Управление пользователями и группами через LDAP - История изменений

YaPolkin в 11:15, 26 января 2023

2023-01-26T11:15:14Z

YaPolkin в 09:27, 18 марта 2022

2022-03-18T09:27:12Z

← Предыдущая		Версия 09:27, 18 марта 2022
Строка 71:		Строка 71:
	* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=org</code> и <code>OU=Lab,DC=org</code>:		* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=org</code> и <code>OU=Lab,DC=org</code>:

	[[Файл:Ldapexample1.~~webp~~\|альт=LDAP пример 1\|LDAP пример 1]]		[[Файл:Ldapexample1.jpg\|альт=LDAP пример 1\|LDAP пример 1]]

	Если вы хотите распределить пользователей по группам в обоих поддеревьях, вы должны указать базовое DN для запроса групп как <code>DC=org</code> (родительская запись). Чтобы назначать пользователей только в группы поддерева <code>OU=Lab,DC=org</code>, укажите это поддерево в качестве базового DN.		Если вы хотите распределить пользователей по группам в обоих поддеревьях, вы должны указать базовое DN для запроса групп как <code>DC=org</code> (родительская запись). Чтобы назначать пользователей только в группы поддерева <code>OU=Lab,DC=org</code>, укажите это поддерево в качестве базового DN.
Строка 122:		Строка 122:
	<blockquote><code>OU=Functional,OU=Accounts,DC=org</code> и <code>OU=Primary,OU=Accounts,DC=org</code></blockquote>		<blockquote><code>OU=Functional,OU=Accounts,DC=org</code> и <code>OU=Primary,OU=Accounts,DC=org</code></blockquote>

	[[Файл:Ldapexample2.~~webp~~\|альт=LDAP пример 2\|LDAP пример 2]]		[[Файл:Ldapexample2.jpg\|альт=LDAP пример 2\|LDAP пример 2]]

	Ссылаясь на пример дерева выше:		Ссылаясь на пример дерева выше:

Lobanov: /* Конфигурация запросов групп */

2022-03-15T17:10:32Z

Конфигурация запросов групп

YaPolkin в 14:29, 5 декабря 2021

2021-12-05T14:29:17Z

YaPolkin в 14:26, 5 декабря 2021

2021-12-05T14:26:53Z

← Предыдущая		Версия 14:26, 5 декабря 2021
Строка 9:		Строка 9:

	* Пример страницы "Конфигурация LDAP"		* Пример страницы "Конфигурация LDAP"
	</blockquote>/
			[[Файл:Live-example-obfuscated.webp\|альт=Пример страницы конфигурации LDAP\|Пример страницы конфигурации LDAP]]

			</blockquote>
	----<blockquote>После перехода на аутентификацию LDAP		----<blockquote>После перехода на аутентификацию LDAP

Строка 26:		Строка 29:
	Пример раздела «Конфигурация подключения»		Пример раздела «Конфигурация подключения»

	-		[[Файл:1-connection-configuration.webp\|альт=Конфигурация подключения\|Конфигурация подключения]]

	1. Введите адрес вашего хоста LDAP.		1. Введите адрес вашего хоста LDAP.
Строка 62:		Строка 65:
	Пример раздела "Запрос групп"		Пример раздела "Запрос групп"

	-		[[Файл:2-groups-query.webp\|альт=Запрос групп\|Запрос групп]]

	1. Введите строки запроса в соответствующие поля, чтобы получить группы, которые вы хотите интегрировать с Dynatrace.		1. Введите строки запроса в соответствующие поля, чтобы получить группы, которые вы хотите интегрировать с Dynatrace.
Строка 68:		Строка 71:
	* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=dynatrace,DC=org</code> и <code>OU=Lab,DC=dynatrace,DC=org</code>:		* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=dynatrace,DC=org</code> и <code>OU=Lab,DC=dynatrace,DC=org</code>:

	-		[[Файл:Ldapexample1.webp\|альт=LDAP пример 1\|LDAP пример 1]]

	Если вы хотите распределить пользователей по группам в обоих поддеревьях, вы должны указать базовое DN для запроса групп как <code>DC=dynatrace,DC=org</code> (родительская запись). Чтобы назначать пользователей только в группы поддерева <code>OU=Lab,DC=dynatrace,DC=org</code>, укажите это поддерево в качестве базового DN.		Если вы хотите распределить пользователей по группам в обоих поддеревьях, вы должны указать базовое DN для запроса групп как <code>DC=dynatrace,DC=org</code> (родительская запись). Чтобы назначать пользователей только в группы поддерева <code>OU=Lab,DC=dynatrace,DC=org</code>, укажите это поддерево в качестве базового DN.
Строка 111:		Строка 114:
	Пример раздела "Пользовательский запрос"		Пример раздела "Пользовательский запрос"

	-		[[Файл:3-users-query.webp\|альт=Запрос пользователей\|Запрос пользователей]]

	1. Введите строки запроса в соответствующие поля, чтобы получить пользователей, которых вы хотите интегрировать с Dynatrace.		1. Введите строки запроса в соответствующие поля, чтобы получить пользователей, которых вы хотите интегрировать с Dynatrace.
Строка 117:		Строка 120:
	* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса пользователей - это запись, содержащая поддерево, в котором существуют ваши пользователи. Например, на изображении ниже есть два поддерева, содержащие пользователей:		* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса пользователей - это запись, содержащая поддерево, в котором существуют ваши пользователи. Например, на изображении ниже есть два поддерева, содержащие пользователей:

