Distinguer authentification et gestion des comptes
LDAP signifie Lightweight Directory Access Protocol. Ce protocole permet d’accéder aux entrées d’un annuaire, notamment par recherche et authentification au moyen d’une opération de liaison. Une intégration LDAP Lexoh utilise la connexion d’annuaire configurée dans le parcours de connexion des opérateurs; confirmez les commandes disponibles dans votre installation.
L’authentification d’annuaire, la création d’un compte Lexoh, la correspondance entre groupes et rôles ainsi que la connexion unique dans le navigateur sont des capacités distinctes. Définissez le système responsable de chacune. Une connexion LDAP ne démontre pas à elle seule la synchronisation automatique, la création de comptes, l’authentification multifacteur ou l’attribution de permissions.
Identifiez les administrateurs responsables de l’annuaire et de Lexoh, les utilisateurs visés et un compte de test. Consignez la configuration actuelle et une procédure de récupération approuvée avant de modifier l’authentification.
Faire correspondre serveur, port et mode TLS
Obtenez l’adresse du serveur auprès de l’administrateur de l’annuaire. Vérifiez si le champ Lexoh attend un nom d’hôte ou une URI complète et respectez le format documenté. La connexion part de l’environnement d’hébergement de l’application : vérifiez-y la résolution de noms, le routage et les règles de pare-feu.
TLS, pour Transport Layer Security, protège une connexion lorsqu’il est correctement configuré. LDAPS démarre TLS dès l’établissement de la connexion; StartTLS fait évoluer une connexion LDAP vers TLS. Confirmez le mode réellement pris en charge par l’annuaire et le connecteur Lexoh installé. Choisir un port ne suffit pas à activer ou vérifier le chiffrement.
| Convention du service | Vérification nécessaire |
|---|---|
| 389 — LDAP | StartTLS peut être utilisé si les deux côtés le prennent en charge et l’exigent. Établir et vérifier TLS avant d’envoyer des identifiants avec mot de passe. |
| 636 — LDAPS | Utiliser le mode TLS dès la connexion et vérifier le certificat du serveur. |
| 3268 — catalogue global Active Directory | Point de connexion distinct. Confirmer la portée et les attributs disponibles avant de le substituer au service LDAP ordinaire. |
| 3269 — catalogue global sur TLS | Vérifier ensemble les exigences du catalogue global et le certificat TLS. |
Vérification du certificat
Validez l’identité du serveur selon l’adresse configurée, la validité du certificat et la chaîne de confiance depuis l’environnement applicatif. Gardez la vérification active. Une adresse IP exige une identité correspondante dans le certificat; remplacer le nom d’hôte par une IP peut créer une incohérence.
Références du protocole et des ports : Guide TLS d’OpenLDAP. Ports d’annuaire Microsoft.
Distinguer base de recherche et identité de liaison
Un nom distinctif, ou DN pour distinguished name, identifie une entrée dans l’arborescence. La base de recherche est l’entrée où commence une recherche; la portée précise les entrées voisines examinées. L’identité de liaison sert à authentifier une connexion. Ces valeurs remplissent des fonctions différentes et ne sont pas forcément identiques.
À titre illustratif, ou=People,dc=example,dc=com est une base de recherche possible. Les éléments ou, dc et cn désignent couramment une unité organisationnelle, un composant de domaine et un nom commun; uid désigne un attribut d’identifiant utilisateur. Les entrées et règles réelles viennent de l’annuaire, pas seulement du domaine du site ou des courriels.
Copiez le DN requis depuis une vue d’annuaire autorisée et confirmez que le compte de test se trouve dans la portée choisie. Les DN et filtres de recherche suivent des règles d’échappement différentes. N’ajoutez pas d’échappements au mot de passe comme méthode générale de dépannage; signalez un problème de traitement sans partager le secret.
Références de syntaxe : RFC 4514 — noms distinctifs. RFC 4515 — filtres de recherche.
Vérifier chaque étape de la connexion
La séquence suivante décrit un montage courant avec recherche et liaison, pas l’implémentation interne confirmée de chaque déploiement Lexoh. D’autres montages peuvent utiliser directement une identité de liaison ou un autre mécanisme d’authentification. Confirmez la conception du connecteur installé.
- L’application établit la connexion d’annuaire prévue et la protection de transport requise.
- Si une recherche est nécessaire, l’identité de recherche configurée trouve l’entrée visée selon la base, la portée et l’attribut convenus. Confirmez qu’elle sélectionne exactement le bon utilisateur.
- L’annuaire évalue l’opération d’authentification configurée. Une connexion réseau ou une recherche réussie ne démontre pas l’authentification de l’utilisateur.
- L’application associe l’identité authentifiée à son compte et évalue l’état, les rôles et restrictions applicables avant l’utilisation d’une fonction.
- Testez la session applicative et les actions permises. Les changements ultérieurs d’annuaire peuvent affecter différemment les nouvelles connexions et les sessions existantes; vérifiez la procédure de révocation prise en charge.
Définir les correspondances d’identités et de groupes
Identité utilisateur
Confirmez le format de connexion accepté et l’attribut recherché, par exemple uid, sAMAccountName ou userPrincipalName selon le cas. Ces attributs n’ont pas forcément la même valeur. Vérifiez l’association au dossier Lexoh existant ainsi que le traitement des noms modifiés et des noms affichés en double.
