LDAP组件配置案例
1 概述
在CAMS系统的某些应用场景中，用户需要CAMS系统和已有的某些应用系统（比如邮件系统、Windows域）共享帐号和密码信息，从而方便终端用户的使用。假如用户的应用系统使用LDAP服务器治理终端用户的帐号信息，则可以通过使用CAMS系统的LDAP组件，将终端用户的上网认证重新定向至用户的LDAP服务器，实现上网帐号和应用系统帐号的统一。
1.1 功能描述
使用LDAP组件，用户可使用存储在LDAP服务器中的帐号信息，进行网络的物理层接入认证。LDAP组件实现LDAP服务器中的用户帐号信息与CAMS系统的用户帐号信息同步，并将用户的接入认证请求重定向至LDAP服务器处理。
1.2 使用限制
LDAP组件的使用，同具体的设备无关，该组件使用LDAP协议同LDAP服务器通讯，可支持当前市场上所有主流LDAP服务器，CAMS系统与LDAP服务器的通讯，目前不支持SSL连接。
2 典型组网及配置
2.1 组网图
在LDAP组件的应用场景中，其应用的示意组网图通常如下如下：
LDAP组件应用示意图 1
以终端用户A为例，用户的认证过程包括以下四个步骤：
终端用户向CAMS发起认证请求
CAMS检查该用户是否为LDAP服务器认证用户，假如用户帐号、密码信息存在于LDAP服务器，则CAMS向LDAP服务器发起认证请求
LDAP服务器返回认证结果给CAMS服务器
CAMS服务器将认证结果返回终端用户
2.2 配置过程及步骤
LDAP组件的配置过程比较简单，其配置过程分为两步：
LDAP服务器信息配置
LDAP用户信息同步
配置过程中，需要认真检查以下配置项：
检查项
检查项说明
LDAP服务器版本
目前主流的LDAP服务器支持V2和V3版本的LDAP协议，根据该LDAP服务器的实际情况，选择其支持的LDAP协议版本
LDAP服务器ip地址
CAMS与LDAP服务器通讯需要的IP地址信息
LDAP服务器IP端口
CAMS与LDAP服务器通讯需要的端口信息，LDAP服务器的通讯端口，缺省值为389，假如使用SSL通讯，则缺省端口为636。目前CAMS不支持SSL连接。LDAP服务器治理员可更改LDAP服务器的通讯端口，请根据实际情况设置此值
治理员DN（Distinguished Name）
拥有用户帐号数据查询权限的治理员DN，CAMS利用该用户与LDAP服务器建立连接
治理员密码
该密码为LDAP服务器治理员密码
用户BASE DN（Distinguished Name）
用户数据保存的基准节点，所有用户帐号信息均作为该节点的子节点保存，输入值必须与LDAP服务器中存放用户数据的基准节点DN相同。
用户名属性名称
LDAP服务器中用户标识属性名称，利用该属性指定的值，可唯一确定一用户
用户密码属性名称
LDAP服务器中，保存用户密码的属性名称
自动连接间隔时长
CAMS系统在与LDAP服务器建立连接时，假如连接失败，会在该设定时间后重试建立连接。间隔时长范围为[3,1440]分钟
导出用户过滤条件
根据该条件，可重LDAP服务器中导出用户信息
目前应用较为广泛的LDAP服务器包括Sun ONE5.2，Netscape 6.0，Microsoft Active Directory 5.0，Novell eDirectory 8.5.1等。不同的LDAP服务器，其用户Base DN（用户信息基准节点）、用户属性信息标识、治理员DN也有一些区别，下面就选取Sun ONE5.2，Netscape 6.0和Microsoft Active Directory 5.0分别进行说明。
2.3 CAMS系统与Microsoft Active Directory5.0配合配置
在Windows系统中，Window2000、window2003等服务器通常使用Active Directory治理用户信息。CAMS系统配置Active Directory的过程如下
2.3.1 步骤一：配置LDAP服务器信息
进入CAMS主界面左边的组件治理，选择LDAP组件里面的LDAP服务器治理，如下图：
图表 1LDAP服务器治理主页面
点击查看大图
点击主界面上“增加”按钮，进入LDAP服务器增加页面，配置LDAP服务器信息。
图表 2 LDAP服务器配置页面
注重：
Base DN的配置
