Настройка входа в Nextcloud через LDAP и Active Directory.

Чтобы использовать учетные записи LDAP или Active Directory в Nextcloud, включите приложение «Бэкенд пользователей и групп LDAP», настройте подключение к каталогу, а затем протестируйте фильтры пользователей, учетных записей и групп, прежде чем разрешать сотрудникам полагаться на них. Интеграция Nextcloud с LDAP выполняет аутентификацию через каталог; она не создает и не управляет учетными записями каталога. Начните с учетной записи службы только для чтения и небольшой известной тестовой группы, чтобы точно подтвердить, кто будет отображаться и кто сможет войти в систему.

Эти шаги соответствуют руководству администратора Nextcloud 35. Названия пунктов меню и оформление могут различаться в зависимости от версии, поэтому, если они отличаются, обратитесь к руководству для вашей установленной версии.

Подготовьте подключение к каталогу.

Прежде чем открывать настройки Nextcloud, обратитесь к администратору LDAP или AD за именем хоста каталога, методом зашифрованного соединения, портом, базовым DN и учетной записью для привязки, которая сможет осуществлять поиск в необходимых деревьях пользователей и групп. Учетная запись для привязки используется Nextcloud для поиска записей в каталоге; она отделена от учетных данных для входа каждого пользователя. В документации Nextcloud рекомендуется использовать выделенную учетную запись для поиска.

Используйте зашифрованное соединение с проверкой сертификата. В документации Nextcloud указано, что порт 636 является портом по умолчанию для LDAPS. PHP-среда сервера Nextcloud должна доверять сертификату каталога; не отключайте проверку в качестве стандартного решения проблемы. Подтвердите любые нестандартные транспортные протоколы или порты у администратора каталога.

Убедитесь, что модуль PHP LDAP установлен (часто поставляется в виде пакета php-ldap) и что сервер Nextcloud может получить доступ к каталогу на выбранном порту. Для контейнерных и управляемых развертываний могут существовать собственные поддерживаемые методы установки.

Включите бэкэнд LDAP и подключитесь к серверу.

1. Войдите в Nextcloud как администратор. Откройте раздел «Приложения» и включите бэкэнд LDAP для пользователей и групп, если он еще не включен. Идентификатор приложения, используемый для этого, occ— user_ldap.
2. Откройте административные настройки интеграции LDAP/AD и начните настройку нового сервера. Сначала заполните вкладку «Сервер» ; Nextcloud использует её для проверки подключения к каталогу и определения настроек для других вкладок.
3. Введите хост каталога или ldaps://URI, порт, если он не обнаружен, полное отличительное имя (DN) учетной записи привязки, ее пароль и базовое DN. Базовое DN определяет часть дерева каталогов, в которой Nextcloud выполняет поиск. Например, dc=example,dc=comэто формат, а не значение для копирования, если оно не соответствует вашему каталогу.
4. Выполните проверку соединения. Если обнаружение не находит базовый DN или порт, введите значения, предоставленные администратором каталога. Не расширяйте базовый DN только для того, чтобы проверка прошла успешно; используйте наименьшее поддерево каталога, содержащее нужных пользователей и группы.

Зеленый индикатор сервера означает, что Nextcloud может взаимодействовать с каталогом, используя указанные параметры подключения. Это не доказывает, что нужные пользователи могут войти в систему или что членство в группах настроено правильно. Перед тем как считать интеграцию готовой, продолжите настройку пользователей, логинов и групп.

Ограничьте количество учетных записей, которые могут входить в систему.

Используйте вкладку «Пользователи» , чтобы определить, какие записи LDAP будут отображаться в списке Nextcloud. Используйте вкладку «Атрибуты входа» , чтобы решить, какие атрибуты пользователь может ввести на экране входа в систему. Это отдельные элементы управления: пользователь может быть обнаружен в каталоге, но ему может быть не разрешен вход в систему, а фильтр входа может влиять на то, какие пользователи будут допущены.

