关于目录服务身份验证

您可以配置 HPE OneView 以在用户身份验证中使用外部企业目录服务。HPE OneView 支持以下企业目录服务：

  • Active Directory

  • OpenLDAP

在使用目录服务时，将使用目录中的组成员身份为目录用户授予 HPE OneView 权限。在定义目录服务后，请使用用户和组屏幕定义目录组的权限。

将为目录组分配一个或多个 HPE OneView 权限。为目录用户分配的 HPE OneView 权限表示该用户所属的所有目录组的权限总和。仅在为目录组定义权限后，才会在装置中对目录用户进行身份验证。

组中的任何用户都可以使用以下步骤登录到装置：

  1. 在登录页面中选择企业目录服务。

  2. 输入一个用户名。用户名 的格式取决于目录类型。请咨询 HPE OneView 管理员和目录管理员以了解正确的用户名格式。有效的格式包括：

    • 电子邮件地址。例如：jane@example.com。

    • 用户的公用名（目录中的 CN 属性）。例如：jane 或 example\jane，其中 example.com 是目录域。
      注意：

      一种最佳做法是，将目录服务的 HPE OneView 显示名称设置为与目录的完全限定域名的开头部分匹配（如果具有 example.com，则为 example）。用户名 的格式取决于目录类型。

  3. 输入密码。

装置中的企业目录用户

没有在装置中明确创建与目录用户对应的用户。不过，在目录用户登录到装置时，将在企业目录名称前面添加用户名以标识该用户。

在会话控件中，() 用户在名称前面添加身份验证目录服务以进行标识。例如：) 用户在名称前面添加企业目录服务以进行标识。例如：

CorpDir\pat
重要信息：

与本地用户不同，如果将用户从一个身份验证目录中删除，其活动会话将保持活动状态，直到该用户注销。同样，如果对身份验证目录中的用户组进行任何修改，则不会在用户的当前活动会话中反映该修改。

在身份验证目录组中的用户登录后，如果更改该组的组到角色分配（包括删除），在他们注销之前，其当前活动会话不会受到影响。在进行此类修改时，将终止本地用户会话。

目录服务器

在装置上配置目录时，您可以为目录服务指定一个或多个可访问的目录服务器。如果为目录添加多个目录服务器，则假定它们是冗余服务器以提供高可用性或容错功能。如果无法访问某个目录服务器，则会访问其他配置的服务器以对用户进行身份验证。
注意：

  • 如果在目录服务器配置中使用群集，则可以将群集主机名指定为目录服务器。Hewlett Packard Enterprise 建议在目录服务器配置中使用群集，而不是在装置中配置复制的目录服务器。

  • 目录搜索操作可能需要很长时间，具体取决于目录配置和影响登录时间的网络延迟。在将 Active Directory 与多个域一起使用时，请为目录服务器配置全局目录以获得最佳的登录性能。

绑定到目录服务器

装置必须绑定到目录服务器以执行搜索和身份验证操作。您可以选择使用以下任一选项进行绑定：

  • 服务帐户：可以在装置中配置具有目录服务器的读取访问权限的目录服务帐户。服务帐户将用户名和密码作为输入。HPE OneView 存储您提供的凭据以供将来使用。在 HPE OneView 中启用双因素身份验证时，服务帐户选项是必需的。

  • 用户帐户：用户帐户使用在将 HPE OneView 连接到目录服务时用户提供的凭据。用户帐户有助于在身份验证过程中查询目录。用户帐户是目录绑定的默认选项。目录服务的用户凭据未存储在 HPE OneView 中。

用于身份验证的用户登录名格式

要支持仅指定了用户名的用户登录名，将尝试使用以下格式在目录服务中进行身份验证：

如果用户名不是电子邮件地址（由 @ 字符表示）或 \ 字符（表示域\用户名格式），则按以下顺序尝试登录名：

  1. 将用户名 视为名称并在前面添加目录名以变为目录名\用户名，例如，example\jane。

  2. 将用户名 视为 UID。

  3. 将用户名 视为公用名 (CN)。

注意： 如果在 HPE OneView 中配置的 Active Directory 服务器服务具有用户锁定策略（例如，定义为登录尝试连续失败 n 次时锁定），Hewlett Packard Enterprise 建议您使用电子邮件或域\用户名格式登录到 HPE OneView。如果未使用电子邮件或域\用户名格式（而是仅使用用户名），HPE OneView 将在内部尝试不同的登录名格式，如上所述。这可能会导致在单次登录尝试失败（不正确的密码）时从 GUI 中锁定用户。要最大限度减少登录尝试次数，请将目录显示名称配置为与目录完全限定域名的第一个组件相同。例如，为 example.com 目录分配 HPE OneView 名称 example。

信任目录服务器

Hewlett Packard Enterprise 建议您在目录服务器上使用 CA 签名的证书。在配置目录服务之前，必须将目录证书的整个证书链（包括 CA 根和任何中间证书）放在 HPE OneView 信任存储中。这可确保在装置上配置目录服务器时装置自动信任该服务器。

在添加企业目录服务和服务器后

您可以：

  • 将其指定为在登录时要使用的默认目录服务。

  • （可选）禁用本地登录，以便仅目录服务对其帐户进行身份验证的用户才能登录。将禁止本地帐户进行登录。

配置 Microsoft Active Directory 服务时的注意事项

  • 为了获得最高的安全性，Hewlett Packard Enterprise 建议将目录服务器配置为仅使用 TLS 1.2 或更高版本的协议。

  • 下面将 Active Directory 属性映射到相应的 LDAP 属性：

    LDAP 属性

    Active Directory 属性

    cn

    Common-Name

    uid

    UID

    userPrincipalName

    User-Principal-Name

    sAMAccountName

    SAM-Account-Name

  • 如果用户对象是在 Microsoft 管理控制台的 Active Directory 用户和计算机中创建的，则默认名称如下所示。

    请指定用户名的以下组成部分，它们在此处与相应的属性一起显示：

    用户名组成部分

    属性

    名字

    givenName

    姓名首字母

    initial

    姓氏

    sn

    标记为全名的字段默认使用该格式。该字符串分配给 cn 属性（公用名）。

    givenName.initials.givenName.initial.sn

    在新建对象 - 用户对话框中，您还需要指定一个用户登录名。用户登录名与 DNS 域名合并在一起以变为 userPrincipalName。userPrincipalName 是用户可用于登录的备用名称。它采用以下格式：

    LogonName@DNSDomain

    例如：

    joeuser@example.com

  • 最后，在输入用户登录名时，将在 Windows 2000 以前版本的登录名称字段中自动填充前 20 个字符，这会变为 sAMAccountName 属性。

  • 不接受内置 Active Directory 用户帐户的 CN 登录名，例如，Administrator。如果正确设置了相应的属性（sAMAccountName、userPrincipalName 和 UID），则可以接受其他登录格式。

更多信息