在配置Base DN时，应注重用户基准节点为“cn=users,”+ “服务器所在的域”。在服务器上“我的电脑”->“系统信息”->“计算机名”或“ou=组织名,”+ “服务器所在的域”（依用户处于治理员自定义的组织organizational unit中还是系统缺省的容器container中而定）。在服务器上“我的电脑”->“系统信息”->“计算机名”中可查看服务器所在的域。假设服务器的域为“cams.com”，那么应配置Base DN为：cn=users,dc=cams,dc=com。
2、治理员DN的配置
对于Active Directory，治理员可配置为任何具有用户查询权限的帐号。在配置治理员DN时，需要输入完全治理员的DN，比如治理员是Administrator，由于Administrator也属于Users用户组，则治理员DN为：cn=Administrator,cn=users,dc=cams,dc=com。
用户名属性标识
在Active Directory中，用户名属性标识通常为：saMAccountName
用户名密码属性标识
在Active Directory中，用户名密码属性标识通常为：userPassWord
进入讨论组讨论。
2.3.2 步骤二：测试LDAP服务器是否配置是否正确
在配置完成后，可点击配置项目后的“同步”按钮，假如出现以下界面，表示配置成功。
图表 3 LDAP服务器设置成功后同步结果信息
点击查看大图
2.3.3 步骤三：LDAP服务器用户数据导出
用户的帐号信息要通过CAMS到LDAP服务器进行认证，CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。CAMS系统提供LDAP用户导出功能，将LDAP服务器中的用户信息导出到文件中，再利用CAMS系统的批量帐号导入功能，将导出文件中的用户信息加入到CAMS服务器中。
点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单，可进入LDAP用户导出界面：
图表 4 LDAP用户属性查询界面
点击查看大图
从LDAP服务器下拉框中选择需要导出用户的LDAP服务器，在过滤条件中输入用户选择的过滤条件。
注重：输入过滤条件时，对于Active Directory，不可使用缺省条件“(&(objectclass=*)(cn=*)(userPassword=*))”，因为Active Directory中，用户密码不可使用LDAP协议查询，假如选择“userPassword”属性为过滤条件，则无法导出任何数据。此外使用“cn=*”作为过滤条件时，由于Active Directory的用户Base DN下还包含了许多Windows系统内部用户的信息，这些用户并非Windows域认证用户，导出结果会有很多无用信息。“userPRincipalName=*”表示过滤出Base DN下所有包含域登录名的帐号信息，此过滤条件导出的结果才是用户需要的帐号信息。
假如想过滤掉系统缺省的用户，仅导出需要治理的用户，还可以用下面条件来过滤：
(&(distinguishedName=*)(userPrincipalName=*)）
点击“查询”按钮，进入导出文件设置页面
图表 5 导出文件设置界面
点击查看大图
在该页面中选择导出属性为“saMAcccountName”和“userPrincipalName”，输入文件名，点击“导出”按钮，导出文件并保存。
注重：在使用LDAP用户导出文件将用户批量导入CAMS系统时，批量导入的帐号名属性应该对应文件中的“saMAcccountName”属性字段。
进入讨论组讨论。
2.3.4 步骤四：批量导入LDAP用户信息
在LDAP服务器中成功导出用户信息后，需要将用户信息批量导入导CAMS系统中。使用CAMS系统的批量导入功能，可完成此操作。在CAMS系统用户治理主界面中，点击“批量导入”按钮，进入批量导入用户界面，按向导操作即可完成。
图表 6用户帐号治理界面
点击查看大图
批量导入界面如下：
图表 7 帐号批量导入界面
点击查看大图
注重：在批量导入帐号时，帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。
2.3.5 步骤五：LDAP用户信息治理
在LDAP服务器增加成功后，需要进行LDAP认证用户的信息治理。在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接，进入LDAP用户治理页面如下：
