Автор статьи: Лю Ханьхуа, старший инженер по эксплуатации и техническому обслуживанию Bei Liao.
Что такое «LDAP», полное английское название — облегченный протокол доступа к каталогам, обычно называемый
С помощью LDAP мы можем достичь:
1. Доступ ко всем соответствующим системам
2. Единая идентификация пользователей и управление безопасностью
3. Одна учетная запись и пароль для всех систем
В то же время наши онлайн-операции по внедрению должны в первую очередь гарантировать, что работа каждого не пострадает.
Ниже приводится введение в этапы реализации:
Шаг 1. Выбор тарифного плана LDAP
выберите openldap Или AD контроллера домена?
1. Openldap — это бесплатная реализация ldap с открытым исходным кодом, но мы обнаружили много незрелости в настройке и использовании, а онлайн-приложения очень рискованны.
2. График внедрения LDAP плотный, и, наконец, было решено использовать более зрелый контроллер домена AD для доступа к службе.
Вот причины, по которым я выбрал контроллер домена:
1. Удобное и унифицированное управление контроллерами домена
2. Зрелая стратегия безопасности
3. Хороший механизм резервного копирования, поддержка резервирования ведущий-ведомый и моментальные снимки резервных копий.
Шаг 2. Организуйте и улучшите различные схемы управления доменным доступом по LDAP
Одним предложением нам нужно разрешить sso, svn, cwiki, squid, vpn, maven, git, zabbix и т. д., которые мы используем для получения пользователей и групп ldap, и сохранить исходные разрешения без изменений;
В процессе тестирования мы приняли отдельный метод развертывания, чтобы не влиять на онлайн-пользователей.
Методы доступа LDAP для разных систем
Фоновая система Oss поддерживается кодом Java, который здесь не будет представлен.
Далее представлены только несколько конфигураций доступа LDAP, которые мы используем.
Confluence wiki поддерживает конфигурацию доступа ldap, пример выглядит следующим образом
Поддержка Apache для аутентификации svn
Поддержка Git ldap
Файл конфигурации /etc/gitlab/gitlab.rb
pptp VPN поддерживает ldap
Прокси-сервер Squid поддерживает ldap
Шаг 3,AD контроллера домена вводит все учетные записи сотрудников, пароли и соответствующую информацию
1. Пакетный импорт списка пользователей и инициализация пароля пользователя
A. Обработка данных учетной записи, предоставленная hr
B. Преобразование в импорт из командной строки
Как контроллеры домена поддерживают команды Csvde -f
Шаг 4. Продолжайте продвигаться по списку, пока не закончите.
Ниже приведен график процесса внедрения
процесс реализацииДва момента:
1,Confluence wikiКогда пользователи используют больше систем, какую стратегию следует выбрать для переключения?:
A. Пользователь совершенно не знает. Принята двухканальная система. Новая учетная запись подключается к ldap, а исходная учетная запись остается неизменной.
B. Полный разовый переход, все пользователи переключаются на учетные записи LDAP
Разрешить пользователям тестировать и проверять преимущества унифицированного управления доступом к LDAP.
Финал: выберите стратегию B
2,SSOПроверяйте и тестируйте каждую функцию во время доступа
А. Чтобы избежать плохого взаимодействия с пользователем при выходе в Интернет, мы перечислим и протестируем все возможные проблемы централизованно, чтобы ничего не пропустить.
Оглядываясь назад на весь процесс внедрения, можно увидеть множество рисков и скрытых опасностей.Вот краткое изложение ценных частей реализации и поделитесь ими с вами:
1, Табличный общий график внедрения, который помогает нам иметь единый план и управление для всего внедрения LDAP.
2. Достаточно ли технического резервного плана?Это ключ к плавному внедрению, потому что непредвиденные ситуации приведут к блокировке всей реализации
3. «Стратегия оттенков серого» принимается в процессе реализации Здесь мы реализуем ее в небольшом, а затем в большом масштабе, что в конечном итоге может уменьшить масштабы плохого опыта и позволить большему количеству людей получить лучший опыт.
4. Запуск и выпуск объявлений
А. Содержание уведомления непростое для понимания или ясности, что заставит большое количество пользователей общаться с вами или обращаться за помощью после запуска.
Б. Презентация содержания объявления определяет впечатление и восприятие в сердцах всех людей.Однажды написанное, оно будет иметь эффект нарисованного дракона и сияющего света.
Визуализация до и после процесса выглядит следующим образом:
предыдущий процесс
Процесс после оптимизации