Aviso de la plataforma: Solo servidor y centro de datos: Este artículo solo se aplica a los productos de Atlassian en las plataformas de servidor y centro de datos.

Propósito

Este documento describe cómo construir un filtro más sofisticado para los atributos Filtro de Objetos de Usuario y Filtro de Objetos de Grupo en la configuración LDAP para aplicaciones Atlassian.

Qué es un filtro

Los filtros se pueden usar para restringir el número de usuarios o grupos a los que se permite acceder a una aplicación. En esencia, el filtro limita desde qué parte del árbol LDAP se sincroniza la aplicación.

Un filtro puede y debe escribirse tanto para usuarios como para miembros de grupos. Esto garantiza que no está inundando su aplicación con usuarios y grupos que no necesitan acceso.

Solución

Al construir un filtro, lo mejor es elegir un atributo común del conjunto de usuarios que desea permitir el acceso a la aplicación. En la mayoría de los casos, este es el atributo que denota la pertenencia a un grupo o una clase de objeto como «Persona»

¿Cómo hago coincidir más de un atributo?

Por ejemplo, si mis usuarios se distinguen por tener dos atributos de clase de objeto (uno igual a ‘persona’ y otro a ‘usuario’), así es como lo compararía:

(&(objectClass=person)(objectClass=user))

Observe el ampersand symbol '&' símbolo en el inicio. Traducido esto significa: buscar objectClass = persona Y object = usuario.

Alternativamente,

(|(objectClass=person)(objectClass=user))

Traducido esto significa: buscar objectClass = persona U objeto=usuario.

El pipe symbol '|' denota ‘O’. Como no se trata de un carácter XML especial, no debería ser necesario escapar.

Comodines

(&(objectClass=user)(cn=*Marketing*))

Esto significa que: busca todas las entradas que tengan objectClass = user Y cn que contenga la palabra ‘Marketing’.

Los servicios LDAP en sí no admiten comodines para memberOf attribute y otros Nombres distintivos al configurar el filtro LDAP.

¿Cómo hago coincidir 3 atributos?

Simplemente agregue una cláusula adicional:

(&(objectClass=user)(objectClass=top)(objectClass=person))

También se pueden agregar cláusulas adicionales para más de tres atributos.

Componentes coincidentes de Nombres Distinguidos

Es posible que desee hacer coincidir parte de un DN, por ejemplo, cuando necesite buscar sus grupos en dos subárboles de su servidor.

(&(objectClass=group)(|(ou:dn:=Chicago)(ou:dn:=Miami)))

encontrará grupos con un componente OU de su DN que es ‘Chicago’ o ‘Miami’.

Usando ‘ not ‘

Para excluir entidades que coincidan con una expresión, use’!’.

Así

(&(objectClass=group)(&(ou:dn:=Chicago)(!(ou:dn:=Wrigleyville))))

encontrará todos los grupos de Chicago excepto aquellos con un Wrigleyville OU componente.

Tenga en cuenta los paréntesis adicionales: (!(<expresión>))

(&(objectClass=person)(!(objectClass=user)))

(&(objectClass=person)(!(objectClass=user)))

Filtros de muestra

Esto solo sincronizará a los usuarios del grupo ‘CaptainPlanet’ – esto se debe aplicar al Filtro de objetos de usuario:

(&(objectCategory=Person)(sAMAccountName=*)(memberOf=cn=CaptainPlanet,ou=users,dc=company,dc=com))

Y esto buscará usuarios que sean miembros de este grupo, ya sea directamente o mediante anidamiento:

(&(objectCategory=Person)(sAMAccountName=*)(memberOf:1.2.840.113556.1.4.1941:=cn=CaptainPlanet,ou=users,dc=company,dc=com))

Esto buscará usuarios que sean miembros de cualquiera o todos los 4 grupos (fuego, viento,agua,corazón)

(&(objectCategory=Person)(sAMAccountName=*)(|(memberOf=cn=fire,ou=users,dc=company,dc=com)(memberOf=cn=wind,ou=users,dc=company,dc=com)(memberOf=cn=water,ou=users,dc=company,dc=com)(memberOf=cn=heart,ou=users,dc=company,dc=com)))