Índice

Objetivo

O objetivo deste guia é orientar o administrador sobre como configurar a plataforma para permitir acesso dos usuários através das credenciais existentes em um diretório, como o Active Directory, via protocolo LDAP (Lightweight Directory Access Protocol).

Uma vez realizada a configuração, os usuários deverão informar os dados de acesso do LDAP (usuário/senha) na tela de login para obter acesso à plataforma.

Configuração

1. Edite o arquivo domain.xml localizado na pasta [diretório_instalação]\appserver\domain\configuration.

2. Localize e substitua o trecho abaixo:

<login-module code="com.totvs.foundation.auth.FoundationDatabaseServerLoginModule" flag="sufficient" module="com.totvs.foundation.auth">
	<module-option name="hashAlgorithm" value="MD5"/>
	<module-option name="hashEncoding" value="HEX"/>
	<module-option name="principalClass" value="com.totvs.technology.foundation.common.TOTVSTechPrincipal"/>
</login-module>
<login-module code="com.totvs.foundation.auth.FoundationJwtLoginModule" flag="sufficient" module="com.totvs.foundation.auth">
	<module-option name="password-stacking" value="useFirstPass"/>
	<module-option name="principalClass" value="com.totvs.technology.foundation.common.TOTVSTechPrincipal"/>
</login-module>

3. Informe os dados de acesso à fonte de dados LDAP, conforme o tipo de validação utilizado em seu Active Diretory:

<login-module code="com.totvs.foundation.auth.FoundationJwtLoginModule" flag="sufficient" module="com.totvs.foundation.auth">
	<module-option name="password-stacking" value="useFirstPass"/>
	<module-option name="principalClass" value="com.totvs.technology.foundation.common.TOTVSTechPrincipal"/>
</login-module>
<login-module code="com.totvs.foundation.auth.FoundationExtLdapLoginModule" flag="sufficient" module="com.totvs.foundation.auth">
	<module-option name="java.naming.factory.initial" value="com.sun.jndi.ldap.LdapCtxFactory"/>
    <module-option name="java.naming.provider.url" value="ldap://<SERVIDOR>:<PORTA>/"/> 
    <module-option name="java.naming.security.authentication" value="simple"/> 
    <module-option name="java.naming.security.protocol" value=""/> 
    <module-option name="java.naming.security.principal" value="<USUARIO>@<DOMINIO>"/> <!-- Exemplo: value="[email protected]" -->
    <module-option name="bindCredential" value="<SENHA_ENCRIPTADA>" />
    <module-option name="uidAttributeID" value="sAMAccountName"/> 
    <module-option name="baseFilter" value="(sAMAccountName={0})"/> 
    <module-option name="loginCombinedWithDatabase" value="false"/> 
    <module-option name="baseCtxDN" value="DC=<ESTRUTURA>"/> 
    <module-option name="rolesCtxDN" value="DC=<ESTRUTURA>"/> 
    <module-option name="hashAlgorithm" value="MD5"/> 
    <module-option name="hashEncoding" value="HEX"/>
    <module-option name="principalClass" value="com.totvs.technology.foundation.common.TOTVSTechPrincipal"/>
</login-module> 

../jdk-64/bin/java -cp modules/system/layers/base/org/jboss/logging/main/jboss-logging-3.3.0.Final.jar:modules/system/layers/base/org/picketbox/main/picketbox-5.0.3.Final.jar org.picketbox.datasource.security.SecureIdentityLoginModule senha#do#LDAP@123!

java -cp modules/system/layers/base/org/picketbox/main/picketbox-5.0.3.Final.jar org.picketbox.datasource.security.SecureIdentityLoginModule senha#do#LDAP@123!

<login-module code="com.totvs.foundation.auth.FoundationJwtLoginModule" flag="sufficient" module="com.totvs.foundation.auth">
	<module-option name="password-stacking" value="useFirstPass"/>
	<module-option name="principalClass" value="com.totvs.technology.foundation.common.TOTVSTechPrincipal"/>
</login-module>
<login-module code="com.totvs.foundation.auth.FoundationExtLdapLoginModule" flag="sufficient" module="com.totvs.foundation.auth">
	<module-option name="java.naming.factory.initial" value="com.sun.jndi.ldap.LdapCtxFactory"/>
    <module-option name="java.naming.provider.url" value="ldap://<SERVIDOR>:<PORTA>/"/> 
    <module-option name="java.naming.security.authentication" value="simple"/> 
    <module-option name="java.naming.security.protocol" value=""/> 
    <module-option name="java.naming.security.principal" value="<USUARIO>@<DOMINIO>"/> <!-- Exemplo: value="[email protected]" -->
    <module-option name="java.naming.security.credentials" value="<SENHA>"/> 
    <module-option name="uidAttributeID" value="sAMAccountName"/> 
    <module-option name="baseFilter" value="(sAMAccountName={0})"/> 
    <module-option name="loginCombinedWithDatabase" value="false"/> 
    <module-option name="baseCtxDN" value="DC=<ESTRUTURA>"/> 
    <module-option name="rolesCtxDN" value="DC=<ESTRUTURA>"/> 
    <module-option name="hashAlgorithm" value="MD5"/> 
    <module-option name="hashEncoding" value="HEX"/>
    <module-option name="principalClass" value="com.totvs.technology.foundation.common.TOTVSTechPrincipal"/>
</login-module> 

