[Çözüldü] LDAP Nedir, Nasil Kurulmaktadir

https://sozluk.cozumpark.com/LDAP

Anladığım kadarı ile bir uygulama kurulmuş. AD entegrasyonu yapılacak. (En sevdiğim)

LDAP Server Adress: Domain Controller'ın adresi IP yada isim olabilir.

LDAP Search Base: DC=FirmaAdi, DC=Local

LDAP Directory Login User: cn=Ldap User, DC=FirmaAdi, DC=Local

LDAP Directory Login Password: <ldap hesabının şifresi>

gibidir.

"Active Directory Users and Computers" ekranında View menüsünden "Advanced Features" ı seçin.

Kullanıcı özelliklerinde Attribute Editor sekmesinde bu bilgilere erişebilirsiniz.

@resulsoydas Bey peki kurmak istesem bu sistemi nasil kurabilirim cunku kontrol ettigim zaman AD desteklemektedir, cunku mevcut firma sanirim bi sistem ile kendi server loglarini kontrol etmek istiyor.

Ortamda Active Directory varsa LDAP çalışacaktır zaten. Ayrı bir şey kurmanıza gerek yok. LDAP ile log'lar kontrol edilmez. Kullandığınız uygulama ile AD entegrasyonunu yaparsanız; Kullanıcılar farklı bir hesap/şifre kullanmadan ( daha doğrusu AD hesapları ile) uygulamaya giriş yapabilir.

@resulsoydas Bey tesekkur ederim aktarmis oldugunuz bilgilere istinaden

Rica ederiz. İyi Çalışmalar.

@resulsoydas konuya satır aralarında açıklık getirmiş zaten ama biraz açmak gerekirse. Active directory ile servislerinizi entegre ettiğinizde sisteminizi aşağıdaki gibi yönetebilirsiniz.

Örneğin kurumunuzda aşağıdaki servisler olsun.
1. Bilgisayarlarda oturum açma.
2. ERP programına oturum açma.
3. Internete kimlik doğrulaması ile erişim.

1. Eğer bir domain yapısı kurar ve bilgisayarlarınızı bu domain yapısına alırsanız active directory üzerinden kullanıcı hesaplarınızı yönetirsiniz. Şifreleri, geçerlilik süreleri, hangi saat aralığında, hangi bilgisayarlarda oturum açabilecekleri vb. Kullanıcı hesaplarınız ile ilgili merkezi bir yönetim sağlamış olursunuz.

2. Eğer destekliyorsa ERP programınızı yukarda kurduğunuz Active directory yapısına entegre edersiniz. Bu sayede windows oturumu için ayrı bir hesap, erp oturumu için ayrı bir hesapla uğraşmazsınız. Kullanıcılarınız aynı hesap bilgileri ile 2 platforma birden giriş yapabilirler. ERP yazılımı içerisindeki yetkilerini active directory grupları bazında yönetebilirsiniz.

3. Eğer destekliyorsa güvenlik duvarınızı da Active directory ile entegre edersiniz. Kullanıcılarınız internete erişirken gerekli kimlik doğrulamasını yine windows hesabı ile yapar. 3 platform için ayrı ayrı hesap açmak zorunda kalmazsınız.

4. En keyifli taraflarından bir tanesi, kullanıcı işten ayrıldığında active directory üzerinden kullanıcıyı pasif yaptığınızda hem erp hem internet hesabınıda kapatmış olursunuz.

Örnekler ve kullanım şekilleri çoğaltılabilir ancak genel mantığı bu şekilde düşünebilirsiniz. Alternatif olarak açık kaynak kodlu sistemler üzerine LDAP yapısı kurup yukarda bahsettiğim benzer kullanımlar için (kimlik yönetimi ve doğrulama işlemleri) Linux sunucular üzerinden de gerçekleştirebilirsiniz.

İyi çalışmalar.

