Configurer l’authentification Active Directory en LDAPS dans GLPI : guide complet

Présentation

Dans ce tutoriel, nous allons apprendre à configurer l’authentification Active Directory dans GLPI, en utilisant une connexion sécurisée en LDAPS plutôt qu’en LDAP. Cet article est complémentaire à celui déjà disponible sur le site et qui explique l’intégration avec l’Active Directory dans son intégralité. Pour rappel, le protocole LDAP ne bénéficie pas du chiffrement des communications, ce qui signifie que les flux transitent en clair sur le réseau. Ainsi, en capturant le trafic réseau avec une application telle que Wireshark, il est envisageable de lire le contenu des communications. Pour sécuriser les flux LDAP en environnement Active Directory, il y a plusieurs options, dont le LDAP Signing et le LDAPS basé sur l’utilisation d’un certificat TLS. La mise en œuvre du LDAPS repose sur l’utilisation d’une autorité de certification (CA / PKI) pour obtenir un certificat TLS permettant d’authentifier le serveur. L’alternative consiste à utiliser un certificat auto-signé, afin de se passer de la nécessité d’avoir une CA. Dans les deux cas, le serveur GLPI doit avoir connaissance de ce certificat afin de pouvoir vérifier l’identité du serveur et ainsi permettre la mise en œuvre de connexions LDAPS.

Prérequis

Pour mettre en œuvre une connexion LDAPS entre GLPI et un annuaire Active Directory, vous devez disposer d’un certificat TLS valide, qu’il soit émis par une autorité de certification ou auto-signé. De plus, votre serveur GLPI doit être capable de contacter le contrôleur de domaine Active Directory via son nom DNS, par exemple “srv-adds-01.it-connect.local”. Ainsi, le serveur GLPI doit être capable de résoudre ce nom. Pour cela, il convient de bien déclarer les serveurs DNS sur le serveur GLPI, ou de créer une entrée dans le fichier “hosts” du serveur pour s’appuyer sur le processus de résolution de noms local.

Ajouter le certificat TLS sur le serveur GLPI

Avant même de nous intéresser à la configuration de l’application GLPI en elle-même, nous devons importer le certificat TLS associé au LDAPS sur le serveur GLPI. Ici, nous verrons comment effectuer la manipulation sur un serveur Linux (en l’occurrence sous Debian).

Si vous utilisez un certificat LDAPS auto-signé, vous devez importer directement ce certificat sur la machine Linux

Si vous utilisez un certificat LDAPS obtenu depuis une autorité de certification ADCS, vous devez importer la chaine de certification de ce dernier sur la machine linux (et non le certificat lui-même) – concrètement, la clé publique de votre serveur ADCS racine et des serveurs intermédiaires ayant permis sa délivrance (cas des architectures en 2 ou 3 tier).

Remarque : en environnement Active Directory, si votre certificat a été émis par une autorité de certification ADCS, il sera automatiquement “reconnu” par les machines Windows du domaine. Cette…

Source : www.it-connect.fr