Перейти к основному содержимому

Интеграция с РЕД АДМ

«РЕД АДМ» — система централизованного управления ИТ-инфраструктурой для РЕД ОС. Её служба каталогов построена на базе Samba AD, поэтому YuChat интегрируется с ней как с обычным каталогом Active Directory по протоколу LDAP — через федерацию пользователей в Keycloak.

Общая настройка LDAP-федерации, маппинг атрибутов и синхронизация пользователей описаны в разделе Интеграция с Keycloak. Ниже — особенности, специфичные для РЕД АДМ.

Предварительные требования​

  • Развёрнут РЕД АДМ с контроллером домена (см. документ РЕД АДМ «Быстрый старт»).
  • Есть учётная запись для подключения к каталогу (bind), например administrator.
  • Есть сетевой доступ от сервера Keycloak до контроллера домена РЕД АДМ по LDAP.
Настройка на стороне РЕД АДМ

YuChat (Keycloak) подключается к каталогу простым bind по LDAP без подписи, а контроллер домена РЕД АДМ по умолчанию требует строгую аутентификацию и такой запрос отклоняет. Поэтому на стороне РЕД АДМ нужно разрешить такую аутентификацию — по документу РЕД АДМ «Быстрый старт», раздел 3 «Дополнительные настройки» → 3.1 «Взаимодействие со сторонними ИС, требующими аутентификацию LDAP»:

  1. в веб-интерфейсе РЕД АДМ откройте «Управление доменом» → «Контроллеры домена»;
  2. установите на контроллер домена менеджер управления (кнопка «Установить менеджер»);
  3. откройте свойства контроллера домена («Подробнее» → вкладка «Параметры») и для параметра «Строгая аутентификация на сервере LDAP» выберите значение «Не подписан»;
  4. сохраните изменения.

Без этой настройки подключение Keycloak к каталогу РЕД АДМ будет отклонено.

Настройка LDAP-федерации в Keycloak​

Настройте провайдера LDAP в Keycloak по шагам из раздела Интеграция с Keycloak, указав параметры для РЕД АДМ:

  • Vendor — Active Directory;
  • Connection URL — ldap://<IP-адрес контроллера домена РЕД АДМ>;
  • Enable StartTLS — Off;
  • Bind type — simple;
  • Bind DN — administrator@<домен> (например, administrator@corp.example.ru);
  • Users DN — OU с пользователями, которых нужно синхронизировать.

Маппинг атрибутов (department, position, phone, displayName) и настройки синхронизации выполняйте так же, как описано в разделе Интеграция с Keycloak.

примечание

Для корректной миграции у каждого пользователя в каталоге должен быть задан email.

Проверка​

  • Нажмите Test connection в настройках LDAP-провайдера — подключение должно пройти успешно.
  • Запустите синхронизацию пользователей; импортированные пользователи появятся в Keycloak.
  • Если подключение или bind не проходит — проверьте, что на контроллере домена РЕД АДМ выполнена настройка «Строгая аутентификация на сервере LDAP» = «Не подписан» (см. Предварительные требования).
Последнее обновление