Connetti Microsoft Entra DS con LDAP

---

Microsoft Invio è la soluzione di gestione delle identità e degli accessi basata sul cloud di Microsoft (IAM), che aiuta i tuoi dipendenti ad accedere alle risorse e ad accedervi. miniOrange offre una soluzione in cui le identità esistenti nei servizi Microsoft Entra possono essere sfruttate per il Single Sign-On (SSO) in diverse applicazioni cloud e on-premise. Microsoft Entra supporta protocolli di autenticazione e autorizzazione standard come LDAPS, SAML 2.0 e OAUTH 2.0.
Per interagire con il tuo dominio gestito da Microsoft Entra Domain Services, viene utilizzato principalmente il Lightweight Directory Access Protocol (LDAP). Per impostazione predefinita, il traffico LDAP non è codificato, il che rappresenta un problema di sicurezza per molti ambienti. Con Microsoft Entra Domain Services, puoi configurare il dominio gestito per utilizzare il Lightweight Directory Access Protocol (LDAPS) sicuro. Quando utilizzi LDAP sicuro, il traffico viene crittografato. LDAP sicuro è anche noto come LDAP su Secure Sockets Layer (SSL).

Come funziona Microsoft Entra su LDAPS?

Seguire la guida passo passo fornita di seguito per configurare la connessione LDAP sicura tra Microsoft Entra e miniOrange User Store

1. Creare e configurare un'istanza di Microsoft Entra Domain Services

(Salta questo passaggio se hai già configurato un'istanza AADDS per un abbonamento)

1. Prerequisiti

• Un abbonamento Azure attivo.
• Hai bisogno amministratore globale privilegi nel tenant Microsoft Entra per abilitare i servizi di dominio Microsoft Entra sincronizzati con una directory locale o una directory solo cloud.
• Hai bisogno CONTRIBUTOR privilegi nella tua sottoscrizione Azure per creare le risorse richieste di Microsoft Entra Domain Services.

1.1 Creare un'istanza e configurare le impostazioni di base

• Nell'angolo in alto a sinistra del portale di Azure, fare clic su + Crea una risorsa.
• Inserisci Servizi di dominio nella barra di ricerca, quindi scegli Servizi di dominio Microsoft Entra dai suggerimenti di ricerca.



• Nella pagina Microsoft Entra Domain Services, fare clic su Crea Viene avviata la procedura guidata Abilita Microsoft Entra Domain Services.



• Compilare i campi nella finestra Nozioni di base del portale di Azure per creare un'istanza di Microsoft Entra DS:
  • Inserisci un nome di dominio DNS per il tuo dominio gestito, tenendo in considerazione i punti precedenti.
  • Seleziona la sottoscrizione di Azure in cui desideri creare il dominio gestito.
  • Seleziona il gruppo di risorse a cui deve appartenere il dominio gestito. Scegli di creare nuovo o seleziona un gruppo di risorse esistente.
  • Selezionare la posizione di Azure in cui creare il dominio gestito.
  • Fare clic su OK per passare alla sezione Rete.

1.2 Creare e configurare la rete virtuale

• Compilare i campi nella finestra Rete come segue:
  • Nella finestra Rete, seleziona Seleziona rete virtuale.
  • Per questa esercitazione, scegli di creare una nuova rete virtuale in cui distribuire Microsoft Entra DS.
  • Immettere un nome per la rete virtuale, ad esempio myVnet, quindi specificare un intervallo di indirizzi, ad esempio 10.1.0.0/16.
  • Crea una subnet dedicata con un nome chiaro, come DomainServices. Fornisci un intervallo di indirizzi, come 10.1.0.0/24.
• Con la rete virtuale e la subnet create, la subnet dovrebbe essere selezionata automaticamente, come DomainServices. Puoi invece scegliere una subnet alternativa esistente che faccia parte della rete virtuale selezionata.
• Fare clic su OK per confermare la configurazione della rete virtuale.