图表 8 LDAP服务器用户治理界面
点击查看大图
从该页面可以看出，用户lhs和test已经是LDAP服务器认证用户。假如要添加新的LDAP认证用户，则需要点击该页面中的“增加”按钮，进入LDAP用户增加页面，如下图：
图表 9 LDAP服务器用户增加界面
点击查看大图
在复选框中选中需要使用LDAP服务器认证的用户，点击页面菜单条中的“增加”按钮，即可将用户设定为相应的LDAP服务器认证用户。
2.3.6 步骤六：LDAP认证简单测试
在完成LDAP服务器增加、LDAP用户治理步骤后，可简单测试用户是否可在Active Directory进行认证。
进入用户自助界面，输入已加入LDAP服务器治理的用户名及其在Active Directory中的密码，点击登录，假如用户登录成功，表明上述配置均正确无误。
进入讨论组讨论。
2.4 CAMS系统与NetScape Directory Server 6.0配合配置
NetScape Directory Server 6.0通常作为Sun公司iPlanet应用服务器产品中的用户数据治理服务器。同Active Directory相比，其配置比较简单。配置过程基本与Active Directory相同，需要非凡注重的是其治理员DN的设置和用户导出的过滤条件设置。
2.4.1 步骤一：添加LDAP服务器
点击主界面上“增加”按钮，进入LDAP服务器增加页面
点击查看大图
注重：
1、 Base DN的配置
在配置Base DN时，应注重用户基准节点为“ou=people,”+ “用户根节点suffix”。假设在安装NetScape Server时，用户根节点suffix设为“hauwei.com”，那么应配置Base DN为：ou=people,o=hauwei.com
2、治理员DN的配置
NetScape Directory Server的治理员在服务器安装时指定，治理员所在目录通常与用户所在目录不同，假如服务器安装时，缺省的LDAP数据库将治理员DN为：cn=Directory Manager。治理员DN应设为：cn=Directory Manager，同Active Directory相比，其治理员名称前应该增加“cn=”
1、 用户名属性标识
用户名属性标识通常为：uid，假如该Ldap服务器中，用户帐号通过属性“cn”唯一确定，其用户属性标识应设为：cn，具体情况请咨询Ldap服务器治理员。
2、 用户名密码属性标识
用户名密码属性标识通常为：userPassword
2.4.2 步骤二：测试LDAP服务器是否配置是否正确
在配置完成后，可点击配置项目后的“同步”按钮，假如出现以下界面，表示配置成功。
点击查看大图
图表 10 LDAP服务器设置成功后同步结果信息
进入讨论组讨论。
2.4.3 步骤三：LDAP服务器用户数据导出
用户的帐号信息要通过CAMS到LDAP服务器进行认证，CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。CAMS系统提供LDAP用户导出功能，将LDAP服务器中的用户信息导出到文件中，再利用CAMS系统的批量帐号导入功能，将导出文件中的用户信息加入到CAMS服务器中。
点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单，可进入LDAP用户导出界面：
点击查看大图
从LDAP服务器下拉框中选择需要导出用户的LDAP服务器，在过滤条件中输入用户选择的过滤条件。
注重：输入过滤条件时，不同于Active Directory，此处可使用缺省条件“(&(objectclass=*)(uid=*)(userPassword=*))”。
点击“查询”按钮，进入导出文件设置页面
点击查看大图
在该页面中选择导出属性为“uid”输入文件名，点击“导出”按钮，导出文件并保存。
注重：在使用LDAP用户导出文件将用户批量导入CAMS系统时，批量导入的帐号名字段应该对应文件中的“uid”属性字段，切记导出文件中标识帐号名属性的字段应该同增加LDAP服务器时，用户名属性标识一致。
2.4.4 步骤四：批量导入LDAP用户信息
在LDAP服务器中成功导出用户信息后，需要将用户信息批量导入导CAMS系统中。使用CAMS系统的批量导入功能，可完成此操作。在CAMS系统用户治理主界面中，点击“批量导入”按钮，进入批量导入用户界面，按向导操作即可完成。