В случае с Active Directory настройка Nextcloud может автоматически определять распространенные параметры, включая атрибут имени пользователя. Обычно атрибут имени пользователя по умолчанию находится sAMAccountNameв AD и uidво многих каталогах LDAP. Проверьте обнаруженное значение на тестовой учетной записи. Если пользователи должны входить в систему с помощью адресов электронной почты, выбирайте атрибут электронной почты только после подтверждения того, что он заполнен и уникален для каждой разрешенной учетной записи.

По возможности ограничьте доступ к выделенной группе Nextcloud. Используйте селектор групп или фильтр, проверенный на соответствие вашему собственному классу объектов, DN группы и атрибутам. Не копируйте примеры фильтров без изменений: некорректный фильтр может не вернуть ни одного пользователя или вернуть непреднамеренно более широкий набор.

В разделе «Группы» выберите класс объектов групп каталога и группы, которые необходимо отобразить; по умолчанию ни одна из них недоступна до тех пор, пока не будет настроена. В документации Nextcloud для вложенных групп Active Directory указано, что одной опции «Вложенные группы» может быть недостаточно: для фильтров пользователей и входа в систему может также потребоваться правило соответствия Active Directory. Подтвердите это поведение у администратора каталога и протестируйте вложенную группу.

Проверка подлинности перед запуском в производство.

1. Просмотрите расширенные настройки, не изменяя параметры, которые вам непонятны. В частности, определите, какое поле задает отображаемое имя, и оставьте правило для внутреннего имени пользователя без изменений.
2. Проверьте статус «Активная конфигурация» . Nextcloud предупреждает, что отключенная конфигурация может привести к сбою аутентификации с вводящим в заблуждение сообщением «неверный пароль»; успешная проверка обычно активирует ее автоматически.
3. Используйте кнопку «Проверить конфигурацию» , затем сохраните. Кнопка проверяет значения, которые в данный момент находятся в полях, поэтому сохранение перед проверкой не требуется.
4. Откройте страницу «Пользователи Nextcloud» и убедитесь, что отображаются ожидаемые примеры пользователей и групп. Затем протестируйте вход в систему с одной разрешенной учетной записью каталога и одной учетной записью, которую следует исключить.
5. Убедитесь, что у разрешенной учетной записи указано правильное отображаемое имя, членство в группах и правила применения квот. Если настроен атрибут профиля или квота LDAP, проверьте это с помощью тестового пользователя перед широким внедрением.

Для проверки через командную строку сначала найдите идентификатор конфигурации с помощью команды occ ldap:show-config`.`. Затем выполните описанную в документации команду проверки, заменив этот идентификатор:

sudo -E -u www-data php occ ldap:test-config s01
sudo -E -u www-data php occ ldap:test-user-settings "USER_DN"

Настройте путь к команде и учетную запись веб-сервера для вашей установки; пользователям контейнеров следует следовать occпроцедуре, описанной в их образе. Первая команда проверяет привязку, а вторая — сопоставление данных одного пользователя.

Узнайте, что интеграция не меняет.

LDAP-сервер считывает данные учетных записей из каталога; он не создает, не редактирует и не удаляет их. Смена паролей через Nextcloud является необязательной и зависит от поддержки и конфигурации каталога. В противном случае пользователям необходимо использовать обычную процедуру сброса пароля в организации.

Nextcloud хранит внутренние сопоставления, и внутренние имена пользователей фактически неизменяемы; они могут отображаться в путях к домашним папкам и URL-адресах DAV. Выберите стабильный идентификатор перед подключением пользователей. Никогда не очищайте сопоставления LDAP на рабочем экземпляре в качестве быстрого способа устранения неполадок, поскольку это может оставить ссылки и повлиять на все конфигурации LDAP.

Если проверка не удалась, проверьте журналы Nextcloud, DNS, доступ к портам, учетные данные для привязки, базовый DN и доверие к сертификатам. Если пользователи не отображаются, проверьте фильтры пользователей и классы объектов; если пользователи отображаются, но не могут войти в систему, проверьте атрибуты входа и статус активности. Проверьте, войдя в систему с разрешенной учетной записью и убедившись, что исключенная учетная запись отклонена.

Ссылки: документация по аутентификации Nextcloud 35 LDAP , команды OCC Nextcloud 35 LDAP и требования к модулям PHP Nextcloud .