LDAP Active Directory
"Project Owner" gibi "Kimlik Doğrulama Hizmetlerini Yönet" yetkisine sahip roller tarafından erişilebilir ve yönetilebilir.
Liste
Apinizer'ın API çağrılarını doğrulamak ve tüketicileri senkronize etmek için kullandığı dizinler bu ekranda listelenir. Arama kutusuyla ada göre filtreleyin; yanındaki iki filtreyle listeyi daha da daraltın.
| Filtre | Açıklama |
|---|---|
| Durum | Tüm durumlar, Etkin veya Kapalı. Sağlayıcının Senkronizasyonu Etkinleştir ayarını gösterir. Sütun başlığının üzerine gelince aynı açıklama görünür. |
| Dizin Türü | Tüm dizin türleri, Active Directory, OpenLDAP veya Diğer. Sağlayıcının bağlantı havuzundaki Dizin Türü alanından gelir. |
Tabloda şu sütunlar bulunur.
| Sütun | Açıklama |
|---|---|
| Ad | Sağlayıcının adı ve açıklaması. |
| Dizin Türü | Bağlantı havuzunun Dizin Türü değerini gösteren bir rozet. Bağlantıyı görüntüleme yetkiniz yoksa veya havuz artık yoksa boş görünür. |
| Sunucu | Bağlantının sunucu adresi. |
| Base DN | Bağlantının Base DN değeri. |
| Durum | Sağlayıcının senkronizasyon ayarı için Etkin veya Kapalı rozeti. |
| Proje | Yalnızca sistem yönetimi (global) kapsamında. Sağlayıcının bağlı olduğu projenin adı. |
Her satırda tek bir ⋮ menüsü bulunur, şu sırayla: Görüntüle, (kimlik sağlayıcılarını yönetme yetkiniz varsa) Düzenle, (global ayarları yönetme yetkiniz varsa) Çoğalt, (kimlik sağlayıcılarını yönetme yetkiniz varsa) Sil, (kimlik sağlayıcılarını yönetme yetkiniz varsa ve sağlayıcı henüz global değilse) Globalleştir, ve (kimlik verisi dışa/içe aktarma yetkiniz varsa) Dışa Aktar.
Yeni bir sağlayıcı oluşturmak için ekranın üstündeki + Yeni düğmesine, bir dışa aktarma paketinden sağlayıcı almak için Veriyi Aktar düğmesine tıklayın.
Görüntüleme
Görüntüleme ekranı bir satırın adına veya Görüntüle düğmesine tıklayınca standart sayfa çerçevesinde açılır: üstte sade bir Geri çubuğu, altında tek bir ana kart. Kartın başlık satırında sağlayıcının adı, bir Etkin/Kapalı senkronizasyon rozeti, bir Dizin Türü rozeti ve açıklaması yer alır. Kimlik sağlayıcılarını yönetme yetkiniz varsa aynı başlık satırında ayrıca sırasıyla Düzenle, Sil, Bağlantı Testi ve Dizin Önizleme düğmeleri bulunur.
Bu ekranda artık bir Senkronize Et… düğmesi yoktur. Bu sağlayıcı için senkronizasyon koşusu başlatmak üzere Senkronizasyon ekranını açın.
Başlığın altında bir Yapılandırma sekmesi aşağıda anlatılan kartları taşır. Bir Denetim ve Geri Yükleme sekmesi ise sağlayıcının değişiklik geçmişini taşır ve önceki bir sürüme dönmenizi sağlar — bkz. Varlık Yaşam Döngüsü.
Yapılandırma kartları
Genel — sağlayıcının Adı, Açıklaması ve Dizin Türü rozeti.
Bağlantı ve bind — bağlantı havuzundan okunan Sunucu, Güvenlik (LDAPS veya StartTLS), Base DN (bağlantıdan) ve Bağlantı Zaman Aşımı; ardından Kimlik Doğrulama Tipi (Basit veya Gelişmiş — bkz. aşağıda Düzenleme), Basit kimlik doğrulamada Kullanıcı Adı İfadesi, Bind DN ve Bind parolası. Parola her zaman maskeli gösterilir veya bağlantı havuzunda tanımlı değilse Tanımlı değil yazar — değerin kendisi bu ekranda hiç gösterilmez. Sağlayıcının bağlantısını görüntüleme yetkiniz yoksa kart bu değerler yerine bir not gösterir.
Kullanıcılar ve Gruplar (yan yana) — Basit kimlik doğrulamada iki kart da kullanılmadığını belirten bir not gösterir. Gelişmiş kimlik doğrulamada her biri kendi sınıf tanımını salt okunur gösterir: sınıf adı, custom filter ve base DN nitelikleri, arama kapsamı, bir Nitelik eşlemesi kutusu ve alınacak nitelikler. Kullanıcılar kartı ayrıca hesap durumu niteliğini ve biçimini, Gruplar kartı ise üyeliğin nasıl belirlendiğini ve üyelik belirleme niteliğini gösterir — her alanın anlamı için aşağıda Kullanıcılar ve Gruplar bölümlerine bakın.