	<blockquote><code>OU=Functional,OU=Accounts,DC=dynatrace,DC=org</code> и <code>OU=Primary,OU=Accounts,DC=dynatrace,DC=org</code></blockquote>-		<blockquote><code>OU=Functional,OU=Accounts,DC=dynatrace,DC=org</code> и <code>OU=Primary,OU=Accounts,DC=dynatrace,DC=org</code></blockquote>

			[[Файл:Ldapexample2.webp\|альт=LDAP пример 2\|LDAP пример 2]]

	Ссылаясь на пример дерева выше:		Ссылаясь на пример дерева выше:

YaPolkin в 14:19, 5 декабря 2021

2021-12-05T14:19:18Z

← Предыдущая		Версия 14:19, 5 декабря 2021
Строка 9:		Строка 9:

	* Пример страницы "Конфигурация LDAP"		* Пример страницы "Конфигурация LDAP"
	</blockquote>-		</blockquote>/
	----<blockquote>После перехода на аутентификацию LDAP		----<blockquote>После перехода на аутентификацию LDAP

YaPolkin: Новая страница: «Вы можете подключить управляемый кластер Dynatrace к каталогу LDAP для аутентификации, управл...»

2021-12-05T14:11:06Z

Новая страница: «Вы можете подключить управляемый кластер Dynatrace к каталогу LDAP для аутентификации, управл...»

Новая страница

Вы можете подключить управляемый кластер Dynatrace к каталогу LDAP для аутентификации, управления пользователями и группами.

Благодаря интеграции LDAP пользователи внешнего ресурса LDAP могут получить доступ к Dynatrace. Затем вы можете назначать пользователей в группы в Dynatrace, или группы могут быть назначены пользователям на основе информации LDAP.

== Начало ==
1. В меню Dynatrace перейдите в меню «Аутентификация пользователя»> «Репозиторий пользователя».

2. Выберите Внешний сервер LDAP из списка.<blockquote>Откроется страница конфигурации LDAP.

* Пример страницы "Конфигурация LDAP"
</blockquote>-
----<blockquote>После перехода на аутентификацию LDAP

# Локальные учетные записи (кроме учетной записи администратора) перестанут работать: будет невозможно войти в систему с локальной учетной записью.
# Учетная запись администратора, созданная вами во время установки, будет продолжать работать независимо от выбранного провайдера аутентификации.
</blockquote>
----3. На странице конфигурации LDAP отображается трехэтапный процесс настройки.

# Конфигурация подключения
# Конфигурация запросов групп
# Конфигурация запросов пользователей

См. ниже подробные сведения о конфигурации.

== Конфигурация подключения ==
Пример раздела «Конфигурация подключения»

-

1. Введите адрес вашего хоста LDAP.

* Чтобы включить шифрованную связь с сервером LDAP, выберите «Использовать SSL». Это приведет к автоматическому изменению номера порта, но затем вы можете настроить его на другое значение по мере необходимости.

2. При необходимости измените номер порта:

* 389 - это номер порта по умолчанию для стандартного соединения LDAP, но убедитесь, что ваш сервер LDAP действительно его использует.
* 636 - это номер порта по умолчанию для безопасного соединения LDAPS (LDAP через SSL).

3. Укажите Bind DN (отличительное имя) для учетной записи пользователя LDAP, например, в формате:

<code>CN=UserName,OU=OU-name,DC=DomainName,DC=DomainExtension</code>

или любая другая допустимая строка LDAP.
----<blockquote>'''Примечание:''' Bind DN обычно используется системным пользователем (а не физическим лицом) для подключения к серверу LDAP. С точки зрения сервера LDAP, это просто пользователь, который читает данные и, следовательно, не нуждается в доступе для записи, но ему нужен доступ для чтения ко всем данным, которые будут извлечены из LDAP сервером Dynatrace.</blockquote>
----4. Введите пароль, используемый пользователем LDAP, указанным в DN привязки.

5. <u>[опционально]</u> Если вы настроили рефералы на своем сервере LDAP, установите Максимальное количество переходов.

6. Выберите «Проверить соединение», чтобы проверить, может ли Dynatrace Managed подключиться к вашему серверу LDAP. Во время проверки подключения

# Dynatrace пытается распознать тип используемого вами LDAP-сервера.
# На основе предыдущего шага Dynatrace предоставляет вам настройки по умолчанию для групповых и пользовательских запросов.

Когда соединение установлено, вы готовы к настройке групп и пользователей.

* Группы должны создаваться администратором вручную.
* Пользователи создаются автоматически, но только после успешной попытки аутентификации.

== Конфигурация запросов групп ==
После успешного тестирования соединения становится активным шаг запроса Группы. Если вы хотите использовать интеграцию LDAP только для аутентификации (для управления группами и назначения разрешений в Dynatrace Managed), снимите флажок «Назначать пользователей группам автоматически на основе запроса LDAP» и перейдите к настройке запроса пользователей. В противном случае выполните следующие действия.

Пример раздела "Запрос групп"

-

1. Введите строки запроса в соответствующие поля, чтобы получить группы, которые вы хотите интегрировать с Dynatrace.

* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=dynatrace,DC=org</code> и <code>OU=Lab,DC=dynatrace,DC=org</code>:

-

Если вы хотите распределить пользователей по группам в обоих поддеревьях, вы должны указать базовое DN для запроса групп как <code>DC=dynatrace,DC=org</code> (родительская запись). Чтобы назначать пользователей только в группы поддерева <code>OU=Lab,DC=dynatrace,DC=org</code>, укажите это поддерево в качестве базового DN.

* Вы можете ввести строку фильтра LDAP, чтобы сократить количество возвращаемых групп. Фильтр должен содержать информацию о том, какой класс объектов имеет записи группы. Например, для Active Directory фильтр по умолчанию:

<blockquote><code>(objectClass=group)</code>

а для OpenLDAP фильтр по умолчанию:

<code>(objectClass=groupOfNames)</code>

Чтобы сузить количество используемых групп, вы можете расширить фильтр с помощью ограничений имени группы. Например, фильтр <code>(&(objectClass=group)(CN=PL_*))</code> сужает группы, используемые системой, до групп, которые имеют <code>group</code> как атрибут <code>objectClass</code> и атрибут <code>CN</code> (общее имя), начинающийся с <code>PL_</code>. Вы можете вставить сюда любой другой действительный запрос LDAP. Помните, что LDAP нечувствителен к регистру.</blockquote>

* Настройте атрибут Group Id. Этот атрибут используется только в особых случаях. Чтобы узнать больше, проверьте раздел «Соответствие пользователей и групп» ниже. Если не применимо, установите для него то же значение, что и для атрибута имени группы.
* Настройте атрибут имени группы. Это атрибут, содержащий имя группы, обычно называемое <code>name</code> (например, для Active Directory) или <code>cn</code> (например, для OpenLDAP). Значения атрибутов имени группы в вашем каталоге LDAP должны совпадать с именами групп LDAP на странице Группы пользователей. Помните, что LDAP нечувствителен к регистру.

----<blockquote><big>'''Пример'''</big>

Если соответствующая запись группы в вашем каталоге LDAP:
{| class="wikitable"
!Атрибут
!Значение
|-
|<code>name</code>
|<code>My_TestGroup1</code>
|}
Затем настройте следующее:

* В Dynatrace, Аутентификация пользователя> Репозиторий пользователей (страница конфигурации LDAP), на шаге запроса групп установите для атрибута имени группы значение <code>name</code> (имя атрибута).
* В Dynatrace, Проверка подлинности пользователя> Группы пользователей, отредактируйте или добавьте группу и добавьте <code>My_TestGroup1</code> (значение атрибута) в группы LDAP.
</blockquote>
----'''Примечание:''' Имя группы LDAP на странице «Группы пользователей» по умолчанию соответствует имени группы, которое вы указываете при создании группы.

* Настройте атрибут «Члены группы». Этот атрибут подробно рассматривается в разделе «Сопоставление пользователей и групп» ниже.

2. Выберите Протестировать запрос, чтобы проверить свои настройки и убедиться, что запрос работает.

== Конфигурация запросов пользователей ==
После успешного тестирования соединения становится активным шаг запроса Пользователи.

Пример раздела "Пользовательский запрос"

-

1. Введите строки запроса в соответствующие поля, чтобы получить пользователей, которых вы хотите интегрировать с Dynatrace.

* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса пользователей - это запись, содержащая поддерево, в котором существуют ваши пользователи. Например, на изображении ниже есть два поддерева, содержащие пользователей:

<blockquote><code>OU=Functional,OU=Accounts,DC=dynatrace,DC=org</code> и <code>OU=Primary,OU=Accounts,DC=dynatrace,DC=org</code></blockquote>-

Ссылаясь на пример дерева выше:

* Чтобы аутентифицировать пользователей из обоих поддеревьев (<code>OU=Functional</code> и <code>OU=Primary</code>), установите Base DN для родительской записи этих поддеревьев:

<blockquote><code>OU=Accounts,DC=dynatrace,DC=org</code></blockquote>

* Чтобы аутентифицировать пользователей только из OU = Primary subtree of OU = Accounts, установите для Base DN значение:

<blockquote><code>OU=Primary,OU=Accounts,DC=dynatrace,DC=org</code></blockquote>

* Чтобы еще больше ограничить пользователей системы поддеревом OU = EU из OU = Primary, установите для Base DN значение:

<blockquote><code>OU=EU,OU=Primary,OU=Accounts,DC=dynatrace,DC=org</code></blockquote>

* Вы можете ввести строку фильтра LDAP, чтобы сократить количество возвращаемых пользователей. Фильтр должен содержать информацию о том, какой класс объектов имеет записи группы. Например, для Active Directory и OpenLDAP фильтр по умолчанию:

<blockquote><code>(objectClass=person)</code>

Чтобы сузить количество аутентифицированных пользователей, вы можете расширить фильтр с помощью любого допустимого запроса LDAP. Например, фильтр

<code>(&(objectClass=user)(|(department=101)(department=102)(department=103)))</code>

сужает количество прошедших аутентификацию пользователей до тех, у которых атрибут <code>user</code> as <code>objectClass</code> и атрибут <code>department</code> установлены на одно из указанных значений.

