Configura l'accesso LDAP e Active Directory di Nextcloud.

Per utilizzare account LDAP o Active Directory in Nextcloud, abilita l'app "Backend utenti e gruppi LDAP", configura una connessione alla directory e testa i filtri per utenti, accessi e gruppi prima di consentire al personale di utilizzarli. L'integrazione LDAP di Nextcloud si autentica tramite la directory; non crea né gestisce account di directory. Inizia con un account di servizio di sola lettura e un piccolo gruppo di test noto, in modo da poter verificare con precisione chi verrà visualizzato e chi potrà accedere.

Questi passaggi seguono il Manuale di amministrazione di Nextcloud 35. Le etichette dei menu e l'aspetto grafico possono variare a seconda della versione, quindi consulta il manuale della versione installata se presentano delle differenze.

Preparare la connessione alla directory

Prima di aprire le impostazioni di Nextcloud, chiedi al tuo amministratore LDAP o AD il nome host della directory, il metodo di connessione crittografata, la porta, il Base DN e un account di bind che possa cercare negli alberi di utenti e gruppi richiesti. L'account di bind viene utilizzato da Nextcloud per cercare i record della directory; è separato dalle credenziali di accesso di ciascun utente. Nextcloud raccomanda l'utilizzo di un account di ricerca dedicato come approccio consigliato.

Utilizza una connessione crittografata con verifica del certificato. Nextcloud indica la porta 636 come predefinita per LDAPS. L'ambiente PHP del server Nextcloud deve considerare attendibile il certificato della directory; non disabilitare la verifica come soluzione di routine. Conferma qualsiasi trasporto o porta non standard con l'amministratore della directory.

Verificare che il modulo PHP LDAP sia installato (spesso incluso in un pacchetto php-ldap) e che il server Nextcloud possa raggiungere la directory sulla porta selezionata. Le implementazioni in container e gestite potrebbero avere un metodo di installazione supportato diverso.

Abilita il backend LDAP e connettiti al server.

1. Accedi a Nextcloud come amministratore. Apri App e abilita il backend utenti e gruppi LDAP se non è già abilitato. L'ID dell'applicazione utilizzato occè user_ldap.
2. Apri le impostazioni di amministrazione per l'integrazione LDAP/AD e avvia una nuova configurazione del server. Completa prima la scheda Server ; Nextcloud la utilizza per testare la connessione alla directory e rilevare le impostazioni per le altre schede.
3. Inserisci l'host della directory o un ldaps://URI, la porta se non viene rilevata, il nome distinto (DN) completo dell'account di bind, la sua password e il Base DN. Un Base DN identifica la parte della struttura ad albero della directory in cui Nextcloud effettua la ricerca. Ad esempio, dc=example,dc=comè un formato, non un valore da copiare a meno che non corrisponda alla tua directory.
4. Eseguire il test di connessione. Se il rilevamento non trova il Base DN o la porta, immettere i valori forniti dall'amministratore della directory. Non ampliare il Base DN solo per superare il test; utilizzare la sottostruttura della directory più piccola che contiene gli utenti e i gruppi desiderati.

Un indicatore verde del server significa che Nextcloud può comunicare con la directory utilizzando quelle impostazioni di connessione. Non garantisce che gli utenti autorizzati possano accedere o che l'appartenenza ai gruppi sia mappata correttamente. Continua a configurare le impostazioni di utenti, accessi e gruppi prima di considerare l'integrazione pronta.

Limita gli account che possono accedere

Utilizza la scheda Utenti per definire quali record LDAP Nextcloud deve elencare. Utilizza Attributi di accesso per decidere quale attributo una persona può inserire nella schermata di accesso. Si tratta di controlli separati: un utente può essere individuabile nella directory senza essere autorizzato ad accedere e un filtro di accesso può influire sugli utenti accettati.

Per Active Directory, la configurazione di Nextcloud può rilevare automaticamente le impostazioni comuni, incluso l'attributo username. L'attributo username predefinito documentato si trova in genere sAMAccountNamein AD e uidin molte directory LDAP. Verifica il valore rilevato confrontandolo con un account di test reale. Se gli utenti devono accedere tramite indirizzo email, seleziona l'attributo email solo dopo aver verificato che sia compilato e univoco per ogni account consentito.