1.3 Configurare un gruppo amministrativo

• La procedura guidata crea automaticamente il Amministratori AAD DC gruppo nella tua directory Microsoft Entra. Se hai un gruppo esistente con questo nome nella tua directory Microsoft Entra, la procedura guidata seleziona questo gruppo. Puoi facoltativamente scegliere di aggiungere altri utenti a questo Amministratori AAD DC gruppo durante il processo di distribuzione.
  
  NOTA: Più avanti in questo documento abbiamo incluso i membri del gruppo degli amministratori.

1.4 Configurare la sincronizzazione

• Microsoft Entra Domain Services consente di sincronizzare tutti gli utenti e i gruppi disponibili in Microsoft Entra oppure di effettuare una sincronizzazione mirata solo di gruppi specifici.
• Selezionare l'ambito e quindi fare clic su OK.
  
  NOTA: L'ambito non può essere modificato in seguito. Se necessario, sarà richiesta la creazione di un nuovo dominio.

1.5 Distribuisci il tuo dominio gestito

• Nella pagina Riepilogo della procedura guidata, rivedi le impostazioni di configurazione per il dominio gestito. Puoi tornare a qualsiasi passaggio della procedura guidata per apportare modifiche
• Per creare il dominio gestito, fare clic su OK.
• Il processo di provisioning del tuo dominio gestito può richiedere fino a un'ora. Una notifica viene visualizzata nel portale che mostra l'avanzamento della distribuzione di Microsoft Entra DS. Seleziona la notifica per visualizzare i dettagli dell'avanzamento della distribuzione.
• Quando il dominio gestito è completamente approvvigionato, la scheda Panoramica mostra lo stato del dominio come In esecuzione.



NOTA: Durante il processo di provisioning, Microsoft Entra DS crea due Enterprise Applications denominate Domain Controller Services e AzureActiveDirectoryDomainControllerServices nella tua directory. Queste Enterprise Applications sono necessarie per servire il tuo dominio gestito. È fondamentale che queste applicazioni non vengano eliminate in nessun momento.

2. Creare e delegare certificati per LDAP sicuro

2.1 Creare un certificato autofirmato

• Per utilizzare LDAP sicuro, viene utilizzato un certificato digitale per crittografare la comunicazione. Questo certificato digitale viene applicato al tuo dominio gestito Microsoft Entra DS.
• Aprire un PowerShell finestra come Amministratore ed eseguire i seguenti comandi.
  
  NOTA: Sostituisci la variabile $dnsName con il nome DNS utilizzato dal tuo dominio gestito, come exampledomain.com. Questo dominio dovrebbe essere lo stesso del tuo dominio gestito ADDS.
# Define your own DNS name used by your Microsoft Entra DS managed domain $dnsName="exampledomain.com" # Get the current date to set a one-year expiration $lifetime=Get-Date # Create a self-signed certificate for use with Microsoft Entra DS New-SelfSignedCertificate -Subject *.$dnsName ` -NotAfter $lifetime.AddDays(365) -KeyUsage DigitalSignature, KeyEncipherment ` -Type SSLServerAuthentication -DnsName *.$dnsName, $dnsName

2.2 Esportare un certificato per Microsoft Entra DS

Prima di poter utilizzare il certificato digitale creato nel passaggio precedente con il dominio gestito da Microsoft Entra DS, esportare il certificato in un file di certificato .PFX che includa la chiave privata.


• Per aprire la finestra di dialogo Esegui, premere contemporaneamente i tasti Windows e R.
• Aprire il Console di gestione Microsoft (MMC) immettendo MMC nella finestra di dialogo Esegui, quindi selezionando OK.
• Nel prompt Controllo account utente, fare clic su Si per avviare MMC come amministratore.
• Dal menu File, fare clic su Aggiungi/Rimuovi snap-in...
• Nel Procedura guidata snap-in certificatiscegli Account del computer, Quindi seleziona >Avanti
• Nella pagina Seleziona computer, seleziona Computer locale (il computer su cui è in esecuzione questa console), quindi seleziona Fine.
• Nel Aggiungi o rimuovi snap-in finestra di dialogo, fare clic OK per aggiungere lo snap-in dei certificati a MMC.
• Nella finestra MMC, espandere Root della consoleSelezionare Certificati (computer locale), quindi espandere la Nodo personale, seguito dal Nodo Certificati.



