Active Directory ve LDAP ile giriş

Bu rehberin sonunda kişiler Proxus giriş sayfasında Active Directory kullanıcı adı ve parolalarıyla girer; AD grupları Proxus rollerini belirler. Proxus domain controller'larınızla doğrudan konuşur; başka bir şey kurulmaz. Aynısı OpenLDAP, FreeIPA ve diğer LDAP dizinleri için de çalışır.

Proxus dizin parolalarını hiçbir zaman saklamaz. Her girişte parolanın doğru olup olmadığını dizine sorar; bu yüzden değişen, süresi dolan ya da kapatılan bir AD hesabı bir sonraki girişte geçerli olur.

Uygulamalar arasında tek oturum açma ya da parola yazmadan Windows ile giriş için bunun yerine Keycloak üzerinden Active Directory sayfasını kullanın.

Başlamadan önce

• Active Directory'de salt okunur bir servis hesabı, örneğin svc-proxus-ldap; parolasının süresi dolmamalı. Proxus kişileri ve gruplarını bu hesapla bulur.
• Domain controller'larınızda LDAPS (port 636) ve şirketinizin kök CA sertifikası .pem dosyası olarak. Windows Server 2025 şifrelenmemiş LDAP girişlerini varsayılan olarak reddeder; her yerde LDAPS kullanın.
• Proxus için AD grupları, örneğin proxus-admins, proxus-operators ve proxus-viewers, içinde kişilerle. Bu grupların içindeki gruplar da sayılır.
• Hub'ın domain controller'lara 636 numaralı porttan ulaşabilmesi.

Adım 1: CA sertifikasını Proxus'a verin

Şirketinizin kök CA sertifikasını hub'ın yapılandırma klasörüne kopyalayın, örneğin company-root-ca.pem olarak. Konteynerde bu /app/config/company-root-ca.pem olur (config volume'ü).

Domain controller'ların sertifikaları hub'ın işletim sisteminin zaten güvendiği bir CA'dan geliyorsa bu adımı atlayabilirsiniz.

Adım 2: Dizinle girişi açın

1. Yapılandırma klasöründeki Proxus-config.toml dosyasını açın, [Authentication.Ldap] bölümünü bulun ve doldurun:

   Proxus-config.toml

   [Authentication.Ldap]
   Enabled = true
   Servers = ["ldaps://dc1.plant.local:636", "ldaps://dc2.plant.local:636"]
   TrustedCaFile = "/app/config/company-root-ca.pem"
   BindDn = "CN=svc-proxus-ldap,OU=Service Accounts,DC=plant,DC=local"
   UserBaseDn = "OU=Users,DC=plant,DC=local"
   GroupBaseDn = "OU=Groups,DC=plant,DC=local"
   
   [Authentication.Ldap.RoleMap]
   proxus-admins = ["Administrators"]
   proxus-operators = ["Operator"]
   proxus-viewers = ["Viewer"]

   Proxus sunucuları sırayla dener; ilki kapalıyken ikinci bir domain controller girişi çalışır tutar.

2. Servis hesabının parolasını dosyaya değil, hub'a ortam değişkeni olarak verin. Docker Compose'da proxus-ui servisinin environment bölümüne ekleyin:

   environment:
     Authentication__Ldap__BindPassword: ${PROXUS_LDAP_BIND_PASSWORD}

   ve docker-compose.yml dosyasının yanındaki .env dosyasına PROXUS_LDAP_BIND_PASSWORD=... yazın.

3. Hub'ı yeniden başlatın.

Varsayılanlar Active Directory'ye uygundur: kişiler sAMAccountName ile bulunur, bu Proxus kullanıcı adı olur ve iç içe gruplar izlenir. Tüm anahtarlar Yapılandırma anahtarları sayfasında anlatılır.

Adım 3: Rolleri kontrol edin

Proxus her girişte, RoleMap'in kişinin gruplarını eşlediği rolleri verir ve kişinin ayrıldığı gruplara ait eşlenen rolleri geri alır. RoleMap'in adını vermediği roller, bir yöneticinin Proxus'ta ayarladığı gibi kalır.

Bir kişi ilk kez girdiğinde Proxus, eşlenen rollerin yanında Default rolüyle kullanıcısını oluşturur. Bunu DefaultRoles ile değiştirin; yalnızca bir yöneticinin bağladığı kişileri içeri almak için CreateUsers = false yapın.

Adım 4: Test edin

1. Proxus'u gizli bir tarayıcı penceresinde açın.
2. proxus-admins grubundaki bir AD hesabının kullanıcı adı ve parolasıyla girin.
3. Proxus'ta Güvenlik > Kullanıcılar'ı açın: kişi Administrators rolüyle listelenir.
4. Kişiyi AD'de gruptan çıkarın ve yeniden girin: rol kalkar.

Mevcut Proxus kullanıcıları

Bir AD hesabıyla aynı kullanıcı adına sahip bir Proxus kullanıcısı, Proxus parolasıyla girmeye devam eder. Bu kullanıcıları Active Directory'ye taşımak için LinkExistingUsers = true yapın ve hub'ı yeniden başlatın: bir sonraki girişlerinden itibaren AD parolalarını kullanırlar ve Proxus parolaları artık çalışmaz.

Yöneticiler hiçbir zaman taşınmaz. Proxus parolalarını korurlar; böylece her zaman bir giriş yolu kalır.

Bir giriş yolunu açık tutun

Proxus parolasıyla giren en az bir Proxus yöneticisi bırakın (Admin kullanıcısı, iki adımlı doğrulama ile). Hiçbir domain controller'a ulaşılamadığında bu hesap yine çalışır; dizinle giren kişiler ise dizine ulaşılamadığını söyleyen bir mesaj görür.

Nasıl korunur

• Parolalar yalnızca domain controller'lara, LDAPS ya da StartTLS üzerinden gider. StartTls olmadan düz bir ldap:// adresinde hub açılırken bir uyarı yazar.
• Yanlış parola başarısız giriş sayılır; Active Directory'de olduğu gibi hesap kilitleme uygulanır.
• Boş parola her zaman reddedilir. Kişilerin yazdıkları dizin aramasını değiştiremez.
• Dizin kullanıcıları iki adımlı doğrulamayı açabilir. Parolalarını Active Directory'de değiştirirler; Proxus onlara Parolamı değiştir seçeneğini göstermez.
• Bir yönetici bir dizin kullanıcısını Proxus'ta kapatabilir (Etkin kapalı); AD hesabı değişmez.

OpenLDAP ve diğer dizinler

Filtreleri dizininizin nesne sınıflarına göre değiştirin, örneğin OpenLDAP için:

[Authentication.Ldap]
UserFilter = "(&(objectClass=inetOrgPerson)(uid={0}))"
UserNameAttribute = "uid"
GroupFilter = "(&(objectClass=groupOfNames)(member={0}))"

{0}, UserFilter içinde yazılan kullanıcı adı, GroupFilter içinde kişinin DN'idir.

Bir şey çalışmadığında

Hub, reddedilen her dizin girişinin nedenini loguna yazar (Authentication kategorisi).

Sırada ne var

• Keycloak üzerinden Active Directory: tek oturum açma ve Windows ile giriş
• Kullanıcılar ve roller
• İki adımlı doğrulama