Перейти к основному контенту

Подключение LDAP / Active Directory

{{ВИДЕО}}

LDAP / Active Directory используется для автоматического создания учётных записей при первом входе, сопоставления почтовых адресов с ящиками и получения списка адресов для массового сбора. Можно подключить несколько серверов каталога, задать им приоритеты и связать их с доменами организации.

Каталог рекомендуется настроить до массового сбора писем: это упрощает сопоставление адресов и назначение прав.

Добавьте сервер каталога

  1. Откройте [Сбор почты] → [LDAP/AD].
  2. Нажмите [Добавить].
  3. Заполните параметры подключения:
    • [IP / хост сервера] — IP-адрес или FQDN;
    • [Порт (опционально)] — нестандартный порт. Если поле пустое, автоматическая проверка перебирает стандартные порты 636, 3269, 389 и 3268; если порт задан, проверяется только он;
    • [Bind DN / UPN] (!) — учётная запись для подключения, например CN=admin,DC=... или user@domain;
    • [Пароль] — пароль учётной записи; сохраняется в зашифрованном виде;
    • [Приоритет] — порядок использования серверов: чем меньше значение, тем выше приоритет.
  4. Нажмите [Проверить]. Клавдий проверит варианты LDAPS и STARTTLS на выбранном или стандартных портах, с проверкой сертификата и без неё. Открытый LDAP без TLS на этом этапе не используется.
  5. Выберите рабочий вариант и нажмите [Сохранить] напротив него.

{{СКРИНШОТ}}

Если ни один вариант не найден, проверьте адрес сервера, учётные данные и сетевую доступность. Если Active Directory использует внутренний центр сертификации, вариант без проверки сертификата может оказаться рабочим и будет отмечен предупреждением. Для рабочей эксплуатации укажите CA-сертификат и включите проверку сертификата.

Управляйте подключённым сервером

В списке серверов отображаются идентификатор, адрес подключения, состояние, приоритет, расписание синхронизации и доступные действия.

  • [Проверить] — повторно проверить подключение и обновить состояние;
  • [Синхронизировать] — немедленно запустить обнаружение пользователей и групп;
  • [Расписание] — настроить период, время суток, дни недели и максимальное время выполнения синхронизации;
  • [Редактировать] — изменить параметры подключения;
  • [Удалить] — удалить сервер каталога.

Измените параметры подключения

  1. Нажмите [Редактировать] напротив нужного сервера.
  2. При необходимости измените:
    • [Шифрование] — LDAPS или STARTTLS; открытый канал запрещён;
    • [Пароль] — оставьте поле пустым, чтобы сохранить текущий пароль;
    • [Файл сертификата (CA)] — путь к PEM-файлу; если поле пустое, используется системное хранилище /etc/ssl/certs;
    • [Проверка сертификата] — включение или отключение проверки сертификата сервера;
    • [Домены компании] — домены, обслуживаемые этим сервером и используемые при выборе каталога по имени пользователя;
    • [Приоритет];
    • [Состояние] — включение или отключение сервера.
  3. Нажмите [Сохранить].

Для удаления используйте [Удалить] в строке сервера и подтвердите действие.

Диагностика подключения

Откройте сервер, нажмите [Проверить подключение] и проверьте блок [Статус подключения]. При ошибке интерфейс показывает русское описание причины и строку [Техническая деталь] с кодом возврата LDAP и диагностикой сервера.

Сообщение Что означает Что проверить
Сервер недоступен. Проверьте IP-адрес, порт и сетевую доступность… TCP-соединение не установлено адрес, порт (389, 636, 3268, 3269), сетевой экран, маршрутизацию, доступность сервера
Неверные учётные данные. сервер отклонил имя пользователя или пароль, код 49 Bind DN/UPN, пароль, срок действия и блокировку учётной записи, права на чтение каталога
Сбой TLS-handshake. Внутренний CA не доверяется… TLS-соединение не установлено CA-файл, FQDN вместо IP, соответствие имени сертификата и срок его действия
Не удалось задать параметры SSL/TLS CA-файл не удалось использовать путь к файлу и формат PEM
Таймаут подключения сервер не ответил примерно за 10 секунд доступность и нагрузку сервера, порт
Сервер не поддерживает LDAPv3 сервер не поддерживает LDAP версии 3 версию сервера каталога
Неизвестная ошибка LDAP получен referral(!) или ошибка чтения rootDSE доверие между лесами и специфические настройки каталога

Для Active Directory с внутренним центром сертификации подключение с включённой проверкой сертификата завершится ошибкой, пока CA не добавлен. Для диагностики можно временно отключить [Проверять сертификат], убедиться в сетевой связности, затем указать CA-сертификат и снова включить проверку.

Используйте автоматическую проверку вариантов подключения

Если режим шифрования и порт заранее неизвестны, используйте автоматическую проверку.

  1. Укажите [Bind DN] (!) и [Пароль].
  2. В блоке [Автопроба подключения] перечислите адреса серверов — по одному на строку.
  3. При необходимости включите:
    • [Пробовать без проверки сертификата] — для диагностики самоподписанного сертификата или внутреннего CA;
    • [Пробовать незащищённый LDAP] — только для диагностики; такую конфигурацию сохранить нельзя.
  4. Нажмите [Запустить автопробу].

В таблице результатов каждая строка соответствует одной комбинации режима, порта и проверки сертификата.

  • Зелёная строка означает успешное подключение. Для LDAPS и STARTTLS доступна кнопка [Применить].
  • Предупреждение означает, что соединение работает только без проверки сертификата. Для рабочей эксплуатации добавьте CA-файл.
  • Пометка [только диагностика] означает, что сработал незашифрованный LDAP; этот вариант нельзя сохранить.

Над таблицей отображается рекомендуемый рабочий вариант. Нажмите [Применить рекомендуемый], затем [Сохранить настройки].

Порядок проверки:

Режим Порт Проверка сертификата Примечание
LDAPS 636 да стандартный вариант
LDAPS 3269 да глобальный каталог для многодоменного леса
STARTTLS 389 да переход LDAP-соединения на TLS
STARTTLS 3268 да глобальный каталог с STARTTLS
LDAPS / STARTTLS 636/3269/389/3268 нет только при включённой проверке без сертификата
LDAP без TLS 389/3268 — только при включённой диагностике незащищённого LDAP

На один сервер может выполняться до примерно 10 попыток по 10 секунд. Если сервер недоступен, каждая попытка завершится ошибкой доступности.

Что дальше

Навигация по книге

Наверх