• Viene mostrato il certificato autofirmato creato nel passaggio precedente, ad esempio exampledomain.com. Fai clic con il pulsante destro del mouse su questo certificato, quindi scegli Tutte le attività > Esporta…



• Nel Esportazione guidata certificati, seleziona Avanti.
• La chiave privata per il certificato deve essere esportata. Se la chiave privata non è inclusa nel certificato esportato, l'azione per abilitare LDAP sicuro per il tuo dominio gestito fallisce.
  Nella pagina Esporta chiave privata, seleziona Sì, esporta la chiave privata, quindi seleziona Avanti.



• I domini gestiti da Microsoft Entra DS supportano solo Formato del file del certificato .PFX che include la chiave privata. Non esportare il certificato come formato di file di certificato .CER senza la chiave privata.
• Nella pagina Formato file di esportazione, seleziona Scambio di informazioni personali - PKCS #12 (.PFX) come formato file per il certificato esportato. Seleziona la casella Includi tutti i certificati nel percorso di certificazione se possibile e clicca su Avanti.



• Nella pagina Sicurezza, seleziona l'opzione per Password per proteggere il file del certificato .PFX. Inserisci e conferma una password, quindi seleziona Avanti. Questa password viene utilizzata nella sezione successiva per abilitare LDAP sicuro per il tuo dominio gestito Microsoft Entra DS.



• Nella pagina File da esportare, specifica il nome del file e il percorso in cui desideri esportare il certificato, ad esempio C:\Utenti\nomeaccount\azure-ad-ds.pfx.
• Nella pagina di revisione, fare clic su Fine per esportare il certificato in un file di certificato .PFXUna volta esportato correttamente il certificato, viene visualizzata una finestra di dialogo di conferma.
• Lasciare aperta la MMC per l'utilizzo nella sezione seguente.

2.3 Esportare un certificato per i computer client

I computer client devono fidarsi dell'emittente del certificato LDAP sicuro per potersi connettere correttamente al dominio gestito tramite LDAPS. I computer client necessitano di un certificato per crittografare correttamente i dati che vengono decrittografati da Microsoft Entra DS. Seguire i seguenti passaggi per esportare e quindi installare il certificato autofirmato nell'archivio certificati attendibile sul computer client:


• Tornare alla MMC per Certificati (computer locale) > Personale > Archivio certificati. Viene mostrato il certificato autofirmato creato in un passaggio precedente, ad esempio exampledomain.com. Fai clic con il pulsante destro del mouse su questo certificato, quindi scegli Tutte le attività > Esporta…
• Nella procedura guidata Esportazione certificati, selezionare Avanti.
• Poiché non è necessaria la chiave privata per i client, Seleziona No nella pagina Esporta chiave privata, non esportare la chiave privata, quindi seleziona Avanti.



• Nella pagina Formato file di esportazione, seleziona X.64 codificato in Base-509 (.CER) come formato file per il certificato esportato:



• Nella pagina File da esportare, specifica il nome del file e il percorso in cui desideri esportare il certificato, ad esempio C:\Users\accountname\client.cer.



• Nella pagina di revisione, seleziona Fine per esportare il certificato in un file di certificato .CERUna volta esportato correttamente il certificato, viene visualizzata una finestra di dialogo di conferma.

3. Abilitare LDAP sicuro per Microsoft Entra DS

• Nel Portale di Azure, cerca i servizi di dominio nella casella Cerca risorse. Seleziona Servizi di dominio Microsoft Entra dal risultato della ricerca.



• Scegli il tuo dominio gestito, ad esempio exampledomain.com.



• Sul lato sinistro della finestra Microsoft Entra DS, seleziona LDAP sicuro.