<login-module code="com.totvs.foundation.auth.FoundationJwtLoginModule" flag="sufficient" module="com.totvs.foundation.auth">
	<module-option name="password-stacking" value="useFirstPass"/>
	<module-option name="principalClass" value="com.totvs.technology.foundation.common.TOTVSTechPrincipal"/>
</login-module>
<login-module code="com.totvs.foundation.auth.FoundationLdapLoginModule" flag="sufficient" module="com.totvs.foundation.auth">
    <module-option name="java.naming.factory.initial" value="com.sun.jndi.ldap.LdapCtxFactory"/>
    <module-option name="java.naming.provider.url" value="ldap://<SERVIDOR>:<PORTA>/"/>
    <module-option name="java.naming.security.authentication" value="simple"/>
    <module-option name="java.naming.security.protocol" value=""/>
    <module-option name="uidAttributeID" value="sAMAccountName"/>
    <module-option name="principalDNSuffix" value="@<DOMINIO>"/>
    <module-option name="rolesCtxDN" value="DC=<ESTRUTURA>"/>
    <module-option name="loginCombinedWithDatabase" value="false"/>
    <module-option name="hashAlgorithm" value="MD5"/>
    <module-option name="hashEncoding" value="HEX"/>
    <module-option name="principalClass" value="com.totvs.technology.foundation.common.TOTVSTechPrincipal"/>
</login-module>

Autenticação do usuário wcmadmin após a configuração de autenticação LDAP

No arquivo domain.xml, quando configurada a autenticação via LDAP é informado o parâmetro:

<module-option name="loginCombinedWithDatabase" value="false"/>

Quando definido como false, este parâmetro indica que o login funciona apenas com a senha do Active Directory e não funcionará com a senha que há na base. Como o wcmadmin é um usuário apenas da plataforma, ele não existe no AD. 

Há duas formas para corrigir a situação:

1. Criar um usuário com o campo login do AD igual a 'wcmadmin' e senha de sua preferência, assim a plataforma irá logar o usuário wcmadmin igual aos demais usuários, através do AD.

2. Alterar o parâmetro "loginCombinedWithDatabase" no arquivo domain.xml (que fica no diretório <Diretório de instalação>\appserver\domain\configuration) para 'true'. Com isso, a plataforma irá permitir o login tanto com a senha da base de dados quanto com a senha do AD. Nesse caso o usuário wcmadmin irá se logar com a senha da base de dados normalmente. Demais usuários que tentarem se logar com a senha da base de dados também conseguirão.

Cadastro dos usuários

Para que o usuário consiga acessar a plataforma utilizando LDAP, seu login deverá ser criado na plataforma utilizando o padrão do Active Directory (AD) configurado. Por exemplo, considere o login e e-mail abaixo:

• Login: nome.sobrenome

• E-mail: [email protected]

O login e e-mail do usuário no AD deverão ser iguais ao login e e-mail deste usuário cadastrados na plataforma. Não há necessidade da senha do usuário na plataforma ser igual à cadastrada no AD.

Propriedades de Busca LDAP

O módulo de login LDAP passa as propriedades para definir a busca por um determinado usuário e seus papéis para o servidor LDAP.

Definindo pesquisa por papel (Defining Role Search)

Propriedade rolesCtxDN: utiliza a configuração de pesquisa de função semelhante às configurações do LdapExtLoginModule, entretanto a recursão usada encontra os papéis listados dentro de um DN. Para tanto ele usa o DN fixo do contexto de pesquisa para papéis de usuário. Considere que este não é o nome distinto de onde os papéis são reais, em vez disso, este é o DN de onde os objetos que contêm os papéis de usuário (por exemplo, para o diretório active, este é o DN onde a conta de usuário está).

Definindo pesquisa DN (Defining DN Search)

Propriedade baseCtxDN: define o DN fixo do contexto de pesquisa para papéis de usuário. Considere que este não é o nome distinto de onde os papéis reais estão localizados, mas o DN dos objetos que contêm a localização dos papéis de usuário (isto é, para o diretório ativo, este é o DN com a conta de usuário).