图表 11用户帐号治理界面
点击查看大图
批量导入界面如下：
图表 12 帐号批量导入界面
点击查看大图
注重：在批量导入帐号时，帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。
进入讨论组讨论。
2.4.5 步骤五：LDAP用户信息治理
在LDAP服务器增加成功后，需要进行LDAP认证用户的信息治理。在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接，进入LDAP用户治理页面如下：
点击查看大图
图表 13 LDAP服务器用户治理
从该页面可以看出，用户lhs和test已经是LDAP服务器认证用户。假如要添加新的LDAP认证用户，则需要点击该页面中的“增加”按钮，进入LDAP用户增加页面，如下图：
点击查看大图
在复选框中选中需要使用LDAP服务器认证的用户，点击页面菜单条中的“增加”按钮，即可将用户设定为相应的LDAP服务器认证用户。
2.4.6 步骤六：LDAP认证简单测试
在完成LDAP服务器增加、LDAP用户治理步骤后，可简单测试用户是否可在Active Directory进行认证。
进入用户自助界面，输入已加入LDAP服务器治理的用户名及其在NetScape Directory Server中的密码，点击登录，假如用户登录成功，表明上述配置均正确无误。
进入讨论组讨论。
2.5 CAMS系统与Sun Directory Server 5.2配合配置
Sun Directory Server 5.0通常作为Sun公司Sun identity Server应用服务器产品中的用户数据治理服务器。其配置同NetScape Directory Server 基本相同，仅在Base DN设置时有些变动。
2.5.1 步骤一：添加LDAP服务器
点击主界面上“增加”按钮，进入LDAP服务器增加页面
点击查看大图
注重：
1、 Base DN的配置
在配置Base DN时，应注重用户基准节点为“ou=people,”+ “用户根节点suffix”。假设在安装Sun Directory Server时，用户根节点suffix设为“cams.com”，那么应配置Base DN为：ou=people,dc=cams,dc=com，请注重与NetScape Directory Server的区别。
2、 端口配置
Sun Directory Server安装的服务器上可能已经安装了其它厂家的Ldap服务器，389端口被占用，此时需要另外指定Ldap通讯端口，此端口需要按安装时设定的端口值设置。
3、治理员DN的配置
Sun Directory Server的治理员DN配置格式与NetScape Directory Server的治理员DN配置格式相同。假如服务器安装时，设置的LDAP数据库将治理员DN为：cn=Directory Manager。则治理员DN应设为：cn=Directory Manager，同Active Directory相比，其治理员名称前应该增加“cn=”
4、用户名属性标识
用户名属性标识通常为：uid，假如该Ldap服务器中，用户帐号通过属性“cn”唯一确定，其用户属性标识应设为：cn，具体情况请咨询Ldap服务器治理员。
1、 用户名密码属性标识
用户名密码属性标识通常为：userPassword
进入讨论组讨论。
2.5.2 步骤二：测试LDAP服务器是否配置是否正确
在配置完成后，可点击配置项目后的“同步”按钮，假如出现以下界面，表示配置成功。
点击查看大图
图表 14 LDAP服务器设置成功后同步结果信息
2.5.3 步骤三：LDAP服务器用户数据导出
用户的帐号信息要通过CAMS到LDAP服务器进行认证，CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。CAMS系统提供LDAP用户导出功能，将LDAP服务器中的用户信息导出到文件中，再利用CAMS系统的批量帐号导入功能，将导出文件中的用户信息加入到CAMS服务器中。
点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单，可进入LDAP用户导出界面：
点击查看大图
从LDAP服务器下拉框中选择需要导出用户的LDAP服务器，在过滤条件中输入用户选择的过滤条件。