• Per impostazione predefinita, l'accesso LDAP sicuro al dominio gestito è disabilitato. Attiva/disattiva LDAP sicuro per abilitarlo.
• Toggle Consentire l'accesso LDAP sicuro tramite Internet abilitare.
• Selezionare l'icona della cartella accanto a File .PFX con un certificato LDAP sicuro. Sfoglia il percorso del file .PFX, quindi seleziona il certificato creato in un passaggio precedente che include la chiave privata.
• Immettere la password per decriptare il file .PFX impostata in un passaggio precedente quando il certificato è stato esportato in un file .PFX.
• Fare clic su Salva per abilitare LDAP sicuro.
  
  NOTA: Viene visualizzata una notifica che indica che è in corso la configurazione di LDAP sicuro per il dominio gestito. Non è possibile modificare altre impostazioni per il dominio gestito finché questa operazione non è completata. Ci vogliono alcuni minuti per abilitare LDAP sicuro per il dominio gestito.



• Viene visualizzata una notifica che indica che è in corso la configurazione di LDAP sicuro per il dominio gestito. Non è possibile modificare altre impostazioni per il dominio gestito finché questa operazione non è completata. Richiede un pochi minuti per abilitare LDAP sicuro per il tuo dominio gestito.

4. Aggiunta di regole di sicurezza

• Sul lato sinistro della finestra Microsoft Entra DS, seleziona Proprietà a Confronto.
• Quindi seleziona quello pertinente Gruppo di rete associato con questo dominio nel gruppo di sicurezza di rete associato alla subnet.



• Viene visualizzato l'elenco delle regole di sicurezza in entrata e in uscita esistenti. Sul lato sinistro delle finestre del gruppo di sicurezza di rete, seleziona Sicurezza > Regole di sicurezza in entrata.
• Seleziona Aggiungi, quindi creare una regola per consentire la porta TCP 636.
• Opzione A: Aggiungere una regola di sicurezza in entrata per consentire tutte le richieste TCP in arrivo.



Impostazioni profilo	Valore
Fonte	Qualsiasi
Intervalli di porte di origine	*
Nei Dintorni	Qualsiasi
Intervalli di porte di destinazione	636
Protocollo	TCP
Action	Consentire
Priorità	401
Nome	ConsentiLDAPS



• Opzione B: Aggiungere una regola di sicurezza in entrata per consentire le richieste TCP in entrata da un set specificato di indirizzi IP.(Consigliata)



Impostazioni profilo	Valore
Fonte	Indirizzi IP
Indirizzi IP di origine / intervalli CIDR	Indirizzo IP valido o intervallo IP per il tuo ambiente.
Intervalli di porte di origine	*
Nei Dintorni	Qualsiasi
Intervalli di porte di destinazione	636
Protocollo	TCP
Action	Consentire
Priorità	401
Nome	ConsentiLDAPS





• Quando sei pronto, clicca su Aggiungi per salvare e applicare la regola.

5. Configurare DNS per l'accesso esterno

• Con l'accesso LDAP sicuro abilitato tramite Internet, aggiorna la zona DNS in modo che i computer client possano trovare questo dominio gestito. L'indirizzo IP esterno LDAP sicuro è elencato nella scheda Proprietà per il tuo dominio gestito Microsoft Entra DS:



• Crea la seguente voce nel tuo file hosts <Secure LDAP external IP address>ldaps.<domainname>
Replace <Secure LDAP external IP address> with the IP we get from azure portal and replace
&l;tdomainname> with the domain name for which the certificate was created.(Value used in $dnsName)
Eg: 99.129.99.939 ldaps.exampledomain.com

6. Consentire a un utente di associarsi correttamente

• Sul lato sinistro della finestra Microsoft Entra DS, seleziona Proprietà a Confronto.
• Quindi seleziona quello pertinente Gruppo di amministrazione associato con questo dominio.



• Poi seleziona Utenti nella scheda Gestisci nel pannello laterale sinistro.