Compte de recherche
Si un compte de liaison ou de service distinct est requis, limitez ses droits à la lecture approuvée de l’annuaire. Consignez son responsable et la procédure de renouvellement de ses identifiants. Ce compte est distinct de l’opérateur dont la connexion est évaluée.
Correspondance entre groupes et rôles
Si cette fonction est disponible, examinez les groupes sources exacts, les rôles cibles et la priorité des règles. Testez l’absence d’appartenance, les appartenances multiples et les groupes imbriqués selon le cas. Un nom de groupe ne démontre pas à lui seul une permission Lexoh.
Création et retrait
Confirmez si les comptes sont créés manuellement, à la première connexion ou par une synchronisation distincte. Consignez les délais de mise à jour et le comportement en cas d’échec. Testez le retrait d’un groupe autorisé ou la désactivation de l’utilisateur d’annuaire, y compris une éventuelle connexion locale restante et les sessions existantes.
Adapter les exemples à l’annuaire réel
Active Directory Domain Services
Obtenez auprès de l’équipe d’annuaire le contrôleur de domaine approuvé, le mode de transport et les paramètres de recherche. Un nom principal d’utilisateur, un nom de compte court et un DN complet sont des formats distincts. Utilisez celui accepté par le parcours configuré.
OpenLDAP
Un exemple peut utiliser ldap.example.com, le port TCP 636 avec TLS dès la connexion et la base ou=People,dc=example,dc=com. Ce sont des valeurs illustratives, pas une configuration Lexoh opérationnelle. Confirmez le nom du certificat, les entrées, le schéma et l’attribut de correspondance réels.
Microsoft Entra Domain Services
Microsoft Entra Domain Services peut fournir un point de connexion LDAP géré. Microsoft Entra ID et Domain Services sont des services distincts; un nom de locataire se terminant par onmicrosoft.com ne démontre pas la disponibilité d’un serveur LDAP. Suivez les exigences du domaine géré pour l’adresse LDAP sécurisée, le DNS, le certificat et le réseau.
Références Microsoft sur les services et leur configuration : Comparer les services d’identité Microsoft. Configurer LDAP sécurisé pour Domain Services.
Tester en conservant un accès administratif
- Gardez une voie de récupération autorisée et vérifiée séparément. Consignez la configuration initiale et le retour arrière prévu; ne fermez pas la seule session administrative fonctionnelle avant les tests.
- Enregistrez les paramètres approuvés de serveur, transport et correspondance, puis rouvrez la configuration pour vérifier les valeurs non secrètes. Utilisez un test de connexion pris en charge s’il existe et notez les étapes qu’il vérifie réellement.
- Dans une session de navigateur distincte, utilisez l’identité de test pour vérifier la connexion, le bon compte associé et une action requise. Vérifiez aussi une action exclue et un dossier hors portée avec des données de test approuvées.
- Coordonnez les tests d’identifiants invalides et de compte désactivé avec l’administrateur pour éviter un verrouillage involontaire. Vérifiez les refus et journaux pertinents; l’absence d’erreur visible ne suffit pas.
- Vérifiez un changement de rôle ou de groupe dans une session existante et une nouvelle connexion. Consignez le délai de propagation et la procédure de révocation. Coordonnez tout test de commande d’équipement avec l’exploitation du site.
- Consignez les versions de l’application et de l’annuaire, l’heure, les références non secrètes, les résultats attendus et observés. Corrigez les échecs ou restaurez la configuration initiale approuvée avant un déploiement élargi.
Repérer l’étape en échec
Connexion refusée ou délai dépassé
Vérifiez résolution, routage, port TCP, disponibilité du service et pare-feu depuis l’environnement applicatif. Un ping réussi ou un port ouvert ne démontre ni TLS, ni recherche LDAP, ni authentification.
Échec TLS ou de certificat
Examinez l’identité du serveur, les dates du certificat, la chaîne de confiance et les modes de transport. Corrigez le certificat, la confiance ou l’adresse avec l’administrateur. Gardez la vérification active pendant les tests; la contourner laisserait ce contrôle non vérifié.
Utilisateur introuvable ou résultat ambigu
Examinez base, portée, attribut, filtre et permissions du compte de recherche. Confirmez l’entrée avec des outils d’annuaire autorisés. Analysez les correspondances multiples avant d’accorder un accès.
Authentification refusée
Vérifiez le format d’identité, l’état du compte, les règles de verrouillage et d’expiration ainsi que le mode d’authentification. Examinez le résultat de l’annuaire sans multiplier les essais ni changer un mot de passe dans le mauvais système.
Connexion réussie, permissions incorrectes
Examinez le compte Lexoh associé, les rôles, la portée et les correspondances ou synchronisations de groupes. Comparez sessions existantes et nouvelles connexions. Évitez d’accorder tous les droits pour contourner un refus inexpliqué.
Maintenir la connexion et sa procédure de récupération
Attribuez des responsables au renouvellement des certificats, aux identifiants du compte de recherche, aux accès réseau et aux correspondances d’annuaire. Limitez la connectivité aux sources applicatives nécessaires et protégez les secrets selon les commandes prises en charge par le déploiement.
Examinez les changements de structure, attributs, groupes et politiques d’authentification avant leur mise en service. Retestez connexion et limites de permissions après un changement pertinent, puis conservez une trace datée. Les références générales décrivent le protocole; le connecteur Lexoh installé exige encore une vérification de sa configuration.
Référence de sécurité consultée le 30 septembre 2026 : RFC 4513 — authentification et mécanismes de sécurité.