Uwaga dotycząca platformy: tylko serwer i Centrum Danych – ten artykuł dotyczy tylko produktów Atlassian na platformach serwerów i centrów danych.

cel

ten dokument przedstawia sposób tworzenia bardziej wyrafinowanego filtra dla atrybutów filtra obiektów użytkownika i filtra obiektów grupy w konfiguracji LDAP dla aplikacji Atlassian.

co to jest filtr

filtry mogą być używane do ograniczania liczby użytkowników lub grup, które mają dostęp do aplikacji. Zasadniczo filtr ogranicza część drzewa LDAP, z której synchronizuje się aplikacja.

filtr może i powinien być napisany zarówno dla użytkowników, jak i członków grup. Zapewnia to, że aplikacja nie jest zalewana użytkownikami i grupami, które nie potrzebują dostępu.

rozwiązanie

podczas konstruowania filtra najlepiej wybrać wspólny atrybut zestawu użytkowników, którym chcesz zezwolić na dostęp do aplikacji. Najczęściej jest to atrybut oznaczający przynależność do grupy lub klasy obiektów, takich jak”osoba”

Jak dopasować więcej niż jeden atrybut?

na przykład, jeśli moi użytkownicy wyróżniają się dwoma atrybutami objectClass (jeden równy 'person’, a drugi 'user’), tak bym się do tego dopasował:

(&(objectClass=person)(objectClass=user))

zwróć uwagę na symbolampersand symbol '&' na początku. Przetłumaczone to oznacza: Szukaj objectClass=person I object = user.

alternatywnie,

(|(objectClass=person)(objectClass=user))

przetłumaczone oznacza to: szukaj objectClass=person lub object=user.

pipe symbol '|' oznacza 'lub’. Ponieważ nie jest to specjalny znak XML, nie powinno być konieczne wykonywanie znaków specjalnych.

(&(objectClass=user)(cn=*Marketing*))

oznacza to: Wyszukaj wszystkie wpisy, które mają objectClass = user I cn, które zawierają słowo 'Marketing’.

same usługi LDAP nie obsługują symboli wieloznacznych dlamemberOf attribute I innych wyróżnionych nazw podczas konfigurowania LDAPFilter.

Jak dopasować 3 atrybuty?

wystarczy dodać dodatkową klauzulę:

(&(objectClass=user)(objectClass=top)(objectClass=person))

dodatkowe klauzule mogą być dodawane również dla więcej niż trzech atrybutów.

Dopasowanie elementów wyróżnionych nazw

możesz chcieć dopasować część DN, na przykład gdy musisz szukać swoich grup w dwóch podrzędach serwera.

(&(objectClass=group)(|(ou:dn:=Chicago)(ou:dn:=Miami)))

znajdzie grupy z komponentem OU ich DN, który jest 'Chicago’ lub 'Miami’.

używanie 'not’

aby wykluczyć elementy pasujące do wyrażenia, użyj ’!’.

więc

(&(objectClass=group)(&(ou:dn:=Chicago)(!(ou:dn:=Wrigleyville))))

znajdzie wszystkie grupy z wyjątkiem tych z komponentem Wrigleyville OU.

zwróć uwagę na dodatkowe nawiasy: (!(<wyrażenie>))

(&(objectClass=person)(!(objectClass=user)))

(&(objectClass=person)(!(objectClass=user)))

przykładowe filtry

spowoduje to synchronizację tylko użytkowników z grupy 'CaptainPlanet’ – należy to zastosować do filtra obiektu User:

(&(objectCategory=Person)(sAMAccountName=*)(memberOf=cn=CaptainPlanet,ou=users,dc=company,dc=com))

i spowoduje wyszukiwanie użytkowników, którzy są członkami tej grupy, bezpośrednio lub poprzez zagnieżdżenie:

(&(objectCategory=Person)(sAMAccountName=*)(memberOf:1.2.840.113556.1.4.1941:=cn=CaptainPlanet,ou=users,dc=company,dc=com))

wyszukuje użytkowników, którzy są członkami dowolnej lub wszystkich 4 grup (ogień,wiatr,Woda, Serce)

(&(objectCategory=Person)(sAMAccountName=*)(|(memberOf=cn=fire,ou=users,dc=company,dc=com)(memberOf=cn=wind,ou=users,dc=company,dc=com)(memberOf=cn=water,ou=users,dc=company,dc=com)(memberOf=cn=heart,ou=users,dc=company,dc=com)))