LDAP e Active Directory

O arquivo de configuração contém os seguintes parâmetros LDAP:

{
  "ldap_binddn": "cn=admin,dc=example,dc=org",
  "ldap_bindpassword": "admin_password",
  "ldap_server": "localhost:389",
  "ldap_searchdn": "ou=users,dc=example,dc=org",
  "ldap_searchfilter": "(&(objectClass=inetOrgPerson)(uid=%s))",
  "ldap_mappings": {
    "dn": "",
    "mail": "uid",
    "uid": "uid",
    "cn": "cn"
  },
  "ldap_enable": true,
  "ldap_needtls": false,
}

Todas as opções do provedor SSO:

Parâmetro	Variáveis de ambiente	Descrição
ldap_binddn	SEMAPHORE_LDAP_BIND_DN	Nome do objeto de usuário LDAP usado para o bind.
ldap_bindpassword	SEMAPHORE_LDAP_BIND_PASSWORD	Senha do usuário LDAP definido no Bind DN.
ldap_server	SEMAPHORE_LDAP_SERVER	Host do servidor LDAP, incluindo a porta. Por exemplo: localhost:389.
ldap_searchdn	SEMAPHORE_LDAP_SEARCH_DN	Escopo em que os usuários serão pesquisados. Por exemplo: ou=users,dc=example,dc=org.
ldap_searchfilter	SEMAPHORE_LDAP_SEARCH_FILTER	Expressão de busca de usuários. Padrão: (&(objectClass=inetOrgPerson)(uid=%s)), onde %s será substituído pelo login informado.
ldap_mappings.dn	SEMAPHORE_LDAP_MAPPING_DN
ldap_mappings.mail	SEMAPHORE_LDAP_MAPPING_MAIL	Expressão de claim do e-mail do usuário*.
ldap_mappings.uid	SEMAPHORE_LDAP_MAPPING_UID	Expressão de claim do login do usuário*.
ldap_mappings.cn	SEMAPHORE_LDAP_MAPPING_CN	Expressão de claim do nome do usuário*.
ldap_enable	SEMAPHORE_LDAP_ENABLE	LDAP habilitado.
ldap_needtls	SEMAPHORE_LDAP_NEEDTLS	Conectar ao servidor LDAP via SSL.

*Expressão de claim

Exemplo de expressão de claim:

email | {{ .username }}@your-domain.com

O Semaphore tenta obter primeiro o campo email. Se ele estiver vazio, a expressão seguinte é executada.

A expressão "username_claim": "|" gera um username aleatório para cada usuário que faz login por meio do provedor.

Solução de problemas

Use a ferramenta ldapwhoami para verificar se o seu BindDN funciona: Esta ferramenta é fornecida pelo pacote openldap-clients.

ldapwhoami\
  -H ldap://ldap.com:389\
  -D "CN=your_ldap_binddn_value_in_config"\
  -x\
  -W

Ela solicitará a senha de forma interativa e deverá retornar o código 0 e exibir o DN conforme especificado.

Leia a seção Solução de problemas se você tiver problemas com o LDAP.

Exemplo: usando um servidor OpenLDAP

Execute o seguinte comando para iniciar o seu próprio servidor LDAP com uma conta de administrador e um usuário adicional:

docker run -d --name openldap \
  -p 1389:1389 \
  -p 1636:1636 \
  -e LDAP_ADMIN_USERNAME=admin \
  -e LDAP_ADMIN_PASSWORD=pwd \
  -e LDAP_USERS=user1 \
  -e LDAP_PASSWORDS=pwd \
  -e LDAP_ROOT=dc=example,dc=org \
  -e LDAP_ADMIN_DN=cn=admin,dc=example,dc=org \
  bitnami/openldap:latest

A sua configuração LDAP para o Semaphore UI deve ser a seguinte:

{
	"ldap_binddn": "cn=admin,dc=example,dc=org",
	"ldap_bindpassword": "pwd",
	"ldap_server": "ldap-server.com:1389",
	"ldap_searchdn": "dc=example,dc=org",
	"ldap_searchfilter": "(&(objectClass=inetOrgPerson)(uid=%s))",
	"ldap_mappings": {
		"mail": "{{ .cn }}@ldap.your-domain.com",
		"uid": "|",
		"cn": "cn"
	},
	"ldap_enable": true,
	"ldap_needtls": false
}

Para executar o Semaphore no Docker, use a seguinte configuração LDAP:

docker run -d -p 3000:3000 --name semaphore \
  -e SEMAPHORE_DB_DIALECT=bolt \
  -e SEMAPHORE_ADMIN=admin \
  -e SEMAPHORE_ADMIN_PASSWORD=changeme \
  -e SEMAPHORE_ADMIN_NAME=Admin \
  -e SEMAPHORE_ADMIN_EMAIL=admin@localhost \
  -e SEMAPHORE_LDAP_ENABLE=yes \
  -e SEMAPHORE_LDAP_SERVER=ldap-server.com:1389 \
  -e SEMAPHORE_LDAP_BIND_DN=cn=admin,dc=example,dc=org \
  -e SEMAPHORE_LDAP_BIND_PASSWORD=pwd \
  -e SEMAPHORE_LDAP_SEARCH_DN=dc=example,dc=org \
  -e 'SEMAPHORE_LDAP_SEARCH_FILTER=(&(objectClass=inetOrgPerson)(uid=%s))' \
  -e 'SEMAPHORE_LDAP_MAPPING_MAIL={{ .cn }}@ldap.your-domain.com' \
  -e 'SEMAPHORE_LDAP_MAPPING_UID=|' \
  -e 'SEMAPHORE_LDAP_MAPPING_CN=cn' \
  semaphoreui/semaphore:latest