settings ldap

settings ldap komutu, yönetim arayüzüne ve WEB-CLI'ye girişte kullanıcıların dizin sunucusu üzerinden doğrulanmasını yapılandırır. Aynı ayar, kullanıcıların e-posta ve telefon bilgilerinin dizinden okunmasını da sağlar.

Komut Özeti

TR7 WEB-CLI · settings ldap

# komuttan sonra Tab

admin@TR7LBWAF01> settings ldap

show update

 

admin@TR7LBWAF01> settings ldap show # ayarları göster

admin@TR7LBWAF01> settings ldap update … # değiştir

admin@TR7LBWAF01>  

Sunucu Alanları

Bu kaynak tekil bir ayardır: kimlik yazılmaz, update doğrudan çalıştırılır ve yalnız değişecek alanlar verilir.

Alan	Ne yapar	Arkasına ne yazılır
--host	Doğrulamanın yapılacağı dizin sunucusunu belirler	Sunucu adı ya da IP adresi. Şemadaki açıklamaya göre port bu alana yazılmaz
--port	Sunucunun portunu belirler	Port numarası
--isTls	Sunucuya şifreli bağlanılmasını açar	true · false (varsayılan false)
--baseDn	Aramanın hangi dal altından başlayacağını belirler	Dizin yolu (Base DN)

Bağlanma Yöntemi

Alan	Ne yapar	Arkasına ne yazılır
--bindMethod	Kullanıcının dizine nasıl bağlanacağını seçer	pattern — giriş adı desenden üretilir, Active Directory için tipik yöntem (varsayılan) · searchFirst — kullanıcı önce dizinde aranır, giriş bulunan kayıtla yapılır; giriş adının kaydın DN'sinin parçası olmadığı OpenLDAP gibi dizinler için
--principalPattern	pattern yönteminde giriş adının hangi desenden üretileceğini belirler	Kullanıcı adının yerine $USERNAME yazılan desen, örneğin $USERNAME@companyX.com
--bindRestrictionFilter	Yalnız belirli kullanıcıların giriş yapabilmesi için bir süzgeç uygular	Dizin süzgeci, örneğin (memberOf=CN=AppUsers,CN=Groups,DC=company,DC=com). Boş bırakıldığında kısıtlama uygulanmaz

Sorgu Kullanıcısı

Dizinde arama yapmak için ayrı bir hesap kullanılabilir. Sorgu kullanıcısı verildiğinde parola ve arama dalı zorunlu olur.

Alan	Ne yapar	Arkasına ne yazılır
--queryUsername	Dizinde arama yapacak hesabı belirler	Kullanıcı adı. Boş bırakıldığında arama anonim yapılır
queryUserPassword	O hesabın parolasını belirler	Komut satırına yazılmaz. --queryUsername yazıldığında komuttan sonra LDAP query user password: satırında, ekranda görünmeden sorulur
--querySearchBase	Aramanın hangi dal altında yapılacağını belirler	Dizin yolu, örneğin CN=users,.... --queryUsername doluyken şemada zorunludur
--queryMailField	Kullanıcının e-posta adresinin hangi dizin özniteliğinden okunacağını belirler	Öznitelik adı; birden çok öznitelik noktalı virgülle ayrılır
--queryPhoneField	Kullanıcının telefon numarasının hangi dizin özniteliğinden okunacağını belirler	Öznitelik adı; varsayılanı telephoneNumber;Mobile;homePhone

Örnekler

TR7 WEB-CLI · A) Active Directory

admin@TR7LBWAF01> settings ldap update --host dc.kurum.local --port 636 --isTls true \

--bindMethod pattern --principalPattern '$USERNAME@kurum.local' \

--baseDn "DC=kurum,DC=local"

admin@TR7LBWAF01>  

TR7 WEB-CLI · B) Önce ara, sonra bağlan

admin@TR7LBWAF01> settings ldap update --host ldap.kurum.local --port 389 \

--bindMethod searchFirst --baseDn "dc=kurum,dc=local" \

--queryUsername "cn=tr7,ou=servis,dc=kurum,dc=local" \

--querySearchBase "ou=kullanicilar,dc=kurum,dc=local"

LDAP query user password: # yazılan karakterler ekranda görünmez

 

# yalnız bir gruptaki kullanıcılar girebilsin

admin@TR7LBWAF01> settings ldap update \

--bindRestrictionFilter "(memberOf=CN=AppUsers,CN=Groups,DC=kurum,DC=local)"

admin@TR7LBWAF01>  

Bilinmesi Gerekenler

• Bağlanma yöntemi dizinin türüne göre seçilir. pattern yönteminde giriş adı desenden üretilir; bu, Active Directory kurulumlarının tipik davranışıdır. searchFirst yönteminde kullanıcı önce dizinde aranır ve giriş bulunan kayıtla yapılır — giriş adının kaydın DN'sinin parçası olmadığı OpenLDAP gibi dizinlerde bu yöntem gerekir.
• Desende kullanıcı adı yerine $USERNAME yazılır. --principalPattern değerindeki $USERNAME, giriş yapan kullanıcının adıyla değiştirilir. Kabuğun değişken olarak yorumlamaması için değer tek tırnak içinde yazılır.
• Sorgu kullanıcısının parolası gizli sorulur. --queryUsername yazıldığında CLI, komut çalıştırıldıktan sonra hesabın parolasını ekranda görünmeden ister; parola komut satırına yazılmaz. Aynı durumda --querySearchBase de şemada zorunlu olur. Hesap verilmediğinde arama anonim yapılır.
• Kısıtlama filtresi isteğe bağlıdır. --bindRestrictionFilter boş bırakıldığında dizindeki bütün kullanıcılar giriş yapabilir; süzgeç verildiğinde yalnız süzgece uyanlar bağlanabilir.
• Öznitelik alanları iletişim bilgisi içindir. --queryMailField ve --queryPhoneField ile okunan değerler, iki faktörlü doğrulamanın kullanıcıya ulaşabilmesi için gerekir; ilgili ayar settings access komutundadır.
• Kullanıcıların açılması ayrı bir ayardır. Dizinle doğrulanan kullanıcının cihazda kendiliğinden açılıp açılmayacağı settings user-management komutunda belirlenir; oradaki kaynak listesine ldap eklenmelidir.
• Dizin yolları tırnak ister. Boşluk ya da virgül taşıyan DN değerleri çift tırnak içinde yazılır.