Помните, что LDAP нечувствителен к регистру.</blockquote>

* Настройте атрибут входа в систему. Этот атрибут используется для входа в систему.

* Если указанные атрибуты вам не подходят, настройте атрибуты «Имя», «Фамилия» и «Электронная почта».

* Настройте атрибут членства в группе. Этот атрибут подробно рассматривается в разделе «Сопоставление пользователей и групп» ниже.

2. Выберите Тестовый запрос, чтобы проверить свои настройки и убедиться, что запрос работает.

'''Примечание:'''

Параметры тестового запроса (как для групп, так и для пользователей) проверяют только правильность базовых DN, фильтров и обязательных атрибутов - атрибута имени группы для групп и атрибута входа в систему для пользователей.

* Тестовые запросы не вызывают ошибок, если необязательные атрибуты настроены неправильно.
* Тестовые запросы не проверяют, правильно ли распределены пользователи по группам.

== Соответствие пользователей и групп ==
Есть несколько способов сопоставить пользователей с группами на серверах каталогов LDAP. Просмотрите эти примеры, чтобы найти решение, которое лучше всего подходит для вас.

=== Пример соответствия 1 ===
Если атрибут участников группы (например, <code>member</code> или <code>uniqueMember</code>) в записи группы LDAP содержит DN пользователя:

* Настраивать атрибут Group Id не нужно. Вы можете настроить атрибут Group Id на то же значение, что и атрибут Group name.

=== Пример соответствия 2 ===
Если атрибут членства в группе (например, <code>memberOf</code> или <code>isMemberOf</code>) в записи пользователя содержит DN группы:

* Настройка атрибута Group Id также не требуется, поскольку DN группы используется для сопоставления пользователей и групп. Вы можете настроить атрибут Group Id на то же значение, что и атрибут Group name.

=== Пример соответствия 3 ===
Если атрибут членства в группе (например, <code>gid</code> или <code>group</code>) в записи пользователя содержит идентификатор группы:

* Атрибут Group Id должен быть настроен для атрибута, который хранит указанное значение.

Пример групповой записи в каталоге LDAP:
{| class="wikitable"
!Атрибут
!Значение
|-
|<code>gidNumber</code>
|<code>6380</code>
|}
Пример записи пользователя в каталоге LDAP:
{| class="wikitable"
!Атрибут
!Значение
|-
|<code>gid</code>
|<code>6380</code>
|}
Затем:

* Атрибут Group Id (в запросе групп) должен быть настроен на <code>gidNumber</code>
* Атрибут членства в группе (в запросе пользователей) должен быть настроен на <code>gid</code>

== Сопоставьте управляемые группы Dynatrace с группами LDAP ==
Для получения информации о разрешениях групп пользователей, доступных в Dynatrace Managed, см. Группы пользователей и разрешения.

После того, как вы успешно настроили группы и пользователей из LDAP, вам необходимо назначить роли среды мониторинга группам из вашего каталога пользователей. По умолчанию импортированным группам не предоставляются разрешения на среду мониторинга.
----'''Примечание:'''

Пользователи не смогут получить доступ к среде мониторинга, пока вы не выполните этот шаг.
----1. В меню навигации выберите Проверка подлинности пользователя> Группы пользователей.

2. В списке групп, импортированных из LDAP, выберите имена групп, которые вы хотите настроить.

3. Вы можете назначить права администратора кластера любой конкретной группе, включив Предоставить разрешения глобального администратора этой группе. Все учетные записи пользователей в этой группе будут иметь права администратора.

4. В разделе «Разрешения» вручную установите разрешения для каждой среды.

== Ограничения ==
Dynatrace не поддерживает несколько доменов для аутентификации пользователей LDAP.

← Предыдущая		Версия 11:15, 26 января 2023
Строка 1:		Строка 1:
	Вы можете подключить управляемый кластер ~~Ключ-АСТРОМ~~ к каталогу LDAP для аутентификации, управления пользователями и группами.		Вы можете подключить управляемый кластер Dynatrace к каталогу LDAP для аутентификации, управления пользователями и группами.

	Благодаря интеграции LDAP пользователи внешнего ресурса LDAP могут получить доступ к ~~Ключ-АСТРОМ~~. Затем вы можете назначать пользователей в группы в ~~Ключ-АСТРОМ~~, или группы могут быть назначены пользователям на основе информации LDAP.		Благодаря интеграции LDAP пользователи внешнего ресурса LDAP могут получить доступ к Dynatrace. Затем вы можете назначать пользователей в группы в Dynatrace, или группы могут быть назначены пользователям на основе информации LDAP.

	== Начало ==		== Начало ==
	1. В меню ~~Ключ-АСТРОМ~~ перейдите в меню «Аутентификация пользователя»> «Репозиторий пользователя».		1. В меню Dynatrace перейдите в меню «Аутентификация пользователя»> «Репозиторий пользователя».

