1         概述

1.1        功能描述

1.2        使用限制

2         典型组网及配置

2.1        组网图

2.2        配置过程及步骤

2.3        CAMS系统与Microsoft Active Directory5.0配合配置

2.3.1         步骤一：配置LDAP服务器信息

进入讨论组讨论。

2.3.2        步骤二：测试LDAP服务器是否配置是否正确

在配置完成后，可点击配置项目后的“同步”按钮，假如出现以下界面，表示配置成功。图表 3 LDAP服务器设置成功后同步结果信息 点击查看大图

2.3.3        步骤三：LDAP服务器用户数据导出

用户的帐号信息要通过CAMS到LDAP服务器进行认证，CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。CAMS系统提供LDAP用户导出功能，将LDAP服务器中的用户信息导出到文件中，再利用CAMS系统的批量帐号导入功能，将导出文件中的用户信息加入到CAMS服务器中。点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单，可进入LDAP用户导出界面：图表 4 LDAP用户属性查询界面 点击查看大图从LDAP服务器下拉框中选择需要导出用户的LDAP服务器，在过滤条件中输入用户选择的过滤条件。注重：输入过滤条件时，对于Active Directory，不可使用缺省条件“(&(objectclass=*)(cn=*)(userPassword=*))”，因为Active Directory中，用户密码不可使用LDAP协议查询，假如选择“userPassword”属性为过滤条件，则无法导出任何数据。此外使用“cn=*”作为过滤条件时，由于Active Directory的用户Base DN下还包含了许多Windows系统内部用户的信息，这些用户并非Windows域认证用户，导出结果会有很多无用信息。“userPRincipalName=*”表示过滤出Base DN下所有包含域登录名的帐号信息，此过滤条件导出的结果才是用户需要的帐号信息。假如想过滤掉系统缺省的用户，仅导出需要治理的用户，还可以用下面条件来过滤：(&(distinguishedName=*)(userPrincipalName=*)）点击“查询”按钮，进入导出文件设置页面图表 5 导出文件设置界面 点击查看大图在该页面中选择导出属性为“saMAcccountName”和“userPrincipalName”，输入文件名，点击“导出”按钮，导出文件并保存。注重：在使用LDAP用户导出文件将用户批量导入CAMS系统时，批量导入的帐号名属性应该对应文件中的“saMAcccountName”属性字段。

进入讨论组讨论。

2.3.4        步骤四：批量导入LDAP用户信息

在LDAP服务器中成功导出用户信息后，需要将用户信息批量导入导CAMS系统中。使用CAMS系统的批量导入功能，可完成此操作。在CAMS系统用户治理主界面中，点击“批量导入”按钮，进入批量导入用户界面，按向导操作即可完成。图表 6用户帐号治理界面 点击查看大图

批量导入界面如下：图表 7 帐号批量导入界面 点击查看大图注重：在批量导入帐号时，帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。

2.3.5        步骤五：LDAP用户信息治理

在LDAP服务器增加成功后，需要进行LDAP认证用户的信息治理。在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接，进入LDAP用户治理页面如下：图表 8 LDAP服务器用户治理界面 点击查看大图从该页面可以看出，用户lhs和test已经是LDAP服务器认证用户。假如要添加新的LDAP认证用户，则需要点击该页面中的“增加”按钮，进入LDAP用户增加页面，如下图：图表 9 LDAP服务器用户增加界面 点击查看大图在复选框中选中需要使用LDAP服务器认证的用户，点击页面菜单条中的“增加”按钮，即可将用户设定为相应的LDAP服务器认证用户。

2.3.6        步骤六：LDAP认证简单测试

在完成LDAP服务器增加、LDAP用户治理步骤后，可简单测试用户是否可在Active Directory进行认证。进入用户自助界面，输入已加入LDAP服务器治理的用户名及其在Active Directory中的密码，点击登录，假如用户登录成功，表明上述配置均正确无误。

进入讨论组讨论。

2.4        CAMS系统与NetScape Directory Server 6.0配合配置

NetScape Directory Server 6.0通常作为Sun公司iPlanet应用服务器产品中的用户数据治理服务器。同Active Directory相比，其配置比较简单。配置过程基本与Active Directory相同，需要非凡注重的是其治理员DN的设置和用户导出的过滤条件设置。

2.4.1        步骤一：添加LDAP服务器

点击主界面上“增加”按钮，进入LDAP服务器增加页面 点击查看大图 注重：1、 Base DN的配置在配置Base DN时，应注重用户基准节点为“ou=people,”+ “用户根节点suffix”。假设在安装NetScape Server时，用户根节点suffix设为“hauwei.com”，那么应配置Base DN为：ou=people,o=hauwei.com2、治理员DN的配置NetScape Directory Server的治理员在服务器安装时指定，治理员所在目录通常与用户所在目录不同，假如服务器安装时，缺省的LDAP数据库将治理员DN为：cn=Directory Manager。治理员DN应设为：cn=Directory Manager，同Active Directory相比，其治理员名称前应该增加“cn=”1、 用户名属性标识用户名属性标识通常为：uid，假如该Ldap服务器中，用户帐号通过属性“cn”唯一确定，其用户属性标识应设为：cn，具体情况请咨询Ldap服务器治理员。2、 用户名密码属性标识用户名密码属性标识通常为：userPassword