• Fare clic su Aggiungi membri e seleziona il membro che utilizzeresti per eseguire l'operazione di associazione. Quindi accedi al portale di Azure utilizzando lo stesso utente che ora è admin. (Se non hai già effettuato l'accesso)
• Selezionare l'impostazione utente dall'angolo in alto a destra e fare clic su visualizza account.



• Quindi seleziona Imposta reimpostazione self-service della password e procedi con la configurazione.



• Dopo aver completato correttamente la configurazione, seleziona Portale di Azure dall'elenco delle app.



• Poi torna al profilo utente e seleziona Cambia password.



• Una volta modificata correttamente la password, l'utente è idoneo all'operazione di associazione.

7. Configurare miniOrange Identity Provider come archivio utente

• Utenti del cloud
• Utenti on-premise

• In questo caso dovrai inviare il Certificato del cliente su miniOrange e noi lo configureremo per te.
• Configurare l'archivio utenti nell'IDP:
  • Fare clic su Provider di identità >> Aggiungi provider di identità nel menu a sinistra della dashboard.
  
  
  
  • In Scegli provider di identità, seleziona Directory AD/LDAP dal menu a discesa.
  
  
  
  • Quindi cerca Annuncio pubblicitario/LDAP e fare clic su di esso.
  
  
  
  • MEMORIZZA LA CONFIGURAZIONE LDAP IN MINIORANGE: Scegli questa opzione se desideri mantenere la tua configurazione in miniOrange. Se Active Directory è protetto da un firewall, dovrai aprirlo per consentire le richieste in arrivo al tuo dominio Active Directory.
  • MEMORIZZA LA CONFIGURAZIONE LDAP IN LOCALE: Scegli questa opzione se vuoi mantenere la tua configurazione nei tuoi locali e consentire l'accesso ad AD solo all'interno dei locali. Dovrai scaricare e installare miniGateway arancione presso la vostra sede.
  
  
  
  
  • entra Nome visualizzato LDAP and Identificatore LDAP nome.
  • Seleziona Tipo di directory as Active Directory.
  • Immettere l'URL o l'indirizzo IP del server LDAP rispetto a URL del server LDAP campo.
  • Clicca sul Test di connessione pulsante per verificare se la connessione con il tuo Server LDAP.
  
  
  
  • In Active Directory, vai alle proprietà dei contenitori/OU utente e cerca Attributo Nome distintoL'account di associazione deve disporre dei privilegi di lettura minimi richiesti in Active Directory per consentire le ricerche nelle directory. Se il caso d'uso prevede il provisioning (ad esempio, la creazione, l'aggiornamento o l'eliminazione di utenti o gruppi), all'account devono essere concesse anche le autorizzazioni di scrittura appropriate.
  
  
  
  • Inserisci la password valida dell'account Bind.
  • Clicca sul Test delle credenziali dell'account Bind pulsante per verificare le credenziali LDAP Bind per la connessione LDAP.
  
  
  
  • Base di ricerca è la posizione nella directory in cui inizia la ricerca di un utente. Lo otterrai dallo stesso posto in cui hai ottenuto il tuo Distinguished name.
  
  
  
  • Seleziona un filtro di ricerca adatto dal menu a discesa. Se utilizzi Utente nel filtro di gruppo singolo or Utente nel filtro multigruppo, sostituire ilgruppo-dn> nel filtro di ricerca con il nome distinto del gruppo in cui sono presenti i tuoi utenti. Per utilizzare il filtro di ricerca personalizzato seleziona "Scrivi il tuo filtro personalizzato" opzione e personalizzarla di conseguenza.
  
  
  
  • Clicca sul Avanti pulsante, o vai al Opzioni Login scheda.
  • È inoltre possibile configurare le seguenti opzioni durante la configurazione di AD. Abilita Attiva LDAP per autenticare gli utenti da AD/LDAP. Fare clic su Avanti pulsante per aggiungere l'archivio utente.
  
  
  

  Ecco l'elenco degli attributi e cosa fa quando li abilitiamo. Puoi abilitarli/disabilitarli di conseguenza.

