Différences

Ci-dessous, les différences entre deux révisions de la page.

--- documentation_technique:ldap_fusiondirectory [05/10/2018 14:52:04] – dadel
+++ documentation_technique:ldap_fusiondirectory [10/23/2026 12:00:07] (Version actuelle) – ssp migration thomas
@@ Ligne 5: / Ligne 5: @@
 Installation de OpenLDAP + FusionDirectory sur une debian fraîchement installée.\\
 Apache et PHP5 sont déjà installés.
+===== Délégation d'administration =====
+-09-30 by thomas
+Objectif: permettre à un utilisateur de gérer son organisation et ses utilisateurs via FD
+Fait:
+  - création d'une organisation de test (wildmyrtille)
+  - affectation d'une ACL : turlux et thomas //admin// de la branche
+  - recopie du modèle "utilisateur hadoly" dans la branche
+  - connexion en tant que "thomas" sur FD:
+    - on ne voit que la branche wildmyrtille (impossible de remonter dans l'arborescence, impossible de voir les autres utilisateurs / domaines)
+    - on peut créer un compte utilisateur fonctionnel en utilisant le modèle
+Conclusion: il est possible de déléguer l'administration d'une branche à un utilisateur.
+===== Configurer une nouvelle application =====
+:!: **attention de ne pas exposer le nom / prénom de l'adhérent via ldap: les champs sn et cn ne doivent pas être récupérés par LDAP, lui préférer l'attribut __displayName__ qui doit normalement correspondre au pseudo**
+En règle général, l'accès à un service (application) est basé sur l'appartenance du compte qui se connecte au groupe correspondant.
+Créer un groupe d'accès à l'application, à la racine, nommé //application_group// (voir par exemple le groupe //mail_group// )
+Créer un compte ldap lecteur dédié à l'application. (voir par exemple le compte //doku-account// dans la branche service)
+Configurer l'application avec les informations suivantes:
+  * adresse du serveur: ldaps:/ /leodagan.hadoly.fr
+  * port: 636 (pas d'accès en clair)
+  * base de recherche: dc=hadoly,dc=fr
+  * filtre de recherche. Celui-ci doit vérifier que le compte est bien membre du groupe permettant l'accès à l'application. Par exemple:
+<code>
+(&(|(objectclass=gosaMailAccount))(|(memberof=cn=cloud_group,ou=groups,dc=hadoly,dc=fr)))
+</code>
+Ce filtre vérifie:
+ - le compte est du type gosaMailAccount (càd un utilisateur)
+ - le compte est membre du groupe cloud_group
 ===== Authentification des utilisateurs =====
@@ Ligne 831: / Ligne 871: @@
 Self Service Password est une application développée par Clément Oudot permettant à un utilisateur de modifier/réinitialiser son mot de passe. Le service est accessible à l'adresse http(s):%%//%%mdp.hadoly.fr.
+-10-23: ssp est désormais installé sur [[loth:|loth]]
 ===== Installation =====
@@ Ligne 841: / Ligne 882: @@
 ===== Configuration =====
-La configuration se fait dans le fichier /usr/share/self-service-password/conf/config.inc.php
+La configuration se fait dans le fichier /etc/self-service-password/conf/config.inc.local.php
 ==== /usr/share/self-service-password/conf/config.inc.php ====