LDAP Mise en place Introduction Limitation et Sécurité Déclarer un serveur MySQL dans l annuaire LDAP Associer un utilisateur DiaClientSQL à son compte Windows (SSO) Créer les collaborateurs DiaClientSQL à partir de l Active Directory Lier les collaborateurs DiaClientSQL aux utilisateurs de l Active Directory Gérer les associations DiaClientSQL / Active Directory Supprimer (marquer comme sortis) les utilisateurs DiaClientSQL non présents dans l Active Directory Page 1 sur 14
Introduction Lightweight Directory Access Protocol (LDAP) est à l'origine un protocole permettant l'interrogation et la modification des services d'annuaire. Ce protocole repose sur TCP/IP. Il a cependant évolué pour représenter une norme pour les systèmes d'annuaires, incluant un modèle de données, un modèle de nommage, un modèle fonctionnel basé sur le protocole LDAP, un modèle de sécurité et un modèle de réplication. Un annuaire LDAP respecte généralement le modèle X.500 édicté par l'uit-t : c'est une structure arborescente dont chacun des nœuds est constitué d'attributs associés à leurs valeurs. Le nommage des éléments constituant l'arbre (racine, branches, feuilles) reflète souvent le modèle politique, géographique ou organisationnel de la structure représentée. La tendance actuelle est d'utiliser le nommage DNS pour les éléments de base de l'annuaire (racine et premières branches). Les branches plus profondes de l'annuaire peuvent représenter des personnes (people), des unités organisationnelles (organizational units), des groupes (groups),... Limitation et Sécurité Lecture de l Active Directory : Toutes les personnes loguées sur l Active Directory sont en mesure de lister l ensemble des machines déclarées en tant que server MySQL. Il leur est aussi possible de lire les informations propres à leur profil. Toute personne connectée au domaine peut lire les informations que l on écrit Ecriture dans l Active Directory : Afin de pouvoir créer les tags, il est nécessaire que l utilisateur soit logué en tant qu administrateur du domaine sur le contrôleur du domaine. Pour pouvoir écrire dans l Active Directory, il est nécessaire que l utilisateur soit logué en tant qu administrateur du domaine. Il faut être connecté administrateur sur le contrôleur du domaine pour pouvoir écrire dans l annuaire. Déclarer un serveur MySQL dans l annuaire LDAP Lors de l installation du serveur MySQL version 5.0, il sera proposé d enregistrer le serveur dans l annuaire LDAP (identifier celui-ci en tant que machine avec Service MySQL présent). Page 2 sur 14
Enregistrement du serveur : Répondre «Oui» en cas d installation sur le serveur. Le fait d enregistrer un serveur MySQL dans l annuaire LDAP, le fera apparaitre automatiquement dans la liste des serveurs dans la fenêtre de connexion de DiaClientSQL. Répondre «NON» lors d une installation sur un poste NOMADE. Autorisation de l accés à l Active Directory : Modification du schéma : Page 3 sur 14
Autorisation de l accés à l Active Directory : La fenêtre de connexion des Outils Serveur ne dispose pas de cette fonctionnalité (utilisation en localhost en général). La liste déroulante contient la liste des serveurs saisie sur le poste local et la liste des serveurs déclarés dans l annuaire LDAP. L icône représente les serveurs MySQL présent dans l Active Directory, les autres choix provenant comme avant du fichier awlazur.ini. Le bouton actualiser fichier awlazur.ini. à coté permet de nettoyer la liste des serveurs provenant du Même en fonctionnement LDAP, la liste des serveurs est toujours saisissable sauf si lors de la liaison des collaborateurs au LDAP la coche «base unique» a été sélectionnée. Page 4 sur 14
L outil AWLDAP.exe permet de gérer les serveurs déclarés dans l Active Directory. Cet utilitaire permet d enregistrer ou de supprimer des serveurs de l annuaire LDAP. Ce programme est installé avec les Outils Serveur et est accessible via le menu Démarrer de Windows : Programmes\Azur Conception \Outils Serveur MySql\ LDAP A lancer sur le contrôleur de domaine en tant que administrateur. L outil se présente sous la forme suivante : A gauche la liste des Noms Machine (objets de type Computer) déclarés au niveau de l active directory (tout ordinateur associé au domaine). A droite, les objets déclarés en tant que serveur MySQL ( azmysql = vrai ) et qui apparaitront dans la liste des serveurs sur la fenêtre de connexion. Page 5 sur 14
Associer un utilisateur DiaClientSQL à son compte Windows (SSO) : L'authentification unique (ou identification unique ; en anglais Single Sign-On ou SSO) est une méthode permettant à un utilisateur de ne procéder qu'à une seule authentification pour accéder à plusieurs applications informatiques (ou sites web sécurisés). Les objectifs sont multiples : simplifier pour l'utilisateur la gestion de ses mots de passe : plus l'utilisateur doit gérer de mots de passe, plus il aura tendance à utiliser des mots de passe similaires ou simples à mémoriser, abaissant par la même occasion le niveau de sécurité que ces mots de passe offrent ; simplifier la gestion des données personnelles détenues par les différents services en ligne, en les coordonnant par des mécanismes de type méta-annuaire ; simplifier la définition et la mise en œuvre de politiques de sécurité. Cette déclaration se fait directement dans DiaClientSQL, dans la gestion des collaborateurs de Dia Client SQL (Menu Généralités / Collaborateurs). Le bouton permet d accéder à la gestion de l intégration : A lancer sur le contrôleur de domaine en tant que administrateur Windows et DiaClientSQL. Page 6 sur 14