  Attributo	Descrizione
  Attiva LDAP	Tutte le autenticazioni utente verranno eseguite con credenziali LDAP se lo attivi
  Autenticazione di fallback	Se le credenziali LDAP falliscono, l'utente verrà autenticato tramite miniOrange
  Abilita l'accesso dell'amministratore	Abilitando questa opzione, il tuo accesso di amministratore miniOrange si autentica tramite il tuo server LDAP
  Mostra IdP agli utenti	Se abiliti questa opzione, questo IdP sarà visibile agli utenti
  Sincronizza gli utenti in miniOrange	Gli utenti verranno creati in miniOrange dopo l'autenticazione con LDAP

  • Clicca sul Avanti pulsante, o vai al Attributi scheda.

  Mappatura degli attributi da AD

  • Per impostazione predefinita, sono configurati nome utente, nome, cognome ed email. Scorri verso il basso e clicca su Salva configurazioniPer recuperare attributi aggiuntivi da Active Directory, abilitare Invia attributi configuratiSul lato sinistro, inserisci il nome che desideri rilasciare alle applicazioni. Sul lato destro, inserisci il nome dell'attributo da Active Directory. Ad esempio, se desideri recuperare l'attributo aziendale da Active Directory e inviarlo come organizzazione alle applicazioni configurate, inserisci quanto segue:

    Nome attributo inviato a SP = organizzazione
    Nome attributo da IDP = azienda

  
  
  
  
  

  Importazione e provisioning degli utenti da AD

  • Se si desidera impostare il provisioning, clicca qui. per informazioni dettagliate. Per ora salteremo questo passaggio.
  
  
  

  Connessioni di prova

  • Vedrai un elenco di directory sotto Provider di identitàDal menu a discesa, seleziona Directory AD/LDAP, cerca la directory configurata, fai clic sui tre punti accanto ad essa e seleziona Test di connessione.
  
  
  
  • Verrà visualizzata una finestra pop-up che ti chiederà di immettere un nome utente e una password per verificare la configurazione LDAP.
  
  
  
  • On di risposte positive connessione con il server LDAP, viene visualizzato un messaggio di successo.
  
  
  

  Mappatura degli attributi di prova

  • Vedrai un elenco di directory sotto Provider di identitàDal menu a discesa, seleziona Directory AD/LDAP, cerca la directory configurata, fai clic sui tre punti accanto ad essa e seleziona Mappatura degli attributi di prova.
  
  
  
  • Appare un pop-up in cui inserire un nome utente e cliccare Test.
  
  
  
  • Verrà visualizzato il risultato della mappatura degli attributi del test.
  
  
  

  La configurazione di Impostazione AD come directory esterna è completata.

  
  

  Nota: Segnala il nostro guida per configurare LDAP sul server Windows.

• Prerequisiti:

  Installa keytool per Windows. (È installato con Java ed è presente nella directory $JAVA_HOME\bin. Per utilizzarlo altrove, aggiungi questa directory alla variabile PATH.)

• Per aggiungere il certificato client (file .cer) ai tuoi cacerts JAVA, vai su $JAVA_HOME\jre\lib\security ed esegui il seguente comando utilizzando il prompt dei comandi come amministratore:
   strumento chiave -importacert -file -keystore cacerts -alias " "
   Ad esempio:keytool -importcert -file C:\Client.cer -keystore cacerts -alias "azureclient"
NOTA: La password predefinita per il keystore è: changeit




• Puoi verificare se il tuo certificato è stato importato correttamente in cacerts utilizzando il seguente comando:
   strumento chiave -elenco -v -keystore $JAVA_HOME/jre/lib/security/cacerts

Riferimenti esterni

• Cos'è LDAP?
• Accesso LDAP per Wordpress
• Configurare Azure B2C SSO in più app
• Scopri di più su Directory as a Service (DaaS)
• Scopri come funziona Palo Alto VPN 2FA
• Configurazione del provisioning dell'ID Microsoft Entra (Azure AD)