Konfigurieren der LDAP-Authentifizierung
Sie können das NetScaler Gateway so konfigurieren, dass der Benutzerzugriff mit einem oder mehreren LDAP-Servern authentifiziert wird.
Die LDAP-Autorisierung erfordert identische Gruppennamen im Active Directory, auf dem LDAP-Server und auf dem NetScaler Gateway. Die Zeichen und die Groß-/Kleinschreibung müssen ebenfalls übereinstimmen.
Standardmäßig ist die LDAP-Authentifizierung durch die Verwendung von Secure Sockets Layer (SSL) oder Transport Layer Security (TLS) gesichert. Es gibt zwei Arten von sicheren LDAP-Verbindungen. Bei der einen Art akzeptiert der LDAP-Server die SSL- oder TLS-Verbindungen auf einem Port, der von dem Port getrennt ist, den der LDAP-Server für die Annahme von unverschlüsselten LDAP-Verbindungen verwendet. Nachdem Benutzer die SSL- oder TLS-Verbindungen hergestellt haben, kann der LDAP-Verkehr über die Verbindung gesendet werden.
Die Portnummern für LDAP-Verbindungen sind:
-
389 für ungesicherte LDAP-Verbindungen
-
636 für sichere LDAP-Verbindungen
-
3268 für ungesicherte Microsoft LDAP-Verbindungen
-
3269 für sichere Microsoft LDAP-Verbindungen
Die zweite Art von sicheren LDAP-Verbindungen verwendet den StartTLS-Befehl und die Portnummer 389. Wenn Sie die Portnummern 389 oder 3268 auf dem NetScaler Gateway konfigurieren, versucht der Server, StartTLS für den Verbindungsaufbau zu verwenden. Wenn Sie eine andere Portnummer verwenden, versucht der Server, Verbindungen über SSL oder TLS herzustellen. Wenn der Server StartTLS, SSL oder TLS nicht verwenden kann, schlägt die Verbindung fehl.
Wenn Sie das Stammverzeichnis des LDAP-Servers angeben, durchsucht NetScaler Gateway alle Unterverzeichnisse, um das Benutzerattribut zu finden. In großen Verzeichnissen kann dieser Ansatz die Leistung beeinträchtigen. Aus diesem Grund empfiehlt Citrix die Verwendung einer spezifischen Organisationseinheit (OU).
Die folgende Tabelle enthält Beispiele für Benutzerattributfelder für LDAP-Server:
| LDAP-Server | Benutzerattribut | Groß-/Kleinschreibung beachten |
|---|---|---|
| Microsoft Active Directory Server | sAMAccountName | Nein |
| Novell eDirectory | ou | Ja |
| IBM Directory Server | Benutzer-ID | Ja |
| Lotus Domino | CN | Ja |
| Sun ONE Directory (ehemals iPlanet) | uid oder cn | Ja |
Diese Tabelle enthält Beispiele für den Basis-DN:
| LDAP-Server | Basis-DN |
|---|---|
| Microsoft Active Directory-Server | DC=citrix,DC=local |
| Novell eDirectory | ou=users,ou=dev |
| IBM Directory Server | cn=users |
| Lotus Domino | OU=City,O=Citrix, C=US |
| Sun ONE Directory (ehemals iPlanet) | ou=People,dc=citrix,dc=com |
Die folgende Tabelle enthält Beispiele für den Bind-DN:
| LDAP-Server | Bind-DN |
|---|---|
| Microsoft Active Directory-Server | CN=Administrator, CN=Users, DC=citrix, DC=local |
| Novell eDirectory | cn=admin, o=citrix |
| IBM Directory Server | LDAP_dn |
| Lotus Domino | CN=Notes Administrator, O=Citrix, C=US |
| Sun ONE Directory (ehemals iPlanet) | uid=admin,ou=Administrators, ou=TopologyManagement,o=NetscapeRoot |
Hinweis: Weitere Informationen zu den LDAP-Servereinstellungen finden Sie unter Attribute in Ihrem LDAP-Verzeichnis bestimmen.