Merhaba @SerkanAtes 

1- Active directory üzerinden oluşturulan kullanıcı bilgisarında oturum açtğında, ERP sistemi LDAP ile entegre edildiğinde, şifresini tekrar girmeden ERP sisteminde otomatik giriş yapması sağlanabilir mi?

2- Tek bir kullanıcı adı ve şifresi ile ldap'a entegre edilen tüm sistemlere giriş yapılabiliyor olması güvenlik zafiyeti oluşturur mu?

Merhaba, SSO farklı bir konudur, bunu ilgili ERP programı yapıyor olmalı, eğer destekliyor ise bu şekilde çalışır.

Temel olarak buna şirketin güvenlik politikası karar vermeli, genelde portal vb yerlerde sorun olmazken kritik sistemler için ayrı login veya 2fa istenmesi doğru olur.

Gönderen: @hasantirtom

Merhaba @SerkanAtes 

1- Active directory üzerinden oluşturulan kullanıcı bilgisarında oturum açtğında, ERP sistemi LDAP ile entegre edildiğinde, şifresini tekrar girmeden ERP sisteminde otomatik giriş yapması sağlanabilir mi?

2- Tek bir kullanıcı adı ve şifresi ile ldap'a entegre edilen tüm sistemlere giriş yapılabiliyor olması güvenlik zafiyeti oluşturur mu?

 

1. ERP sistemleri kendi session bilgilerini ayrı tuttuğu için bu durumun mümkün olabileceğini düşünmüyorum. Web tabanlı mimarilerde zaten olmaz ama bu bilgiyi başka yerden doğrulayın, güncel yaklaşımlar ile farklı çözümleri olabilir. Bilgisi olan arkadaşlar paylaşım yapacaktır ancak sistem yöneticisi olarak böyle bir yapıyı tercih etmezdim.

2. Birinde hesaplarını merkezi yönetiyorsunuz, diğerinde dağıtık. Her 2 yöntemin de kendi içerisinde olumlu, olumsuz sonuçları bulunuyor. Ancak bir hesapta sorun yaşadığınızda hesabı pasif hale getirmeniz tüm sistemlerde kullanıcıyı pasif hale getirecektir, konuya bu noktadan bakarsanız avantaj görürsünüz. Sizin örneğinizdeki gibi bir yaklaşım ise dezavantaj olarak değerlendirilebilir. Ancak biliyorsunuz ki artık sistemlerimizde kullanıcı adı ve şifre bilgisini yeterli bulmuyor ve MFA teknolojileri ile destekliyoruz.

bknz: https://sozluk.cozumpark.com/Multi-Factor-Authentication-MFA

Sayın @hakanuzuner ve Sayın @SerkanAtes cevaplarınız için teşekkür ederim.

Yapımız gereği, iş yerimizde ilk kayıt erp sistemi üzerinden personel kaydı ile başlamakta. Sonrasında (personel kaydı yapılmış olmak şartıyla) active directory üzerinden bilgisayar kullanıcısı, yine erp sistemi üzerinden sistem kullanıcıları manuel olarak açılmakta. 

Evet dediğiniz gibi kullanıcının tek bir işlemle pasife çekilmesi gibi bir kolaylık sağlıyor ve hatta kullanıcı tarafından bakıldığında girişlerde de kolaylık sağlıyor ancak sistem yöneticisi tarafında da kolaylık sağlaması adına bir çözüm öneriniz var mıdır.

Örneğin erp sisteminde personel kaydı yapıldıktan sonra (yetkileri sonradan güncellenmek kaydıyla) temel bir kullanıcının active directoryde otomatik olarak oluşturulması gibi bir kolaylık sağlanabilir mi?

Merhaba, ne yazık ki bu o kadar kolay bir şey değil. Sorunun cevabı evet, tabiki açabilirsiniz ancak bunun için IDM ürü olmalı. IDM tam olarak bu ve daha fazlasını yapar.