	2. Выберите Внешний сервер LDAP из списка.<blockquote>Откроется страница конфигурации LDAP.		2. Выберите Внешний сервер LDAP из списка.<blockquote>Откроется страница конфигурации LDAP.
Строка 45:		Строка 45:

	или любая другая допустимая строка LDAP.		или любая другая допустимая строка LDAP.
	----<blockquote>'''Примечание:''' Bind DN обычно используется системным пользователем (а не физическим лицом) для подключения к серверу LDAP. С точки зрения сервера LDAP, это просто пользователь, который читает данные и, следовательно, не нуждается в доступе для записи, но ему нужен доступ для чтения ко всем данным, которые будут извлечены из LDAP сервером ~~Ключ-АСТРОМ~~.</blockquote>		----<blockquote>'''Примечание:''' Bind DN обычно используется системным пользователем (а не физическим лицом) для подключения к серверу LDAP. С точки зрения сервера LDAP, это просто пользователь, который читает данные и, следовательно, не нуждается в доступе для записи, но ему нужен доступ для чтения ко всем данным, которые будут извлечены из LDAP сервером Dynatrace.</blockquote>
	----4. Введите пароль, используемый пользователем LDAP, указанным в DN привязки.		----4. Введите пароль, используемый пользователем LDAP, указанным в DN привязки.

	5. <u>[опционально]</u> Если вы настроили рефералы на своем сервере LDAP, установите Максимальное количество переходов.		5. <u>[опционально]</u> Если вы настроили рефералы на своем сервере LDAP, установите Максимальное количество переходов.

	6. Выберите «Проверить соединение», чтобы проверить, может ли ~~Ключ-АСТРОМ~~ Managed подключиться к вашему серверу LDAP. Во время проверки подключения		6. Выберите «Проверить соединение», чтобы проверить, может ли Dynatrace Managed подключиться к вашему серверу LDAP. Во время проверки подключения

	# ~~Ключ-АСТРОМ~~ пытается распознать тип используемого вами LDAP-сервера.		# Dynatrace пытается распознать тип используемого вами LDAP-сервера.
	# На основе предыдущего шага ~~Ключ-АСТРОМ~~ предоставляет вам настройки по умолчанию для групповых и пользовательских запросов.		# На основе предыдущего шага Dynatrace предоставляет вам настройки по умолчанию для групповых и пользовательских запросов.

	Когда соединение установлено, вы готовы к настройке групп и пользователей.		Когда соединение установлено, вы готовы к настройке групп и пользователей.
Строка 61:		Строка 61:

	== Конфигурация запросов групп ==		== Конфигурация запросов групп ==
	После успешного тестирования соединения становится активным шаг запроса Группы. Если вы хотите использовать интеграцию LDAP только для аутентификации (для управления группами и назначения разрешений в ~~Ключ-АСТРОМ~~ Managed), снимите флажок «Назначать пользователей группам автоматически на основе запроса LDAP» и перейдите к настройке запроса пользователей. В противном случае выполните следующие действия.		После успешного тестирования соединения становится активным шаг запроса Группы. Если вы хотите использовать интеграцию LDAP только для аутентификации (для управления группами и назначения разрешений в Dynatrace Managed), снимите флажок «Назначать пользователей группам автоматически на основе запроса LDAP» и перейдите к настройке запроса пользователей. В противном случае выполните следующие действия.

	Пример раздела "Запрос групп"		Пример раздела "Запрос групп"
Строка 67:		Строка 67:
	[[Файл:2-groups-query.webp\|альт=Запрос групп\|Запрос групп]]		[[Файл:2-groups-query.webp\|альт=Запрос групп\|Запрос групп]]

	1. Введите строки запроса в соответствующие поля, чтобы получить группы, которые вы хотите интегрировать с ~~Ключ-АСТРОМ~~.		1. Введите строки запроса в соответствующие поля, чтобы получить группы, которые вы хотите интегрировать с Dynatrace.

	* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=org</code> и <code>OU=Lab,DC=org</code>:		* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=org</code> и <code>OU=Lab,DC=org</code>:
Строка 100:		Строка 100:
	Затем настройте следующее:		Затем настройте следующее:

	* В ~~Ключ-АСТРОМ~~, Аутентификация пользователя> Репозиторий пользователей (страница конфигурации LDAP), на шаге запроса групп установите для атрибута имени группы значение <code>name</code> (имя атрибута).		* В Dynatrace, Аутентификация пользователя> Репозиторий пользователей (страница конфигурации LDAP), на шаге запроса групп установите для атрибута имени группы значение <code>name</code> (имя атрибута).
	* В ~~Ключ-АСТРОМ~~, Проверка подлинности пользователя> Группы пользователей, отредактируйте или добавьте группу и добавьте <code>My_TestGroup1</code> (значение атрибута) в группы LDAP.		* В Dynatrace, Проверка подлинности пользователя> Группы пользователей, отредактируйте или добавьте группу и добавьте <code>My_TestGroup1</code> (значение атрибута) в группы LDAP.
	</blockquote>		</blockquote>
	----'''Примечание:''' Имя группы LDAP на странице «Группы пользователей» по умолчанию соответствует имени группы, которое вы указываете при создании группы.		----'''Примечание:''' Имя группы LDAP на странице «Группы пользователей» по умолчанию соответствует имени группы, которое вы указываете при создании группы.
Строка 116:		Строка 116:
	[[Файл:3-users-query.webp\|альт=Запрос пользователей\|Запрос пользователей]]		[[Файл:3-users-query.webp\|альт=Запрос пользователей\|Запрос пользователей]]

	1. Введите строки запроса в соответствующие поля, чтобы получить пользователей, которых вы хотите интегрировать с ~~Ключ-АСТРОМ~~.		1. Введите строки запроса в соответствующие поля, чтобы получить пользователей, которых вы хотите интегрировать с Dynatrace.

	* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса пользователей - это запись, содержащая поддерево, в котором существуют ваши пользователи. Например, на изображении ниже есть два поддерева, содержащие пользователей:		* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса пользователей - это запись, содержащая поддерево, в котором существуют ваши пользователи. Например, на изображении ниже есть два поддерева, содержащие пользователей:
Строка 204:		Строка 204:
	* Атрибут членства в группе (в запросе пользователей) должен быть настроен на <code>gid</code>		* Атрибут членства в группе (в запросе пользователей) должен быть настроен на <code>gid</code>

	== Сопоставьте управляемые группы ~~Ключ-АСТРОМ~~ с группами LDAP ==		== Сопоставьте управляемые группы Dynatrace с группами LDAP ==
	Для получения информации о разрешениях групп пользователей, доступных в ~~Ключ-АСТРОМ~~ Managed, см. Группы пользователей и разрешения.		Для получения информации о разрешениях групп пользователей, доступных в Dynatrace Managed, см. Группы пользователей и разрешения.

	После того, как вы успешно настроили группы и пользователей из LDAP, вам необходимо назначить роли среды мониторинга группам из вашего каталога пользователей. По умолчанию импортированным группам не предоставляются разрешения на среду мониторинга.		После того, как вы успешно настроили группы и пользователей из LDAP, вам необходимо назначить роли среды мониторинга группам из вашего каталога пользователей. По умолчанию импортированным группам не предоставляются разрешения на среду мониторинга.
Строка 220:		Строка 220:

	== Ограничения ==		== Ограничения ==
	~~Ключ-АСТРОМ~~ не поддерживает несколько доменов для аутентификации пользователей LDAP.		Dynatrace не поддерживает несколько доменов для аутентификации пользователей LDAP.

← Предыдущая		Версия 17:10, 15 марта 2022
Строка 69:		Строка 69:
	1. Введите строки запроса в соответствующие поля, чтобы получить группы, которые вы хотите интегрировать с Ключ-АСТРОМ.		1. Введите строки запроса в соответствующие поля, чтобы получить группы, которые вы хотите интегрировать с Ключ-АСТРОМ.

	* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups~~,DC=dynatrace~~,DC=org</code> и <code>OU=Lab~~,DC=dynatrace~~,DC=org</code>:		* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=org</code> и <code>OU=Lab,DC=org</code>:

	[[Файл:Ldapexample1.webp\|альт=LDAP пример 1\|LDAP пример 1]]		[[Файл:Ldapexample1.webp\|альт=LDAP пример 1\|LDAP пример 1]]

	Если вы хотите распределить пользователей по группам в обоих поддеревьях, вы должны указать базовое DN для запроса групп как <code>~~DC=dynatrace,~~DC=org</code> (родительская запись). Чтобы назначать пользователей только в группы поддерева <code>OU=Lab~~,DC=dynatrace~~,DC=org</code>, укажите это поддерево в качестве базового DN.		Если вы хотите распределить пользователей по группам в обоих поддеревьях, вы должны указать базовое DN для запроса групп как <code>DC=org</code> (родительская запись). Чтобы назначать пользователей только в группы поддерева <code>OU=Lab,DC=org</code>, укажите это поддерево в качестве базового DN.

	* Вы можете ввести строку фильтра LDAP, чтобы сократить количество возвращаемых групп. Фильтр должен содержать информацию о том, какой класс объектов имеет записи группы. Например, для Active Directory фильтр по умолчанию:		* Вы можете ввести строку фильтра LDAP, чтобы сократить количество возвращаемых групп. Фильтр должен содержать информацию о том, какой класс объектов имеет записи группы. Например, для Active Directory фильтр по умолчанию:
Строка 120:		Строка 120:
	* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса пользователей - это запись, содержащая поддерево, в котором существуют ваши пользователи. Например, на изображении ниже есть два поддерева, содержащие пользователей:		* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса пользователей - это запись, содержащая поддерево, в котором существуют ваши пользователи. Например, на изображении ниже есть два поддерева, содержащие пользователей:

	<blockquote><code>OU=Functional,OU=Accounts~~,DC=dynatrace~~,DC=org</code> и <code>OU=Primary,OU=Accounts~~,DC=dynatrace~~,DC=org</code></blockquote>		<blockquote><code>OU=Functional,OU=Accounts,DC=org</code> и <code>OU=Primary,OU=Accounts,DC=org</code></blockquote>

	[[Файл:Ldapexample2.webp\|альт=LDAP пример 2\|LDAP пример 2]]		[[Файл:Ldapexample2.webp\|альт=LDAP пример 2\|LDAP пример 2]]
Строка 128:		Строка 128:
	* Чтобы аутентифицировать пользователей из обоих поддеревьев (<code>OU=Functional</code> и <code>OU=Primary</code>), установите Base DN для родительской записи этих поддеревьев:		* Чтобы аутентифицировать пользователей из обоих поддеревьев (<code>OU=Functional</code> и <code>OU=Primary</code>), установите Base DN для родительской записи этих поддеревьев:

	<blockquote><code>OU=Accounts~~,DC=dynatrace~~,DC=org</code></blockquote>		<blockquote><code>OU=Accounts,DC=org</code></blockquote>