2.4.2        步骤二：测试LDAP服务器是否配置是否正确

在配置完成后，可点击配置项目后的“同步”按钮，假如出现以下界面，表示配置成功。 点击查看大图图表 10 LDAP服务器设置成功后同步结果信息

进入讨论组讨论。

2.4.3        步骤三：LDAP服务器用户数据导出

用户的帐号信息要通过CAMS到LDAP服务器进行认证，CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。CAMS系统提供LDAP用户导出功能，将LDAP服务器中的用户信息导出到文件中，再利用CAMS系统的批量帐号导入功能，将导出文件中的用户信息加入到CAMS服务器中。点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单，可进入LDAP用户导出界面： 点击查看大图

从LDAP服务器下拉框中选择需要导出用户的LDAP服务器，在过滤条件中输入用户选择的过滤条件。注重：输入过滤条件时，不同于Active Directory，此处可使用缺省条件“(&(objectclass=*)(uid=*)(userPassword=*))”。 点击“查询”按钮，进入导出文件设置页面 点击查看大图在该页面中选择导出属性为“uid”输入文件名，点击“导出”按钮，导出文件并保存。注重：在使用LDAP用户导出文件将用户批量导入CAMS系统时，批量导入的帐号名字段应该对应文件中的“uid”属性字段，切记导出文件中标识帐号名属性的字段应该同增加LDAP服务器时，用户名属性标识一致。

2.4.4        步骤四：批量导入LDAP用户信息

在LDAP服务器中成功导出用户信息后，需要将用户信息批量导入导CAMS系统中。使用CAMS系统的批量导入功能，可完成此操作。在CAMS系统用户治理主界面中，点击“批量导入”按钮，进入批量导入用户界面，按向导操作即可完成。图表 11用户帐号治理界面 点击查看大图批量导入界面如下：图表 12 帐号批量导入界面 点击查看大图注重：在批量导入帐号时，帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。

进入讨论组讨论。

2.4.5        步骤五：LDAP用户信息治理

在LDAP服务器增加成功后，需要进行LDAP认证用户的信息治理。在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接，进入LDAP用户治理页面如下： 点击查看大图

图表 13 LDAP服务器用户治理从该页面可以看出，用户lhs和test已经是LDAP服务器认证用户。假如要添加新的LDAP认证用户，则需要点击该页面中的“增加”按钮，进入LDAP用户增加页面，如下图： 点击查看大图在复选框中选中需要使用LDAP服务器认证的用户，点击页面菜单条中的“增加”按钮，即可将用户设定为相应的LDAP服务器认证用户。 

2.4.6        步骤六：LDAP认证简单测试

在完成LDAP服务器增加、LDAP用户治理步骤后，可简单测试用户是否可在Active Directory进行认证。进入用户自助界面，输入已加入LDAP服务器治理的用户名及其在NetScape Directory Server中的密码，点击登录，假如用户登录成功，表明上述配置均正确无误。

进入讨论组讨论。

2.5        CAMS系统与Sun Directory Server 5.2配合配置

Sun Directory Server 5.0通常作为Sun公司Sun identity Server应用服务器产品中的用户数据治理服务器。其配置同NetScape Directory Server 基本相同，仅在Base DN设置时有些变动。

2.5.1        步骤一：添加LDAP服务器

点击主界面上“增加”按钮，进入LDAP服务器增加页面 点击查看大图

 注重：1、 Base DN的配置在配置Base DN时，应注重用户基准节点为“ou=people,”+ “用户根节点suffix”。假设在安装Sun Directory Server时，用户根节点suffix设为“cams.com”，那么应配置Base DN为：ou=people,dc=cams,dc=com，请注重与NetScape Directory Server的区别。2、 端口配置Sun Directory Server安装的服务器上可能已经安装了其它厂家的Ldap服务器，389端口被占用，此时需要另外指定Ldap通讯端口，此端口需要按安装时设定的端口值设置。3、治理员DN的配置Sun Directory Server的治理员DN配置格式与NetScape Directory Server的治理员DN配置格式相同。假如服务器安装时，设置的LDAP数据库将治理员DN为：cn=Directory Manager。则治理员DN应设为：cn=Directory Manager，同Active Directory相比，其治理员名称前应该增加“cn=”4、用户名属性标识用户名属性标识通常为：uid，假如该Ldap服务器中，用户帐号通过属性“cn”唯一确定，其用户属性标识应设为：cn，具体情况请咨询Ldap服务器治理员。1、 用户名密码属性标识用户名密码属性标识通常为：userPassword

进入讨论组讨论。

2.5.2        步骤二：测试LDAP服务器是否配置是否正确

在配置完成后，可点击配置项目后的“同步”按钮，假如出现以下界面，表示配置成功。 点击查看大图

图表 14 LDAP服务器设置成功后同步结果信息

2.5.3        步骤三：LDAP服务器用户数据导出

用户的帐号信息要通过CAMS到LDAP服务器进行认证，CAMS服务器中的帐号信息必须要包含LDAP服务器中的用户帐号信息。CAMS系统提供LDAP用户导出功能，将LDAP服务器中的用户信息导出到文件中，再利用CAMS系统的批量帐号导入功能，将导出文件中的用户信息加入到CAMS服务器中。点击CAMS系统中LDAP组件下的“LDAP用户导出”菜单，可进入LDAP用户导出界面： 点击查看大图从LDAP服务器下拉框中选择需要导出用户的LDAP服务器，在过滤条件中输入用户选择的过滤条件。注重：输入过滤条件时，此处可使用缺省条件“(&(objectclass=*)(uid=*)(userPassword=*))”。 点击“查询”按钮，进入导出文件设置页面 点击查看大图在该页面中选择导出属性为“uid”输入文件名，点击“导出”按钮，导出文件并保存。注重：在使用LDAP用户导出文件将用户批量导入CAMS系统时，批量导入的帐号名字段应该对应文件中的“uid”属性字段，切记导出文件中标识帐号名属性的字段应该同增加LDAP服务器时，用户名属性标识一致。

进入讨论组讨论。

2.5.4        步骤四：批量导入LDAP用户信息

在LDAP服务器中成功导出用户信息后，需要将用户信息批量导入导CAMS系统中。使用CAMS系统的批量导入功能，可完成此操作。在CAMS系统用户治理主界面中，点击“批量导入”按钮，进入批量导入用户界面，按向导操作即可完成。图表 15用户帐号治理界面 点击查看大图

批量导入界面如下：图表 16 帐号批量导入界面 点击查看大图注重：在批量导入帐号时，帐号名属性对应的列必须与导出文件中用户名属性对应的列相同。

2.5.5        步骤五：LDAP用户信息治理

在LDAP服务器增加成功后，需要进行LDAP认证用户的信息治理。在LDAP服务器列表中点击相关LDAP服务器的“LDAP用户治理”连接，进入LDAP用户治理页面如下： 点击查看大图图表 17 LDAP服务器用户治理从该页面可以看出，用户test已经是LDAP服务器认证用户。假如要添加新的LDAP认证用户，则需要点击该页面中的“增加”按钮，进入LDAP用户增加页面，如下图： 点击查看大图在复选框中选中需要使用LDAP服务器认证的用户，点击页面菜单条中的“增加”按钮，即可将用户设定为相应的LDAP服务器认证用户。

2.5.6        步骤六：LDAP认证简单测试

在完成LDAP服务器增加、LDAP用户治理步骤后，可简单测试用户是否可在Active Directory进行认证。进入用户自助界面，输入已加入LDAP服务器治理的用户名及其在Sun Directory Server中的密码，点击登录，假如用户登录成功，表明上述配置均正确无误。

进入讨论组讨论。

3         案例配置FAQ

1、 LDAP服务器为什么无法同步成功？LDAP服务器要同步成功，LDAP服务器版本、IP地址、端口号、治理员DN和治理员密码必须设置正确。通常同步不成功的原因为治理员DN设置错误，治理员DN的格式必须根据不同的LDAP服务器设置，具体信息请向LDAP服务器治理员咨询。2、 LDAP服务器导出用户为什么不成功？假如LDAP服务器导出用户不成功，首先要检查LDAP服务器是否能与CAMS系统正常通讯，在CAMS系统能与LDAP服务器进行用户信息同步的情况下，通常是导出时过滤条件参数设置错误。3、 “同步”操作的作用是什么？LDAP服务器用户信息同步后，用户密码可同步到CAMS服务器吗？同步CAMS系统与LDAP服务器信息的目的，是为了让用户直接在CAMS服务器上认证，提高认证效率。不同的LDAP服务器，对用户密码有不同的治理方式，Active Directory的用户密码不可读，而NetScape Directory的用户密码则可读出并同步到CAMS服务器中。因此，对于Active Directory，即使执行同步操作，用户认证也必须到Active Directory完成，而对于NetScape Directory，用户信息同步后，认证可直接在CAMS系统中执行。4、 参数“自动连接时长”的作用是什么？CAMS系统在与LDAP服务器建立连接时，假如连接失败，会在该设定时间后重试建立连接。间隔时长范围为[3,1440]分钟。5、  为什么要设置“实时认证”？假如实时认证设置为“是”，则用户认证时，不论CAMS系统是否已同步LDAP服务器中的用户信息，CAMS系统均将用户认证请求转发至LDAP服务器认证。由于CAMS系统是天天定时与LDAP服务器同步用户信息，在LDAP服务器中的用户密码改动后，其信息不一定能及时同步至CAMS系统，为了保证用户在密码更改后能实时认证上网，可将“实时认证”设置为“是”，保证用户认证直接在LDAP服务器上完成。

    附件(本网站支持断点续传下载，建议使用FlashGet、NetAnts等支持断点续传的工具下载,登录用户请查看帮助)

ldap组件配置案例.pdf 进入讨论组讨论。