11.2. 设置 LDAP 配置
在配置工具中，找到 Authentication 部分并从下拉菜单中选择"LDAP"。根据需要更新 LDAP 配置字段。
- 以下是 config.yaml 文件中生成的条目示例：
AUTHENTICATION_TYPE: LDAP
11.2.1. 完整 LDAP URI
- 完整的 LDAP URI，包括 ldap:// 或 ldaps:// 前缀。
- ldaps:// 开头的 URI 将使用提供的 SSL 证书进行 TLS 设置。
- 以下是 config.yaml 文件中生成的条目示例：
LDAP_URI: ldaps://ldap.example.org
11.2.2. 团队同步
- 如果启用，则超级用户也可以将团队设置为与 LDAP 中的后备组群同步其成员资格。
- 重新同步持续时间是某个团队必须重新同步的期间。必须以持续时间字符串格式表示：30m, 1h, 1d。
- （可选）允许非超级用户在所属的机构下启用和管理团队同步。
- 以下是 config.yaml 文件中生成的条目示例：
FEATURE_TEAM_SYNCING: true TEAM_RESYNC_STALE_TIME: 60m FEATURE_NONSUPERUSER_TEAM_SYNCING_SETUP: true
11.2.3. 基本和依赖关系名称
- 可辨识的 Name 路径，它形成查找所有 LDAP 记录的基本路径。示例： dc=my,dc=domain,dc=com
- 与上方定义的基本 DN 相比，可形成二级基本路径的可辨识名称路径的可选列表。如果未通过主相关 DN 找到用户，将尝试这些路径。
- 用户相对 DN 相对于 BaseDN。示例： ou=NYC not ou=NYC,dc=example,dc=org
- 如果存在多个组织单元，则可以输入多个"次要用户相关 DN"。只需在机构单位输入，然后单击添加按钮来添加多个 RDN。示例： ou=Users,ou=NYC 和 ou=Users,ou=SFO
- "用户相关 DN"搜索带有子树范围。例如，如果您的机构在用户 OU 下具有 Organizational units NYC 和 SFO（ou=SFO，ou=Users 和 ou= NYC, ou=NYC,ou=Users中），如果用户 Relative DN 设置为 Users(ou=Users)，则红帽 Quay 可以验证来自 NYC 和 SFO 机构单元中的用户。
- 以下是 config.yaml 文件中生成的条目示例：
LDAP_BASE_DN: - dc=example - dc=com LDAP_USER_RDN: - ou=users LDAP_SECONDARY_USER_RDNS: - ou=bots - ou=external
11.2.4. 其他用户过滤器
- 如果指定，则使用用于所有用户查询的额外过滤器。请注意，过滤器中使用的所有可辨识名称都必须是 完整路径。在此不会自动添加基本 DN。必须用 parens 换行。示例：（&(someFirstField=someValue)(someOtherField=someOtherValue)
- 以下是 config.yaml 文件中生成的条目示例：
LDAP_USER_FILTER: (memberof=cn=developers,ou=groups,dc=example,dc=com)
11.2.5. 管理员 DN
- 管理员帐户的可辨识的名称和密码。此帐户必须能够登录并查看所有用户帐户的记录。示例：uid=admin,ou=employees,dc=my,dc=domain,dc=com
- 密码将保存在 config.yaml 中的 明文 中，因此强烈建议设置专用帐户或使用密码哈希。
- 以下是 config.yaml 文件中生成的条目示例：
LDAP_ADMIN_DN: cn=admin,dc=example,dc=com LDAP_ADMIN_PASSWD: changeme
11.2.6. UID 和 Mail 属性
- UID 属性是 LDAP 用户记录中属性字段的名称，作为 username 使用。通常"uid"。
- Mail 属性是 LDAP 用户记录中属性字段的名称，用于存储用户电子邮件地址。通常可能是"mail"。
- 其中之一可以在登录期间使用。
- 登录用户名必须存在于用户相关 DN 中。
- sAMAccountName 是针对 Microsoft Active Directory 设置的 UID 属性。
- 以下是 config.yaml 文件中生成的条目示例：
LDAP_UID_ATTR: uid LDAP_EMAIL_ATTR: mail
11.2.7. 验证
配置完成后，单击"保存配置更改"按钮以验证配置。
所有验证必须在继续前成功，或者可通过选择"继续编辑"按钮来执行其他配置。
