Integracja z Active Directory

Integracja z Active Directory umożliwia logowanie do aplikacji biurowych za pomocą firmowych kont z usługi katalogowej.

Rola Active Directory w logowaniu do aplikacji

Integracja z Active Directory oznacza połączenie aplikacji z usługą katalogową Active Directory Domain Services, w której przechowywane są konta użytkowników, grupy, komputery oraz wybrane informacje potrzebne do uwierzytelniania. Zamiast tworzyć oddzielne konto w każdej aplikacji biurowej, można użyć firmowego konta domenowego. Użytkownik podaje dane zgodne z kontem domenowym, a aplikacja przekazuje żądanie do skonfigurowanego mechanizmu uwierzytelniania. Po pomyślnym sprawdzeniu tożsamości aplikacja może przypisać odpowiednie uprawnienia na podstawie członkostwa w grupach Active Directory.

Active Directory nie jest pojedynczym plikiem z listą haseł, lecz usługą katalogową działającą w ramach domeny. Konta są identyfikowane między innymi przez nazwę logowania w formacie domena\użytkownik albo użytkownik@domena. W środowisku domenowym szczególne znaczenie ma DNS, ponieważ stacje robocze i aplikacje wykorzystują rekordy DNS do odnajdywania kontrolerów domeny oraz usług wymaganych podczas logowania. Błędna konfiguracja DNS może więc powodować problemy z integracją, nawet gdy konto użytkownika i hasło są prawidłowe.

LDAP, Kerberos i sposób wymiany informacji

Active Directory udostępnia katalog za pomocą protokołu LDAP. Standardowy port LDAP to TCP 389, natomiast LDAP szyfrowany protokołem TLS, określany jako LDAPS, zwykle korzysta z TCP 636. Połączenie aplikacji z katalogiem może służyć do wyszukiwania użytkowników, grup i jednostek organizacyjnych oraz do sprawdzania, czy wskazane konto istnieje. W praktycznej konfiguracji należy określić między innymi adres kontrolera domeny, bazę wyszukiwania, konto techniczne oraz sposób filtrowania obiektów użytkowników.

W środowisku domenowym Active Directory korzysta również z protokołu Kerberos. Usługa Kerberos używa standardowo portu TCP lub UDP 88 i umożliwia uwierzytelnianie na podstawie biletów, bez przekazywania hasła do każdej usługi wprost. Działanie Kerberosa zależy od poprawnego DNS, dostępności kontrolera domeny oraz zgodności czasu między urządzeniami. Zbyt duża różnica czasu może uniemożliwić zaakceptowanie biletu. Jeżeli aplikacja nie obsługuje Kerberosa albo połączenie nie spełnia jego wymagań, w określonych konfiguracjach może być używany NTLM, jednak wybór mechanizmu zależy od konkretnej aplikacji i ustawień domeny.

Mapowanie grup na uprawnienia aplikacji

Samo potwierdzenie tożsamości użytkownika nie określa jeszcze zakresu dostępu do aplikacji. Integracja z Active Directory może obejmować także autoryzację, czyli ustalenie, jakie operacje wolno wykonać po zalogowaniu. Aplikacja może odczytać członkostwo w grupach, na przykład grupie przeznaczonej dla działu księgowości, handlowców albo użytkowników uprawnionych do pracy z określonym modułem. Następnie lokalna rola aplikacyjna jest przypisywana na podstawie nazwy grupy, jej identyfikatora lub innej reguły skonfigurowanej w danym systemie.

Podczas projektowania takiego mapowania trzeba rozróżnić uwierzytelnianie od autoryzacji. Użytkownik może poprawnie zalogować się do domeny, lecz nie uzyskać dostępu do aplikacji, jeżeli nie należy do wymaganej grupy. Odwrotna sytuacja również może prowadzić do błędu: aplikacja może odnaleźć konto, ale nie odczytać grup z powodu niewłaściwego zakresu wyszukiwania, braku uprawnień konta technicznego albo niepoprawnego filtra LDAP. Należy także uwzględnić wyłączone konta, wygasłe hasła, blokady po nieudanych próbach oraz zagnieżdżone grupy, jeśli aplikacja potrafi je prawidłowo interpretować.

Warunki poprawnej konfiguracji i diagnostyki

Diagnostykę integracji rozpoczyna się od ustalenia, na którym etapie występuje problem: odnalezienia kontrolera domeny, nawiązania połączenia LDAP, negocjacji TLS, sprawdzenia danych logowania, odczytania grup czy przypisania roli w aplikacji. Warto sprawdzić rozwiązywanie nazwy kontrolera domeny, dostępność wymaganych portów, poprawność nazwy domeny oraz certyfikat używany przy LDAPS. Certyfikat powinien odpowiadać nazwie serwera i być zaufany przez system, z którego aplikacja nawiązuje połączenie. Przy Kerberosie dodatkowo kontroluje się synchronizację czasu i możliwość odnalezienia właściwego centrum dystrybucji kluczy.