对接 Active Directory

如果您的组织使用 Microsoft Active Directory 作为中心用户存储库，您可以将 Rancher 配置为与 Active Directory 服务器通信以对用户进行身份验证。这使 Rancher 管理员可以对外部用户系统中的用户和组进行集群和项目的访问控制，同时允许最终用户在登录 Rancher UI 时使用其 Active Directory 凭据进行身份验证。

Rancher 使用 LDAP 与 Active Directory 服务器通信。因此，Active Directory 的身份验证流与 OpenLDAP 认证的身份验证流相同。

注意：

在开始之前，请熟悉外部身份验证配置和用户主体的概念。

先决条件

您需要创建或从您的 AD 管理员处获取一个新的 AD 用户，以用作 Rancher 的服务帐户。此用户必须具有足够的权限，才能执行 LDAP 搜索并读取您的 AD 域下的用户和组的属性。

通常（非管理员）域用户 帐户应用于此目的，因为默认情况下，该用户对域分区中的大多数对象具有只读权限。

但是，请注意，在某些锁定的 Active Directory 配置中，此默认行为可能不适用。在这种情况下，您需要确保服务帐户用户在Base OU（包含用户和组）上或全局范围内至少拥有 Read 和 List Content 权限。

使用 TLS？

如果 AD 服务器使用的证书是自签名的或不是来自认可的证书颁发机构，请确保手头有 PEM 格式的 CA 证书（包含任何中间证书）。您必须在配置期间粘贴此证书，以便 Rancher 能够验证证书链。

配置步骤

打开 Active Directory 配置

1. 使用初始的本地admin帐户登录到 Rancher UI。
2. 在 全局 视图中，导航到 安全 > 认证。
3. 选择 Active Directory 。将显示配置 AD 服务器的表单。

配置 Active Directory 服务器设置

在标题为1. 配置Active Directory服务器的部分中，填写您的 Active Directory 服务器的信息字段。有关每个参数所需值的详细信息，请参阅下表。

注意：

如果您不确定要在用户/组搜索起点字段中输入的正确值，请参阅使用 ldapsearch 确认搜索起点和架构。

表 1：AD 服务器参数

配置用户/组架构

在标题为2. 自定义架构的部分中，必须为 Rancher 提供与目录中使用的架构对应的用户和组属性的正确映射。

Rancher 使用 LDAP 查询来搜索和检索关于 Active Directory 中的用户和组的信息。本节中配置的属性映射用于构造搜索筛选器和解析组成员身份。因此，最重要的是所提供的设置反映了您的 AD 域的真实情况。

注意：

如果您不熟悉 Active Directory 域中使用的架构，请参阅使用 ldapsearch 确认搜索起点和架构以确定正确的配置值。

用户架构

下表详细说明了用户架构部分配置的参数。

表 2：用户架构配置参数

组架构

下表详细说明了组架构配置的参数。

表 3：组架构配置参数

测试身份验证

完成配置后，请使用您的 AD 管理员账户，测试与 AD 服务器的连接。如果测试成功，将启用与配置的 Active Directory 的身份验证，您的账户会成为管理员账户。

注意：

与此步骤中输入的凭据相关的 AD 用户将映射到本地主体帐户并在 Rancher 中分配系统管理员权限。因此，您应该有意识地决定使用哪个 AD 帐户来执行此步骤。

1. 输入应映射到本地主体帐户的 AD 帐户的用户名和密码。
2. 单击启用 Active Directory 认证以完成设置。

结果：

• 已启用 Active Directory 身份验证。
• 您已使用提供的 AD 凭据以系统管理员身份登录到 Rancher。

注意：

如果 LDAP 服务中断，您仍然可以使用本地配置的admin帐户和密码登录。

附件：使用 ldapsearch 确认搜索起点和架构

为了成功配置 AD 身份验证，必须提供与 AD 服务器的层次结构和架构相关的正确配置。

ldapsearch 工具允许您查询您的 AD 服务器以了解用于用户和组对象的架构。

对于下面提供的示例命令，我们假设：

• Active Directory 服务器的主机名为ad.acme.com
• 服务器正在监听端口389上的未加密连接
• Active Directory 域是acme
• 您有一个用户名为jdoe和密码为secret的有效 AD 帐户

确认搜索起点

首先，我们将使用ldapsearch来找到用户和组的父节点的可分辨名称（DN）：

$ ldapsearch -x -D "acme\jdoe" -w "secret" -p 389 \
-h ad.acme.com -b "dc=acme,dc=com" -s sub "sAMAccountName=jdoe"

此命令执行 LDAP 搜索，搜索起点设置为域根目录(-b "dc=acme,dc=com")，并执行针对用户帐户的筛选器(sAMAccountNam=jdoe)，返回所述用户的属性:

因为在这种情况下，用户的 DN 是CN=John Doe,CN=Users,DC=acme,DC=com[5]，所以我们应该使用父节点 DNCN=Users,DC=acme,DC=com配置用户搜索起点。

同样，基于 memberOf 属性[4]中引用的组的 DN，组搜索起点的正确值将是该值的父节点，即OU=Groups,DC=acme,DC=com。

确认用户架构

上述ldapsearch查询的输出还允许确定在用户架构配置中使用的正确值:

• 对象类型: person[1]
• 用户名属性: name[2]
• 登录属性: sAMAccountName[3]
• 用户成员属性: memberOf[4]

注意：

如果我们组织中的 AD 用户使用其 UPN（例如 jdoe@acme.com）而不是短登录名进行身份验证，则我们必须将登录属性设置为userPrincipalName。

我们还将搜索属性参数设置为sAMAccountName | name。这样，用户可以通过输入用户名或全名添加到 Rancher UI 中的集群/项目中。

确认组架构

接下来，我们将查询与此用户关联的组之一，在本例中为CN=examplegroup，OU=groups，DC=acme，DC=com:

$ ldapsearch -x -D "acme\jdoe" -w "secret" -p 389 \
-h ad.acme.com -b "ou=groups,dc=acme,dc=com" \
-s sub "CN=examplegroup"

此命令将通知我们用于组对象的属性:

同样，这允许我们确定要在组架构配置中输入的正确值:

• 对象类型: group[1]
• 名称属性: name[2]
• 组成员映射属性: member[3]
• 搜索属性: sAMAccountName[4]

查看 member 属性的值，我们可以看到它包含被引用用户的 DN。这对应于我们的用户对象中的 distinguishedName 属性。因此，必须将组成员映射属性参数的值设置为此属性。

同样，我们可以看到用户对象中 memberOf 属性中的值对应于组的 distinguishedName[5]。因此，我们需要将组DN属性参数的值设置为此属性。

附件：故障排查

如果在测试与 Active Directory 服务器的连接时遇到问题，请首先仔细检查为服务帐户输入的凭据以及搜索起点配置。您还可以检查 Rancher 日志，以帮助查明问题的原因。调试日志可能包含有关错误的更详细信息。请参阅本文档中的如何启用调试日志。