	* Чтобы аутентифицировать пользователей только из OU = Primary subtree of OU = Accounts, установите для Base DN значение:		* Чтобы аутентифицировать пользователей только из OU = Primary subtree of OU = Accounts, установите для Base DN значение:

	<blockquote><code>OU=Primary,OU=Accounts~~,DC=dynatrace~~,DC=org</code></blockquote>		<blockquote><code>OU=Primary,OU=Accounts,DC=org</code></blockquote>

	* Чтобы еще больше ограничить пользователей системы поддеревом OU = EU из OU = Primary, установите для Base DN значение:		* Чтобы еще больше ограничить пользователей системы поддеревом OU = EU из OU = Primary, установите для Base DN значение:

	<blockquote><code>OU=EU,OU=Primary,OU=Accounts~~,DC=dynatrace~~,DC=org</code></blockquote>		<blockquote><code>OU=EU,OU=Primary,OU=Accounts,DC=org</code></blockquote>

	* Вы можете ввести строку фильтра LDAP, чтобы сократить количество возвращаемых пользователей. Фильтр должен содержать информацию о том, какой класс объектов имеет записи группы. Например, для Active Directory и OpenLDAP фильтр по умолчанию:		* Вы можете ввести строку фильтра LDAP, чтобы сократить количество возвращаемых пользователей. Фильтр должен содержать информацию о том, какой класс объектов имеет записи группы. Например, для Active Directory и OpenLDAP фильтр по умолчанию:

← Предыдущая		Версия 14:29, 5 декабря 2021
Строка 1:		Строка 1:
	Вы можете подключить управляемый кластер ~~Dynatrace~~ к каталогу LDAP для аутентификации, управления пользователями и группами.		Вы можете подключить управляемый кластер Ключ-АСТРОМ к каталогу LDAP для аутентификации, управления пользователями и группами.

	Благодаря интеграции LDAP пользователи внешнего ресурса LDAP могут получить доступ к ~~Dynatrace~~. Затем вы можете назначать пользователей в группы в ~~Dynatrace~~, или группы могут быть назначены пользователям на основе информации LDAP.		Благодаря интеграции LDAP пользователи внешнего ресурса LDAP могут получить доступ к Ключ-АСТРОМ. Затем вы можете назначать пользователей в группы в Ключ-АСТРОМ, или группы могут быть назначены пользователям на основе информации LDAP.

	== Начало ==		== Начало ==
	1. В меню ~~Dynatrace~~ перейдите в меню «Аутентификация пользователя»> «Репозиторий пользователя».		1. В меню Ключ-АСТРОМ перейдите в меню «Аутентификация пользователя»> «Репозиторий пользователя».

	2. Выберите Внешний сервер LDAP из списка.<blockquote>Откроется страница конфигурации LDAP.		2. Выберите Внешний сервер LDAP из списка.<blockquote>Откроется страница конфигурации LDAP.
Строка 45:		Строка 45:

	или любая другая допустимая строка LDAP.		или любая другая допустимая строка LDAP.
	----<blockquote>'''Примечание:''' Bind DN обычно используется системным пользователем (а не физическим лицом) для подключения к серверу LDAP. С точки зрения сервера LDAP, это просто пользователь, который читает данные и, следовательно, не нуждается в доступе для записи, но ему нужен доступ для чтения ко всем данным, которые будут извлечены из LDAP сервером ~~Dynatrace~~.</blockquote>		----<blockquote>'''Примечание:''' Bind DN обычно используется системным пользователем (а не физическим лицом) для подключения к серверу LDAP. С точки зрения сервера LDAP, это просто пользователь, который читает данные и, следовательно, не нуждается в доступе для записи, но ему нужен доступ для чтения ко всем данным, которые будут извлечены из LDAP сервером Ключ-АСТРОМ.</blockquote>
	----4. Введите пароль, используемый пользователем LDAP, указанным в DN привязки.		----4. Введите пароль, используемый пользователем LDAP, указанным в DN привязки.

	5. <u>[опционально]</u> Если вы настроили рефералы на своем сервере LDAP, установите Максимальное количество переходов.		5. <u>[опционально]</u> Если вы настроили рефералы на своем сервере LDAP, установите Максимальное количество переходов.

	6. Выберите «Проверить соединение», чтобы проверить, может ли ~~Dynatrace~~ Managed подключиться к вашему серверу LDAP. Во время проверки подключения		6. Выберите «Проверить соединение», чтобы проверить, может ли Ключ-АСТРОМ Managed подключиться к вашему серверу LDAP. Во время проверки подключения

	# ~~Dynatrace~~ пытается распознать тип используемого вами LDAP-сервера.		# Ключ-АСТРОМ пытается распознать тип используемого вами LDAP-сервера.
	# На основе предыдущего шага ~~Dynatrace~~ предоставляет вам настройки по умолчанию для групповых и пользовательских запросов.		# На основе предыдущего шага Ключ-АСТРОМ предоставляет вам настройки по умолчанию для групповых и пользовательских запросов.

