      "connectTimeout": 5,
      "filter": "(|(|(objectclass=ePerson)(objectclass=person))(objectclass=User))", 
      "userObjectClasses": "top,Person,organizationalPerson,inetOrgPerson",
      "selector": "objectClass,cn,sn,givenName,userPassword,streetAddress,seeAlso,mobile", 
      "userIdentifier": "uid",
      "baseDn": "dc=ibm,dc=com",
      "tlsConfig": {
        "caCert": "-----BEGIN CERTIFICATE-----\nMIIDbzCCAlegAwIBAgIULjAe6hySQZ8C8d1LnWKHlpirro4wDQYJKoZIhvcNAQEL\nBQAwRzELMAkGA1UEBhMC…",
        "insecureSkipVerify": false,
        "tlsMinVersion": 0,
        "clientCertLabel": "extauthn.client"
      }
    },
    "custom": {
      "table": "users"
    }
  }

Db2

HOSTNAME=host.docker.internal;PORT=50000;UID=db2inst1;PWD=db2_password;DATABASE=usersdb"

PostgreSQL

host=host.docker.internal port=8788 dbname=postgres user=postgres password=postgrespassword connect_timeout=5

LDAP TLS

caCert.Pour utiliser TLS afin de vous connecter à LDAP via un plug-in JavaScript, veillez à indiquer le ldaps:// dans la uris section et à spécifier un valide.

"uris": [
        "ldaps://localhost:8636"
      ],

Pour exécuter MTLS à partir d'un plug-in d' LDAP, vous pouvez placer le certificat client et la clé privée du certificat client dans le /cert/ répertoire de votre conteneur à l'aide de montages liés.

- ./cert/:/cert:ro

Assurez-vous que les noms des certificats respectent le format <clientCertLabel>_cert.pem et <clientCertLabel>_key.pem, où clientCertLabel correspond à clientCertLabel la valeur spécifiée dans la configuration du plug-in pour les plug-ins LDAP.