餅乾工坊

Drupal 整合 Windows AD
轉貼自 [仙采手札] Drupal 整合 Windows AD

Drupal LDAP 整合模組在 http://drupal.org/node/15109，下載後，上傳到 /sites/all/modules 然後啟用模組。
啟用後先進入授權方式設定，選擇 LDAP directory only，只用 LDAP 授權，不再在 Drupal 新增帳號。原有的 Admin 還會存在，不受影響。
[attachment=32]
接下來的 Security Options 勾選 Do not store users’ passwords during sessions.
[attachment=33]
LDAP UI Options 的部份可考慮勾選 Remove password change fields from user edit form，這樣會移除在登入畫面的「索取新密碼」的功能。email也不讓使用者自行修改。因為安全上的考量，不讓 Drupal 寫入 AD 主機。
[attachment=34]
[attachment=35]
接著設定 AD 主機資料，這個決定登入的帳號和密碼的驗證。名稱自行命名，LDAP server 可寫入ip，或完整的主機名稱。
[attachment=42]
Login procedure 對沒有 LDAP 經驗的人來說，比較不容易了解。BASE DNs 要填入完整的域名及OU(組織單位)。例如，有家公司的 DN 是 goo.com.tw ，架設 AD 的人設定了公司頂級的容器物件叫 headoffice ，那麼 BASE DNs 就是 ou=headoffice,cn=goo,cn=com,cn=tw ，以此類推你的 BASE DNs 。
下方的 UserName attribute ，因為用的是 Windows 的 AD ，所以是 sAMAccountName 。
[attachment=43]
LDAP Server 設定最重要的步驟在這裡。一般 AD 都不會開放匿名查詢，所以一定要填入有權限的帳號。通常是 Administrator 。在 LDAP 的世界裡， Administrator 一定要有完整的 CN ，以上述的 DN 為例，就是 cn=Administrator,cn=users,dc=goo,dc=com,dc=tw，密碼就是原來的密碼。(圖中資料是我的例子，照抄不會有作用，請注意。)
[attachment=44]
Data 的設定比較單純，看圖即可。
[attachment=36]
[attachment=37]
Group 的設定目的是藉由 AD 中各個使用者的隸屬群組，來作為 Drupal 的權限管控，方便管理網站。

進入 Group 之後，選「編輯」進行設定。
[attachment=38]
Group by DN 下的 Attribute of the DN which contains the group name：填入 OU 即可。
[attachment=39]
Group by attribute 項目下勾選 Groups are specified by LDAP attributes。這個選項對於日後想要依 AD 的群組去做權限管控很重要，有勾選，系統會在使用者的角色自動帶入 AD 的群組名稱。不勾選，就只會建立一般使用者。

Attribute names (one per line)：填入 memberOf 。(如果想了解為什麼，請自行研究 LDAP 書籍)
[attachment=40]
Group by entry 項目下的 LDAP DNs containing groups (one per line)：如果以前述的 DN 為例，要填入 OU=headoffice,DC=goo,DC=com,DC=tw (圖中是我的例子，請填上你的 DN) Attribute holding group members：請填入 memberUid
[attachment=41]
LDAP 的設定到此告一個段落。基本上，任何一個 AD 上的帳號都可以登入網站了，但這不是最終目的，各使用者的權限管理才是重點。

Drupal LDAP 整合模組並不會自動將 AD 上的群組和帳號抓取到網站上，經過測試發現，各群組的其中一個人只要登入後，就會產生一個使用者的資料，並將其所屬的群組資料帶入。在使用者的頁面中，會出現「角色」的資料，這個就是 AD 上的群組。[attachment=45]
「角色」資料產生後，就可以依此進行操作權限相關的設定。由「角色」去設定，以不用一個一個帳號設定權限，要不然，公司幾百名員工，MIS 會設定到死掉。
[attachment=46]

參考資料：
1. 潛下去是為了浮出來
2. Use ldapgroups with M$ Windows 2003 Active Directory

Drupal LDAP 過濾群組
轉貼自 [仙采手札]Drupal LDAP 過濾群組

在 Drupal 6 的 LDAP 設定當中，Groups 這個項目可以決定 AD 的群組是不是可以複製到 Drupal 當中作為「角色」。如果在 Group by Attribute 這個項目下，勾選 Groups are specified by LDAP attributes 系統會在使用者的角色自動帶入 AD 的群組名稱，同時會建立「角色」的清單。不勾選，就只會建立一般使用者。
[attachment=47]
在AD上，經常會為了管理的目的，設立許多群組 (Groups)，但是在 Drupal 6 上面，卻不需要這麼多的「角色」(Roles)，否則在管理權限時，一大堆方塊看得眼睛都花了，我就曾經因為這樣勾錯權限，害使用者抱怨連連。所以該如何過濾 AD 上的群組，不要帶進來 Drupal 6 ，免得建立許多不需要的「角色」呢？

請進入：管理 > 網站設定 > LDAP > Groups ，編輯現有的 LDAP 。

在 Group by entry 下，勾選 Groups exist as LDAP entries where a multivalued attribute contains the members’ CNs，然後在方格中填入你希望建立角色的群組。

下方的 Attribute holding group members 要填入 member ，而不是原先的 memberUid 。
[attachment=48]

Drupal LDAP 群組管理
轉貼自 [仙采手札]Drupal LDAP 群組管理

在 Drupal 6 的 LDAP 設定當中，Groups 這個項目可以決定 AD 的群組是不是可以複製到 Drupal 當中作為「角色」，這在權限管理是非常重要也非常好用的一個設定。

在 Group by Attribute 這個項目下，要勾選 Groups are specified by LDAP attributes 系統才會在使用者的角色自動帶入 AD 的群組名稱，同時會建立「角色」的清單。不勾選，就只會建立一般使用者。
[attachment=49]
LDAP group to Drupal role limits 這個項目就是讓你決定 AD 上的哪些群組可以登入 Drupal 。設定的說明講得很清楚了：如果空白不填任何資料，那麼 AD 上的所有帳號都可以登入，會自動建立 Drupal 上的帳號。
[attachment=50]
如果有填入 AD 上的群組，表示限制只有這些群組的成員可以登入，不隸屬於這些指定的任何一個群組的帳號，就不被允許登入。

記得群組要填寫標準的 DN 格式，如圖所示。有支援中文的群組名稱。
[attachment=51]
不能登入的帳號，會被拒絕登入，但 Drupal 還是會新增這個帳號，也許是 Bug 。

NINJA

NINJA

NINJA

NINJA