	Когда соединение установлено, вы готовы к настройке групп и пользователей.		Когда соединение установлено, вы готовы к настройке групп и пользователей.
Строка 61:		Строка 61:

	== Конфигурация запросов групп ==		== Конфигурация запросов групп ==
	После успешного тестирования соединения становится активным шаг запроса Группы. Если вы хотите использовать интеграцию LDAP только для аутентификации (для управления группами и назначения разрешений в ~~Dynatrace~~ Managed), снимите флажок «Назначать пользователей группам автоматически на основе запроса LDAP» и перейдите к настройке запроса пользователей. В противном случае выполните следующие действия.		После успешного тестирования соединения становится активным шаг запроса Группы. Если вы хотите использовать интеграцию LDAP только для аутентификации (для управления группами и назначения разрешений в Ключ-АСТРОМ Managed), снимите флажок «Назначать пользователей группам автоматически на основе запроса LDAP» и перейдите к настройке запроса пользователей. В противном случае выполните следующие действия.

	Пример раздела "Запрос групп"		Пример раздела "Запрос групп"
Строка 67:		Строка 67:
	[[Файл:2-groups-query.webp\|альт=Запрос групп\|Запрос групп]]		[[Файл:2-groups-query.webp\|альт=Запрос групп\|Запрос групп]]

	1. Введите строки запроса в соответствующие поля, чтобы получить группы, которые вы хотите интегрировать с ~~Dynatrace~~.		1. Введите строки запроса в соответствующие поля, чтобы получить группы, которые вы хотите интегрировать с Ключ-АСТРОМ.

	* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=dynatrace,DC=org</code> и <code>OU=Lab,DC=dynatrace,DC=org</code>:		* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса групп - это запись, содержащая поддерево, в котором существуют ваши группы. В приведенном ниже примере изображения есть два поддерева, содержащие группы пользователей <code>OU=Groups,DC=dynatrace,DC=org</code> и <code>OU=Lab,DC=dynatrace,DC=org</code>:
Строка 100:		Строка 100:
	Затем настройте следующее:		Затем настройте следующее:

	* В ~~Dynatrace~~, Аутентификация пользователя> Репозиторий пользователей (страница конфигурации LDAP), на шаге запроса групп установите для атрибута имени группы значение <code>name</code> (имя атрибута).		* В Ключ-АСТРОМ, Аутентификация пользователя> Репозиторий пользователей (страница конфигурации LDAP), на шаге запроса групп установите для атрибута имени группы значение <code>name</code> (имя атрибута).
	* В ~~Dynatrace~~, Проверка подлинности пользователя> Группы пользователей, отредактируйте или добавьте группу и добавьте <code>My_TestGroup1</code> (значение атрибута) в группы LDAP.		* В Ключ-АСТРОМ, Проверка подлинности пользователя> Группы пользователей, отредактируйте или добавьте группу и добавьте <code>My_TestGroup1</code> (значение атрибута) в группы LDAP.
	</blockquote>		</blockquote>
	----'''Примечание:''' Имя группы LDAP на странице «Группы пользователей» по умолчанию соответствует имени группы, которое вы указываете при создании группы.		----'''Примечание:''' Имя группы LDAP на странице «Группы пользователей» по умолчанию соответствует имени группы, которое вы указываете при создании группы.
Строка 116:		Строка 116:
	[[Файл:3-users-query.webp\|альт=Запрос пользователей\|Запрос пользователей]]		[[Файл:3-users-query.webp\|альт=Запрос пользователей\|Запрос пользователей]]

	1. Введите строки запроса в соответствующие поля, чтобы получить пользователей, которых вы хотите интегрировать с ~~Dynatrace~~.		1. Введите строки запроса в соответствующие поля, чтобы получить пользователей, которых вы хотите интегрировать с Ключ-АСТРОМ.

	* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса пользователей - это запись, содержащая поддерево, в котором существуют ваши пользователи. Например, на изображении ниже есть два поддерева, содержащие пользователей:		* Каталог LDAP имеет древовидную структуру. Базовое DN для запроса пользователей - это запись, содержащая поддерево, в котором существуют ваши пользователи. Например, на изображении ниже есть два поддерева, содержащие пользователей:
Строка 204:		Строка 204:
	* Атрибут членства в группе (в запросе пользователей) должен быть настроен на <code>gid</code>		* Атрибут членства в группе (в запросе пользователей) должен быть настроен на <code>gid</code>

	== Сопоставьте управляемые группы ~~Dynatrace~~ с группами LDAP ==		== Сопоставьте управляемые группы Ключ-АСТРОМ с группами LDAP ==
	Для получения информации о разрешениях групп пользователей, доступных в ~~Dynatrace~~ Managed, см. Группы пользователей и разрешения.		Для получения информации о разрешениях групп пользователей, доступных в Ключ-АСТРОМ Managed, см. Группы пользователей и разрешения.

	После того, как вы успешно настроили группы и пользователей из LDAP, вам необходимо назначить роли среды мониторинга группам из вашего каталога пользователей. По умолчанию импортированным группам не предоставляются разрешения на среду мониторинга.		После того, как вы успешно настроили группы и пользователей из LDAP, вам необходимо назначить роли среды мониторинга группам из вашего каталога пользователей. По умолчанию импортированным группам не предоставляются разрешения на среду мониторинга.
Строка 220:		Строка 220:

	== Ограничения ==		== Ограничения ==
	~~Dynatrace~~ не поддерживает несколько доменов для аутентификации пользователей LDAP.		Ключ-АСТРОМ не поддерживает несколько доменов для аутентификации пользователей LDAP.