LDAP 통합
LDAP 통합을 통해 인스턴스에서 기존 LDAP 서버를 사용자 데이터의 기본 소스로 사용할 수 있습니다.
관리자는 LDAP(Lightweight Directory Access Protocol) 디렉터리와 통합하여 사용자 로그인 프로세스를 간소화하고 사용자 생성 및 역할 할당과 같은 관리 작업을 자동화합니다. LDAP 통합을 통해 시스템은 기존 LDAP 서버를 사용자 데이터의 기본 소스로 사용할 수 있습니다. 일반적으로 LDAP 통합은 SSO(Single Sign-On) 구현의 일부이기도 합니다.
통합은 LDAP 서비스 계정 자격 증명을 사용하여 LDAP 서버에서 사용자 DN(고유 이름)을 검색합니다. 사용자의 DN 값이 지정되면 통합은 사용자의 DN 및 암호를 사용하여 LDAP와 다시 재결합합니다. 사용자가 입력하는 암호는 전적으로 HTTPS 세션에 포함되어 있습니다. 통합은 LDAP 암호를 저장하지 않습니다.
통합은 LDAP 디렉터리에 쓰지 않는 읽기 전용 연결을 사용합니다. 통합은 정보를 쿼리하기만 하고 그에 따라 내부 데이터베이스를 업데이트합니다.
LDAP 통합의 기능
LDAP 통합 기능에는 다음이 포함됩니다.
- 예약된 LDAP 새로 고침
LDAP 서버의 예약된 검사는 일반적으로 밤에 한 번 실행됩니다. 적용 가능한 모든 사용자 기록의 속성을 쿼리하고 서버의 계정과 비교합니다. 차이가 있는 경우 변경된 속성으로 사용자 기록을 수정합니다. 새로 고치는 동안 LDAP 서버에 가해지는 부하는 쿼리되는 레코드 수와 비교되는 속성 수에 따라 달라집니다. 사용량이 적은 시간에 새로 고침을 예약하는 것이 좋습니다. 대규모 새로 고침 작업은 보고서 실행과 같은 다른 예약된 작업에 영향을 줄 수 있으므로 충돌을 최소화하도록 계획해야 합니다.
- LDAP 수신기
LDAP 수신기는 지속적인 쿼리(또는 지속적인 검색)의 버전입니다. LDAP 서버에 대한 변경 사항에 대해 대기 쿼리를 발행하고 지속적으로 응답을 수신합니다. 서버가 지속적인 검색을 지원한다고 가정할 경우, 해당 LDAP 계정에 대한 모든 변경 사항은 LDAP 수신기로 반환되고 약 10초 이내에 인스턴스로 전송됩니다. 이것은 매우 유용한 도구로, 다음 예약된 새로 고침을 기다릴 필요 없이 사용자 계정 세부 정보를 거의 실시간으로 복사할 수 있습니다.
- 요청 시 LDAP 로그인
LDAP 통합이 설정되면 인스턴스에서는 아직 인스턴스에 계정이 없는 경우에도 새 사용자가 시스템에 로그인할 수 있도록 허용할 수 있습니다. 새 사용자가 인스턴스에 로그인을 시도하면 통합은 이 사용자가 인스턴스에 계정을 가지고 있는지 확인합니다. 통합에서 기존 사용자 계정을 찾지 못하면 입력된 사용자 이름을 LDAP 서버에 자동으로 쿼리합니다. 일치하는 LDAP 계정이 발견되면 통합은 사용자가 입력한 암호로 인증을 시도합니다. 암호가 유효하면, 인스턴스가 사용자에 대한 계정을 생성하고, 모든 해당 LDAP 정보로 계정을 채우고, 사용자를 인스턴스에 로그인합니다.
요청 시 로그인은 LDAP 사용자 임포트 변환 맵을 사용합니다. 변환 맵 요구 사항에 대한 자세한 내용은 다음 문서를 참조하십시오 LDAP 변환 맵.
- LDAP 데이터 채우기
- 주:이 통합에 설명된 기능은 기본적으로 사용할 수 없습니다. 이 통합에는 숙련된 관리자 또는 ServiceNow 전문 서비스 컨설턴트가 수행하는 배포 후 사용자 지정이 포함됩니다.
LDAP 서버에 통합하면 기존 LDAP 데이터베이스의 사용자 기록으로 인스턴스의 데이터베이스를 빠르고 쉽게 채울 수 있습니다. 데이터 불일치를 방지하기 위해 수신 LDAP 기록을 생성, 무시 또는 건너뛸 수 있습니다.
LDAP 속성을 지정하여 통합이 임포트하는 데이터를 제한함으로써 인스턴스에 노출할 데이터만 임포트할 수도 있습니다. 일반적으로 사용자가 지정하는 LDAP 속성은 통합 변환 맵의 일부가 됩니다. LDAP 속성을 지정하지 않으면 통합은 LDAP 서버에서 사용 가능한 모든 객체 속성을 임포트합니다. 인스턴스는 임포트한 LDAP 데이터를 임시 임포트 세트 테이블에 저장하므로, 임포트한 속성이 많을수록 임포트 시간이 길어집니다. 자세한 내용은 LDAP 속성 지정 문서를 참조하십시오.
- LDAP 인증
- LDAP Authentication을 사용하여 LDAP 자격 증명 사용에 액세스합니다.사용자가 로그인 페이지에 네트워크 자격 증명을 입력하는 경우:
- 인스턴스는 인스턴스를 찾을 수 있도록 자격 증명을 LDAP 서버에 전달합니다.
- RDN을 사용하면 사용자의 DN 문자열을 검증합니다.
table=sys_user인 LDAP OU 구성 중 하나 이상에 RDN이 구성되어 있는 경우에만 유효성을 검증합니다. - LDAP 서버는 시스템이 액세스 권한을 부여해야 하는지 여부를 판별하는 데 사용하는 인증되거나 인증되지 않은 메시지로 응답합니다.
LDAP 서버에 대해 인증하면 사용자는 네트워크 도메인의 다른 내부 자원에 사용하는 것과 동일한 자격 증명으로 플랫폼에 액세스합니다. 또한 이미 시행 중인 기존 암호 및 보안 정책을 다시 사용할 수 있습니다. 예를 들어 LDAP 서버에 계정 잠금 및 암호 만료 정책이 이미 있을 수 있습니다.
LDAP를 활성화하면 시스템이 이러한 필드로 사용자 기록을 업데이트합니다.
표 1. LDAP 사용자 기록 업데이트 필드 설명 소스 사용자를 검증하는 데 LDAP를 사용할지 여부를 식별합니다. 소스가 ldap로 시작하면 사용자는 LDAP를 통해 검증됩니다. 소스가 ldap로 시작하지 않으면, 로그인 시 사용자 기록의 비밀번호를 사용하여 사용자를 확인합니다. LDAP 서버 여러 LDAP 서버가 있을 때 사용자를 인증하는 LDAP 서버를 식별합니다. 주:시스템은 MID 서버를 통한 LDAP 암호 인증을 지원하지 않습니다. 암호 인증을 지원하려면 인스턴스가 LDAP 서버와 직접 연결할 수 있어야 합니다.