Lors de l ouverture de la fenêtre de gestion, si vous êtes bien sur la session Administrateur, le mot de passe sera demandé. Il s agit du mot de passe en tant qu administrateur du domaine (Login Windows) : Si le mot de passe renseigné est faux, la fenêtre restera en mode grisée. Une fois le mot de passe validé, la fenêtre suivante s ouvre : Cliquer sur le bouton «Commencer» : Page 7 sur 14
En répondant «Oui» il est donc possible de choisir la branche désirée de l Active Directory (l O.U à partir de laquelle on veut importer les utilisateurs) : Choisir l O.U. ou double cliquer pour faire apparaître les sous dossiers. On Récupère l ensemble des utilisateurs à partir de l O.U. sélectionnée ainsi qui ceux des sous O.U. En répondant «Non» c est le domaine complet sera utilisé. La fenêtre suivante apparaît : Page 8 sur 14
4 choix sont proposés : Créer des collaborateurs DiaClientSQL à partir de l active Directory A utiliser dans le cas d une nouvelle installation pour créer automatiquement les collaborateurs DiaClientSQL à partir des utilisateurs Windows de l Active Directory. Lier les collaborateurs DiaClientSQL aux utilisateurs de l Active Directory A utiliser dans le cas d une installation existante pour associer des collaborateurs existants dans DiaClientSQL à des utilisateurs Windows de l Active Directory. Gérer les associations DiaClientSQL / Active Directory Permet de dissocier / synchroniser les collaborateurs DiaClientSQL avec l Active Directory. Supprimer (marquer comme sortis) les utilisateurs DiaClientSQL non présents dans l Active Directory Permet de nettoyer les collaborateurs DiaClientSQL en fonction de l Active Directory en marquant ceux-ci comme sortis si non trouvé dans l Active Directory. Créer des collaborateurs DiaClientSQL à partir de l active Directory : La fenêtre affiche la liste des utilisateurs LDAP. Les utilisateurs cochés seront créés dans DiaClientSQL. Page 9 sur 14
Cliquer ensuite sur Suivant : Attribuer ensuite le cabinet de rattachement principal des collaborateurs (obligatoire). Par défaut tous les collaborateurs ont accès à toutes les fiches de tous les cabinets. La limitation d accès d un collaborateur sur un ou plusieurs cabinet(s) se gère dans DiaClientSQL dans la fiche collaborateur directement. Le service et la fonction sont facultatifs. Cela permet d initialiser ces zones dans la fiche collaborateur. Association Active Directory : (liaison avec l annuaire LDAP) - Si la case «associer automatiquement les collaborateurs créés à leur compte Windows» est cochée alors le code collaborateur et le mot de passe ne sont plus saisissable car dépendant de l identification Windows. - si la case «base unique» est aussi cochée la fenêtre ci-dessus de connexion habituelle de DiaClientSQL n apparaîtra plus. Le collaborateur ne pouvant plus sélectionner de serveur ou de base, la connexion est transparente. Page 10 sur 14
Cliquer ensuite sur le bouton «Créer les Collaborateurs». Les comptes sont créés : Page 11 sur 14
Lier les collaborateurs DiaClientSQL aux utilisateurs de l Active Directory : Lors du lancement de cette option, un assistant essaye d associer automatiquement à l aide du compte Windows/nom/prénom, un utilisateur Windows à un utilisateur DiaClientSQL : En répondant «Non», il sera possible de procéder à l affectation manuellement. La colonne Collaborateur DiaClientSQL se présente sous la forme d une liste déroulante (combo) listant la totalité des collaborateurs disponibles sur la base en cours. Si la coche «Base unique» est sélectionnée, la fenêtre de connexion n apparaîtra plus. Le collaborateur ne pouvant plus sélectionner de serveur/base, la connexion est transparente. Lors de l association, un nouveau mot de passe SQL est généré pour le collaborateur sélectionné. Cliquer ensuite sur le bouton «Associer» pour terminer la procédure. Apres l association voici un exemple de la fenêtre de connexion à DiaClientSQL : Page 12 sur 14
Le code collaborateur et le mot de passe ne sont plus saisissable car dépendant de l identification Windows. Le serveur et la base restent modifiables car la coche «base unique» n a pas été sélectionnée dans ce cas de figure. Gérer les associations DiaClientSQL / Active Directory Cet écran montre les utilisateurs de l Active Directory marqués comme appartenant à une base azur. Le code collaborateur associé est affiché. Page 13 sur 14
Si dans la liste collaborateur DiaClientSQL «AUCUN» est sélectionné, alors les comptes seront dissociés. Un bouton «Tout Dissocier» est aussi présent. Cliquer sur le bouton «Appliquer» pour valider les modifications. Supprimer (marquer comme sortis) les utilisateurs DiaClientSQL non présents dans l Active Directory Cette fenêtre liste les codes collaborateur associé à aucun utilisateur LDAP. Il est alors possible de «Marquer comme sortis» ces utilisateurs sélectionnés dans DiaClient SQL en cliquant sur le bouton «Marquer comme sorti». Page 14 sur 14