Quando possibile, limita l'accesso a un gruppo Nextcloud dedicato. Utilizza il selettore di gruppo o un filtro testato sulla tua classe di oggetti, DN del gruppo e attributi. Non copiare i filtri di esempio senza modifiche: un filtro errato potrebbe non restituire alcun utente o restituire un insieme di utenti più ampio del previsto.

Nella sezione Gruppi , scegli la classe dell'oggetto gruppo della directory e i gruppi da esporre; per impostazione predefinita non ne è disponibile alcuno finché non viene configurato. Per i gruppi AD nidificati, Nextcloud documenta che l'opzione "Gruppi nidificati" da sola potrebbe non essere sufficiente: i filtri per utenti e accessi potrebbero richiedere anche la regola di corrispondenza di AD. Conferma questo comportamento con l'amministratore della directory e testa un membro nidificato.

Verifica le identità prima della produzione

1. Esamina le impostazioni avanzate senza modificare le opzioni che non comprendi. In particolare, decidi quale campo viene utilizzato per visualizzare il nome e lascia invariata la regola interna per il nome utente.
2. Verifica lo stato di attivazione della configurazione . Nextcloud avverte che una configurazione disabilitata può causare errori di autenticazione con un messaggio fuorviante di "password errata"; un test positivo di solito la attiva automaticamente.
3. Utilizza la configurazione di test , quindi salva. Il pulsante verifica i valori attualmente presenti nei campi, pertanto non è necessario salvare prima del test.
4. Apri la pagina Utenti di Nextcloud e verifica che vengano visualizzati gli utenti e i gruppi di esempio previsti. Quindi, prova ad accedere con un account di directory consentito e con un account che deve essere escluso.
5. Verificare che l'account autorizzato abbia il nome visualizzato, l'appartenenza al gruppo e il comportamento di quota corretti. Se è configurato un attributo del profilo o una quota LDAP, verificarlo con un utente di prova prima dell'implementazione su larga scala.

Per i controlli da riga di comando, innanzitutto trova l'ID di configurazione con occ ldap:show-config. Quindi esegui il comando di test documentato, sostituendo tale ID:

sudo -E -u www-data php occ ldap:test-config s01
sudo -E -u www-data php occ ldap:test-user-settings "USER_DN"

Regola il percorso dei comandi e l'account del server web in base alla tua installazione; gli utenti dei container devono seguire la procedura specificata nella loro immagine occ. Il primo comando verifica il binding, mentre il secondo controlla la mappatura di un singolo utente.

Sappi cosa non cambia l'integrazione

Il backend LDAP legge gli account della directory; non li crea, modifica o elimina. La modifica della password da Nextcloud è facoltativa e dipende dal supporto della directory e dalla configurazione. In caso contrario, gli utenti devono utilizzare la normale procedura di reimpostazione della password dell'organizzazione.

Nextcloud memorizza le mappature interne e i nomi utente interni sono di fatto immutabili; possono comparire nei percorsi delle cartelle home e negli URL DAV. Scegli un identificatore stabile prima di aggiungere utenti. Non cancellare mai le mappature LDAP su un'istanza di produzione come soluzione rapida per la risoluzione dei problemi, perché ciò può lasciare riferimenti residui e influire su tutte le configurazioni LDAP.

Se il test fallisce, controlla i log di Nextcloud, il DNS, l'accesso alle porte, le credenziali di autenticazione, il Base DN e l'attendibilità del certificato. Se non vengono visualizzati utenti, rivedi i filtri utente e le classi di oggetti; se gli utenti vengono visualizzati ma non riescono ad accedere, rivedi gli attributi di accesso e lo stato attivo. Verifica accedendo con un account autorizzato e confermando che un account escluso venga rifiutato.

Riferimenti: documentazione sull'autenticazione LDAP di Nextcloud 35 , comandi occ LDAP di Nextcloud 35 e requisiti del modulo PHP di Nextcloud .