LDAP / Active Directory с внешними пользователями

Контекст

Компания, которая давно использует Active Directory. Ранее администраторы добавляли группу пользователей домена ко многим ресурсам с доступом для чтения. Изменить все это нереально.

Сервис, в данном случае экземпляр GitHub: Enterprise, который использует LDAP для аутентификации, был представлен для проекта сотрудничества с другой компанией.

Проблема

Создание учетных записей AD для внешних пользователей дает им доступ ко многим ресурсам, к которым у них не должно быть доступа. Если мы не создадим для них учетные записи AD, они не смогут получить доступ к новой службе.

  • Есть ли способ создать своего рода «украшенный» прокси для AD, у которого есть несколько локальных пользователей (внешние ребята) и который ссылается на исходную базу данных AD для других пользователей (сотрудников)?

  • Какие еще есть способы решить проблему с разрешением доступа?

Для решения проблемы можно установить дополнительную виртуальную машину с Windows или Linux; однако было бы предпочтительнее, если бы этого не требовалось.


authentication permissions active-directory ldap openldap
person Wilbert    schedule 11.03.2013    source источник

Ответы (1)


arrow_upward
3
arrow_downward

Обычно это делается с помощью федерации SAML.

Или вы можете использовать свой openLDAP и добавить в него всех пользователей, так как это не даст разрешений для AD.

person jwilleke    schedule 11.03.2013
comment
Но как я могу сохранить, например, пароли синхронизированы? Существует политика, которая принудительно меняет пароль каждые x дней, поэтому это следует отразить. Если мы используем OpenLDAP, как я могу синхронизировать это, не имея возможности видеть пароли пользователей AD? - person Wilbert; 11.03.2013
comment
Я ставлю +1, но не принимаю этот ответ, потому что не понимаю, как это решит мою проблему. Пожалуйста, расскажите подробнее. - person Wilbert; 12.03.2013
comment
С SAML у вас никогда не будет пароля от посторонних. SAML потребует, чтобы посторонний прошел аутентификацию у поставщика удостоверений, которому вы бы доверяли. Тогда пользователю будет разрешен доступ. Google SAML. - person jwilleke; 12.03.2013
comment
Используя openLDAP, вы позволяете посторонним регистрироваться на openLDAP. Учетных данных не будет в AD. Опять же, совсем не ясно, что такое Service X и как он использует LDAP. - person jwilleke; 12.03.2013
comment
SAML - это формат XML. У меня есть сервер, которому нужно пройти аутентификацию. Прошу прощения, но я не понимаю, как формат XML является решением. Это может быть частью решения? - person Wilbert; 12.03.2013