Active Directory & LDAP 統合
Cockpit は、外部の LDAP ディレクトリおよび Microsoft Active Directory との統合をサポートしています。これにより、管理者はユーザー管理を一元化し、企業の資格情報を使用し、ディレクトリグループに基づいて権限マッピングを自動化できます。
認証ワークフロー
LDAP/AD 統合は、複数段階の認証プロセスを通じて、ユーザーの検証をターゲットのディレクトリサービスに委託します。
- ログイン要求: ユーザーは、Cockpit ログインインターフェースで資格情報 (例:
user@corp.awan.io) を入力します。 - ドメインルーティング: Cockpit はドメインサフィックスを識別し、構成されたディレクトリサービスエンドポイントに要求をルーティングします。
- ディレクトリバインド (検索フェーズ): Cockpit は、システムアカウント (Bind DN) を使用してディレクトリサーバーに接続し、ディレクトリツリー内でユーザーの識別名 (Distinguished Name: DN) を検索します。
- ユーザー検証 (認証フェーズ): Cockpit は、ユーザーの特定の DN とログイン時に入力されたパスワードを使用して、二次バインド操作を実行します。
- グループ取得とロールマッピング: 検証が成功すると、Cockpit はユーザーのグループメンバーシップ (例:
memberOf属性の照合) を照会し、対応する Cockpit グループおよびロールにマッピングします。
ディレクトリ構成プロパティ
外部ディレクトリソースを構成するには、Cockpit コンソールの Administration > Identity Sources に移動し、次のプロパティを定義します。
| プロパティ | 例の値 | 説明 |
|---|---|---|
| Domain Name | corp.awan.io | ディレクトリソースに関連付けられたドメインサフィックス。 |
| LDAP URL | ldaps://ad-controller.corp.awan.io:636 | ディレクトリサーバーのエンドポイント URI。転送中のデータを保護するために ldaps:// を使用します。 |
| Base DN | dc=corp,dc=awan,dc=io | 検索が実行されるディレクトリツリーのルート DN。 |
| Bind DN | cn=svc-cockpit,ou=ServiceAccounts,dc=corp,dc=awan,dc=io | Cockpit がユーザーレコードの検索に使用するシステムサービスアカウント。 |
| Bind Password | ******** | システムサービスアカウントの Bind DN に関連付けられたパスワード。 |
| User Search Filter | (&(objectClass=user)(sAMAccountName={username})) | 入力されたユーザー名と一致するユーザーオブジェクトを検索するためのクエリ。 |
| Group Search Filter | (&(objectClass=group)(member={dn})) | ユーザーの DN に関連付けられたグループメンバーシップを取得するためのクエリ。 |
ディレクトリグループの Cockpit ロールへのマッピング
ディレクトリユーザーの権限マッピングを設定するには:
- 管理資格情報を使用して Cockpit にログインします。
- Access Control > Group Mappings に移動します。
- Add Mapping を選択します。
- AD/LDAP Group DN を入力します (例:
cn=devops-team,ou=Groups,dc=corp,dc=awan,dc=io)。 - 必要なロールと権限を含むターゲットの Cockpit Group (例:
Cluster Administrators) を選択します。 - マッピング構成を保存します。
指定されたディレクトリグループに属するユーザーは、ログイン時にマッピングされた Cockpit 権限を自動的に受け取ります。