Configuración de LDAP

Introducción

En este documento se describen los pasos para poder realizar la configuración del servicio LDAP en la MV OPMANTEK. Se requiere conocer la estructura del Directorio Activo para poder efectuar la configuración del servicio.

Requisito

• Se requiere que los puertos del servicio se encuentren abiertos:

• Estructura del Directorio Activo: Imagen representativa. 

• Usuario LDAP (Directorio activo):  Este usuario permitirá hacer la conexión entre la aplicación y el directorio activo, en este proceso se generará un usuario (omklatam) en el directorio Servicios, el usuario generado debe tener los permisos suficientes para poder hacer una búsqueda en los demás directorios. dicho usuario tendrá la capacidad de autenticarse con la aplicación y así poder realizar una búsqueda de los demás usuarios que requieren autenticarse en la aplicación.

• Definir el método de autenticación que se requiere implementar en NMIS. La configuración se realizará en el archivo /usr/local/nmis8/conf/Config.nmis

Nota: En este caso el método de autenticación que se utilizara es ms-ldap, lo cual procederemos a configurar.

• El cliente deberá proporcionar los siguientes datos para poder realizar la configuración:

Aspectos a considerar:

Base de LDAP: La base es la raíz del Directorio Activo, ya que es el lugar donde se realizará la búsqueda de los usuarios que se requieren autenticar. Tomando como referencia la estructura del Directorio Activo quedará de la siguiente manera: 

El account es el parámetro que indica qué usuario se va a autenticar con el directorio activo, este usuario es el que permitirá hacer la búsqueda de los demás usuarios que requieren acceder al servicio. 

Por lo tanto, se agrega la primera parte es el usuario CN = omklatam

La segunda parte es el contenedor OU = Servicios. 

La tercera parte es el dominio DC = OPMANTEK y DC = corp.

el resultado sería lo siguiente: 

Si el dominio fuera example.net, la sintaxis sería DC = ejemplo, DC = net. DC se usa para la parte del dominio, y CN se usa para las credenciales de usuario.

Instalacion y configuracion.

• Asegúrese de que Net::LDAP esté actualizado (versión mínima 0.64).

• Asegúrese de que IO::Socket::SSL sea lo suficientemente nuevo (debe ser 1.998 o más reciente).

Nota: -f es porque algunas pruebas no pasan en algunas máquinas virtuales.

• Realizar la instalación del siguiente paquete.

• Realizar este procedimiento para agregar usuarios por medio de la GUI, si no se quiere alterar los privilegios por defecto, hay que acceder a NMIS usando el usuario "nmis" y agregar el usuario ("System -> System Configuration -> Users") que el cliente requiere y asignarle privilegios.

Nota: Esto es para que no tenga que definir a cada usuario en el sistema si el sistema de autenticación proporciona una lista reducida de usuarios, para que los usuarios se conviertan en un operador o invitado por defecto y puedan ver todos los grupos de dispositivos, lo siguiente aplicaría.

'auth_default_privilege' => 'guest', 

'auth_default_groups' => 'all',

Para evitar la autorización predeterminada, simplemente defínalos como en blanco, que es el valor predeterminado en la configuración de instalación de NMIS8.

• Configurar el archivo /usr/local/nmis8/conf/Config.nmis con los siguientes parámetros:

*Datos de Ejemplo.

Ejecutar un perl -c al archivo para comprobar que no existan errores de sintaxis.

• Verifique la conectividad LDAP usando ldapsearch, tendrá que configurar -H, -b y -D, pueden provenir de su configuración actual de ms-ldap de NMIS si tiene una: -b es auth_ms_ldap_base, -D es auth_ms_ldap_dn_acc

Nota: Posiblemente muestre un error de certificados SSL, este error es irrelevante ya que si bien se muestra la conexión ha sido exitosa.

• Intentar acceder con las credenciales otorgadas por el cliente en el portal de NMIS.

Nota: Si todo está bien configurado, el usuario de conexión de la aplicación existe y los usuarios que desean acceder a NMIS ya están registrados no se debe de presentar ningún inconveniente al querer ingresar a los módulos.

Revisión de errores.

Nota: el archivo /usr/local/nmis8/conf/Users.nmis deberá tener una entrada para cada usuario que pueda autenticarse o se deberá establecer la configuración predeterminada para un usuario.

• Revisar los archivos siguientes archivos /var/log/httpd/error_log y /usr/local/nmis8/logs/auth.log estos deberán poder proporcionar suficiente información de los intentos de autenticación además de poder identificar un acceso al sistema o un posible error.

Nota:

Posiblemente presente un error de este tipo si es que el Usuario o Password no se encuentran en LDAP por lo tanto no se podrá autenticar la aplicación con el servicio, para solucionar esto es necesario que se realice una validación con los administradores del servicio y así poder corregir este error.

Ejemplo:

Nos podemos ayudar del siguiente sitio para hacer la búsqueda del error y poder identificar con más precisión el detalle de este: https://ldapwiki.com/wiki/Common%20Active%20Directory%20Bind%20Errors

Un siguiente error común es cuando no se encuentra el usuario en el directorio activo, para esto es necesario validar que este usuario esté registrado en el directorio activo además de que se realice la verificación de password, lo siguiente que se revisará es que dicho usuario esté dado de alta en la herramienta NMIS.

Ejemplo: