Usar LDAP

Si deseas autenticar a los usuarios sin agregarlos a tu proveedor de identidad, puedes configurar la autenticación incorporada. Para obtener más información, consulta "Permitir autenticación incorporada para los usuarios que no pertenecen a tu proveedor de identidad."

En esta guía:

• Servicios LDAP admitidos
• Consideraciones sobre el nombre de usuario con LDAP
• Autenticación de dos factores
• Configurar LDAP con tu instancia de servidor de GitHub Enterprise
• Atributos de LDAP
• Ver y crear usuarios LDAP
• Actualizar cuentas LDAP
• Revocar acceso a tu instancia de servidor de GitHub Enterprise

Servicios LDAP admitidos

El Servidor de GitHub Enterprise se integra con los siguientes servicios LDAP:

• Active Directory
• FreeIPA
• Oracle Directory Server Enterprise Edition
• OpenLDAP
• Open Directory
• 389-ds

Consideraciones sobre el nombre de usuario con LDAP

Los nombres de usuario del Servidor de GitHub Enterprise únicamente pueden contener caracteres alfanuméricos y rayas (-). El Servidor de GitHub Enterprise convertirá en raya cualquier caracter no alfanumérico en el nombre de tu cuenta de usuario. Por ejemplo, un nombre de usuario gregory.st.john se convertirá en gregory-st-john. Nota que los nombres de usuarios normalizados tampoco pueden comenzar o terminar con una raya. Tampoco pueden contener dos rayas seguidas.

Los nombres de usuarios creados a partir de direcciones de correo electrónico se crean con los caracteres normalizados que preceden al caracter @.

Si múltiples cuentas se normalizan en el mismo nombre de usuario de Servidor de GitHub Enterprise, solo se crea la primera cuenta de usuario. Los siguientes usuarios con el mismo nombre de usuario no podrán registrarse.

Esta tabla brinda ejemplos de cómo se normalizan los nombres de usuarios en el Servidor de GitHub Enterprise:

Autenticación de dos factores

Cunado se usa LDAP o autenticación incorporada, la autenticación de dos factores es compatible. Los administradores de la organización pueden exigir que los miembros tengan habilitada la autenticación de dos factores.

Configurar LDAP con tu instancia de servidor de GitHub Enterprise

Una vez configurado LDAP, los usuarios podrán iniciar sesión en tu instancia con sus credenciales LDAP. Cuando los usuarios inician sesión por primera vez, sus nombres de perfil, direcciones de correo electrónico y claves SSH se establecen con los atributos de LDAP desde tu directorio.

Cuando configuras el acceso LDAP para los usuarios a través de la Consola de administración, tusde licencias de usuario no se usan hasta la primera vez que un usuario inicia sesión en tu instancia. Sin embargo, si creas una cuenta de forma manual usando los parámetros de administrador del sitio el de licencia de usuariose contabiliza de inmediato.

1. In the upper-right corner of any page, click .

   

2. En la barra lateral izquierda, haz clic en Consola de administración.

   

3. In the left sidebar, click Authentication.

   

4. En "Authentication" (Autenticación), selecciona LDAP.

   

5. También puedes seleccionar Permitir autenticación incorporada para invitar a los usuarios a usar la autenticación incorporada si no pertenecen al proveedor de identidad de tu instancia de servidor de GitHub Enterprise.

   

6. Agrega tus parámetros de configuración.

Atributos de LDAP

Usa estos atributos para terminar de configurar LDAP para tu instancia de servidor de GitHub Enterprise.

Desactivar la autenticación de contraseña para las operaciones de Git

Selecciona Disable username and password authentication for Git operations (Desactivar la autenticación de nombre de usuario y contraseña para las operaciones de Git) en los parámetros de tu LDAP para implementar el uso de los tokens de acceso personal o las claves SSH para el acceso a Git, que pueden ayudarte a prevenir que tu servidor se sobrecargue de solicitudes de autenticación LDAP. Recomendamos esta configuración, ya que un servidor LDAP de respuesta lenta, en especial combinado con una gran cantidad de solicitudes debido al sondeo, suele ser una causa de problemas e interrupciones.

Cuando se selecciona esta opción, si un usuario intenta usar una contraseña para las operaciones de Git a través de la línea de comando, recibirá un mensaje de error que dice: La autenticación de contraseña no está permitida para las operaciones de Git. Debes usar un token de acceso personal.

Activar la verificación de certificado LDAP

Selecciona Enable LDAP certificate verification (Activar verificación de certificado LDAP) en tus parámetros LDAP para validar el certificado del servidor LDAP que usas con TLS.

Cuando se selecciona esta opción, el certificado se valida para garantizar que:

• Si el certificado contiene al menos un nombre alternativo del firmante (SAN), uno de los SAN coincida con el nombre del host de LDAP. De lo contrario, que el nombre común (CN) coincida con el nombre del host de LDAP.
• El certificado no haya vencido.
• El certificado esté firmado por una entidad de certificación (CA) de confianza.

Activar la sincronización LDAP

La sincronización LDAP te permite sincronizar usuarios y miembros del equipo del Servidor de GitHub Enterprise con tus grupos LDAP establecidos. Esto te permite establecer un control de acceso basado en roles para los usuarios desde tu servidor LDAP, en lugar de hacerlo de forma manual dentro del Servidor de GitHub Enterprise. Para obtener más información, consulta "Crear equipos".

To enable LDAP Sync, in your LDAP settings, select Synchronize Emails, Synchronize SSH Keys, or Synchronize GPG Keys .

Una vez que actives la sincronización LDAP, se ejecutará un trabajo de sincronización en el intervalo de tiempo especificado para realizar las siguientes operaciones en cada cuenta de usuario:

• Si has permitido la autenticación integrada para usuarios externos a tu proveedor de identidad, y el usuario está usando la autenticación integrada, pasa al siguiente usuario.
• Si no existe una asignación LDAP para el usuario, intenta asignar el usuario a una entrada LDAP en el directorio. Si el usuario no se puede asignar a una entrada LDAP, suspéndelo y pasa al siguiente usuario.
• Si hay una asignación LDAP y falta la entrada LDAP correspondiente en el directorio, suspende el usuario y pasa al siguiente usuario.
• Si la entrada LDAP correspondiente se marcó como desactivada, y el usuario aún no se suspendió, suspéndelo y pasa al siguiente usuario.
• Si la entrada LDAP correspondiente no se marcó como desactivada, el usuario está suspendido y Reactivate suspended users (Reactivar usuarios suspendidos) está activado en el centro de administración, anula la suspensión del usuario.
• Si la entrada LDAP correspondiente incluye un atributo name, actualiza el nombre de perfil del usuario.
• Si la entrada LDAP correspondiente está en el grupo de administradores, promueve al usuario a administrador del sitio.
• Si la entrada LDAP correspondiente no está en el grupo de administradores, degrada al usuario a una cuenta normal.
• Si un campo de usuario LDAP está definido para correos electrónicos, sincroniza los parámetros del correo electrónico del usuario con la entrada LDAP. Establece la primera entrada mail LDAP como el correo electrónico principal.
• Si un campo de usuario LDAP está definido para claves públicas SSH, sincroniza las claves SSH públicas del usuario con la entrada LDAP.
• Si un campo de usuario LDAP está definido para claves GPG, sincroniza las claves GPG del usuario con la entrada LDAP.

También se ejecutará un trabajo de sincronización en el intervalo de tiempo especificado para realizar las siguientes operaciones en cada equipo que haya sido asignado a un grupo LDAP:

• Si se eliminó el grupo LDAP correspondiente de un equipo, elimina todos los miembros del equipo.
• Si las entradas de miembros LDAP se eliminaron del grupo LDAP, elimina los usuarios correspondientes del equipo. Si como resultado el usuario pierde acceso a algún repositorio, elimina toda bifurcación privada que el usuario tenga de esos repositorios.
• Si las entradas de miembros LDAP se agregaron al grupo LDAP, agrega los usuarios correspondientes al equipo. Si como resultado el usuario recupera el acceso a algún repositorio, restablece toda bifurcación privada de los repositorios que haya sido eliminada debido a que el usuario perdió acceso en los últimos 90 días.

Como parte de la configuración para su optimización, LDAP Sync no transferirá la estructura de tu equipo anidado. Para crear relaciones entre equipos padres e hijos, debes crear nuevamente de manera manual la estructura de equipo anidado y sincronizarla con el grupo LDAP correspondiente. Para obtener más información, consulta "Crear equipos"

Clases de objetos del grupo LDAP admitidas

El Servidor de GitHub Enterprise admite estas clases de objetos del grupo LDAP. Los grupos se pueden anidar.

• grupo
• groupOfNames
• groupOfUniqueNames
• posixGroup

Ver y crear usuarios LDAP

Puedes ver la lista completa de usuarios LDAP que tienen acceso a tu instancia y aprovisionar nuevos usuarios.

1. Inicia sesión en tu instancia de servidor de GitHub Enterprise en http(s)://HOSTNAME/login.

2. In the upper-right corner of any page, click .

   

3. En la barra lateral izquierda, haz clic en LDAP users (Usuarios LDAP).

   

4. Para buscar un usuario, escribe un nombre de usuario completo o parcial y haz clic en Search (Buscar). Se mostrarán los usuarios existentes en los resultados de búsqueda. Si un usuario no existe, haz clic en Create (Crear) para aprovisionar la nueva cuenta de usuario.

   

Actualizar cuentas LDAP

A menos que la sincronización LDAP esté activada, las modificaciones de las cuentas LDAP no se sincronizan automáticamente con el Servidor de GitHub Enterprise.

• Para usar un nuevo grupo de administración LDAP, los usuarios deben ser promovidos y degradados de forma manual en el Servidor de GitHub Enterprise para reflejar las modificaciones en LDAP.
• Para agregar o eliminar cuentas LDAP de los grupos de administración LDAP, promueve o degrada las cuentas en el Servidor de GitHub Enterprise.
• Para eliminar las cuentas LDAP, suspende las cuentas del Servidor de GitHub Enterprise.

Sincronizar cuentas LDAP de forma manual

1. Inicia sesión en tu instancia de servidor de GitHub Enterprise en http(s)://HOSTNAME/login.

2. In the upper-right corner of any page, click .

   

3. En el campo de búsqueda, escribe el nombre del usuario y luego haz clic en Buscar.

   

4. En los resultados de búsqueda, haz clic en el nombre del usuario.

   

5. In the upper-right corner of the page, click Admin.

   

6. In the left sidebar, click Admin.

   

7. En "LDAP", haz clic en Sync now (Sincronizar ahora) para actualizar de forma manual la cuenta con los datos de tu servidor LDAP.

   

También puedes usar la API para desencadenar una sincronización manual.

Revocar acceso a tu instancia de servidor de GitHub Enterprise

Si la sincronización LDAP está activada, al eliminar las credenciales LDAP de un usuario, se suspenderá su cuenta hasta la siguiente ejecución de sincronización.

Si la sincronización LDAP no está activada, debes suspender de forma manual la cuenta del Servidor de GitHub Enterprise después de eliminar las credenciales LDAP. Para obtener más información, consulta "Suspender y anular suspensión de usuarios".