注重：输入过滤条件时，此处可使用缺省条件“(&(objectclass=*)(uid=*)(userPassword=*))”。
点击“查询”按钮，进入导出文件设置页面
点击查看大图
在该页面中选择导出属性为“uid”输入文件名，点击“导出”按钮，导出文件并保存。
注重：在使用LDAP用户导出文件将用户批量导入CAMS系统时，批量导入的帐号名字段应该对应文件中的“uid”属性字段，切记导出文件中标识帐号名属性的字段应该同增加LDAP服务器时，用户名属性标识一致。
进入讨论组讨论。
2.5.4 步骤四：批量导入LDAP用户信息
在LDAP服务器中成功导出用户信息后，需要将用户信息批量导入导CAMS系统中。使用CAMS系统的批量导入功能，可完成此操作。在CAMS系统用户治理主界面中，点击“批量导入”按钮，进入批量导入用户界面，按向导操作即可完成。
图表 15用户帐号治理界面
点击查看大图
批量导入界面如下：
图表 16 帐号批量导入界面
点击查看大图
注重：在批量导入帐号时，帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。
2.5.5 步骤五：LDAP用户信息治理
在LDAP服务器增加成功后，需要进行LDAP认证用户的信息治理。在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接，进入LDAP用户治理页面如下：
点击查看大图
图表 17 LDAP服务器用户治理
从该页面可以看出，用户test已经是LDAP服务器认证用户。假如要添加新的LDAP认证用户，则需要点击该页面中的“增加”按钮，进入LDAP用户增加页面，如下图：
点击查看大图
在复选框中选中需要使用LDAP服务器认证的用户，点击页面菜单条中的“增加”按钮，即可将用户设定为相应的LDAP服务器认证用户。
2.5.6 步骤六：LDAP认证简单测试
在完成LDAP服务器增加、LDAP用户治理步骤后，可简单测试用户是否可在Active Directory进行认证。
进入用户自助界面，输入已加入LDAP服务器治理的用户名及其在Sun Directory Server中的密码，点击登录，假如用户登录成功，表明上述配置均正确无误。
进入讨论组讨论。
3 案例配置FAQ
1、 LDAP服务器为什么无法同步成功？
LDAP服务器要同步成功，LDAP服务器版本、IP地址、端口号、治理员DN和治理员密码必须设置正确。通常同步不成功的原因为治理员DN设置错误，治理员DN的格式必须根据不同的LDAP服务器设置，具体信息请向LDAP服务器治理员咨询。
2、 LDAP服务器导出用户为什么不成功？
假如LDAP服务器导出用户不成功，首先要检查LDAP服务器是否能与CAMS系统正常通讯，在CAMS系统能与LDAP服务器进行用户信息同步的情况下，通常是导出时过滤条件参数设置错误。
3、 “同步”操作的作用是什么？LDAP服务器用户信息同步后，用户密码可同步到CAMS服务器吗？
同步CAMS系统与LDAP服务器信息的目的，是为了让用户直接在CAMS服务器上认证，提高认证效率。不同的LDAP服务器，对用户密码有不同的治理方式，Active Directory的用户密码不可读，而NetScape Directory的用户密码则可读出并同步到CAMS服务器中。因此，对于Active Directory，即使执行同步操作，用户认证也必须到Active Directory完成，而对于NetScape Directory，用户信息同步后，认证可直接在CAMS系统中执行。
4、 参数“自动连接时长”的作用是什么？
CAMS系统在与LDAP服务器建立连接时，假如连接失败，会在该设定时间后重试建立连接。间隔时长范围为[3,1440]分钟。
5、 为什么要设置“实时认证”？
假如实时认证设置为“是”，则用户认证时，不论CAMS系统是否已同步LDAP服务器中的用户信息，CAMS系统均将用户认证请求转发至LDAP服务器认证。由于CAMS系统是天天定时与LDAP服务器同步用户信息，在LDAP服务器中的用户密码改动后，其信息不一定能及时同步至CAMS系统，为了保证用户在密码更改后能实时认证上网，可将“实时认证”设置为“是”，保证用户认证直接在LDAP服务器上完成。
附件(本网站支持断点续传下载，建议使用FlashGet、NetAnts等支持断点续传的工具下载,登录用户请查看帮助)