Üyelik — kullanıcının grup üyeliğinin nasıl belirlendiği (yanında bir açıklamayla birlikte), üyelik ve üye nitelikleri, ve üyelik belirleme niteliği. Üyelik otomatik belirleniyorsa bu alanda sabit bir değer yerine Otomatik algılanır yazar; çünkü her üye değerinin biçimi o zaman ayrı ayrı okunur.
Senkronizasyon — sağlayıcının senkronizasyon profili, salt okunur:
| Alan | Açıklama |
|---|---|
| Senkronizasyonu Etkinleştir | Bkz. Kimlik Bilgisi Senkronizasyonu. |
| Zamanlama | Cron ifadesi, boşsa Yalnız elle. |
| Devre Dışı Bırakma Modu | Bkz. Kimlik Bilgisi Senkronizasyonu. |
| Kapsam: kullanıcılar / Kapsam: gruplar / organizasyonlar | Kullanıcılar ve gruplar/organizasyonlar için kaç kabul/ret deseni tanımlı olduğu, hangi alanı ve desen tipini eşleştirdikleri — bkz. aşağıda Düzenleme > Senkronizasyon. |
| Kapsam Çıkışı Politikası | Kaynakta hâlâ var olan ama artık kapsamla eşleşmeyen bir kayda uygulanan işlem: Olduğu gibi bırak, Pasifleştir veya Mezar taşı bırak. |
| Deaktivasyon eşikleri | Yüzde ve kayıt sayısı korumaları: deaktive edilecek kayıt sayısı bunlardan birini aştığında uzlaştırma çalışmaz, onay bekler. |
| Kararlı kimlik yokken | Kaynak kararl ı bir dış kimlik döndürmediğinde uzlaştırmanın kayıtları deaktive etmesinin veya silmesinin engellenip engellenmediği (böylece kaynakta yeniden adlandırılan bir kullanıcı kaybolmuş sayılmaz). |
Dizin Önizleme
Dizin Önizleme düğmesinden açılır. Dizini sağlayıcının kaydedilmiş yapılandırmasıyla okur, hiçbir şey yazmaz. Kullanıcılar, Gruplar, Üyelik ve Sorunlar sekmeleri, bir de dizinin tamamını sayfalayarak tarayan ve gerçek bir senkronizasyon koşusunun neyi oluşturacağını, güncelleyeceğini veya deaktive edeceğini raporlayan Tam tarama (deneme koşusu) seçeneği bulunur. Sorunlar sekmesi, üye niteliği grup sınıfıyla uyumsuz olan bir grup gibi yapılandırma sorunlarını listeler (kod LDAP-I14); bazı sorunların yanında bir Uygula önerisi bulunur, bu öneriyi forma yazmak için Düzenleme ekranını açmanız gerekir.
Senkronizasyon geçmişi
Ekranın altında bir Senkronizasyon Geçmişi kartı bu sağlayıcının son koşularını listeler — proje genelindeki Senkronizasyon ekranındaki tabloyla aynıdır, yalnız Kaynak sütunu yoktur; bkz. Kimlik Bilgisi Senkronizasyonu. Yeniden yüklemek için Yenile'ye, bir koşunun sorun panelini açmak için N sorun rozetine tıklayın. Listelenen koşulardan biri kuyrukta veya çalışırken kart kendini birkaç saniyede bir otomatik olarak yeniler; ilerlemeyi izlemek için Yenile'ye tıklamanız gerekmez. Sağlayıcının tüm koşu geçmişini ve projedeki diğer kaynakları görmek için Senkronizasyon ekranını aç düğmesine tıklayın.
Düzenleme
Düzenleme ekranında bir Yapılandırma sekmesi, kaydedilmiş bir sağlayıcı için de bir Denetim ve Geri Yükleme sekmesi bulunur (bkz. Varlık Yaşam Döngüsü). Ekranın üstündeki standart breadcrumb çubuğunda Geri, Değişken, Dizin Önizleme ve Kaydet ve Yükle bulunur. Dizin Önizleme, dizini o an formda olan değerlerle okur; henüz kaydetmediğiniz değişiklikler de dahildir.
Genel
| Alan | Açıklama |
|---|---|
| Ad | Sağlayıcının adı. Özgün olmalıdır — alanın yanındaki rozet, girdiğiniz adın uygun olup olmadığını gösterir. |
| Açıklama | İsteğe bağlı bir açıklama. |
Hazır Ayar Uygula
Ekranın üst kısmındaki Hazır Ayar Uygula menüsü, seçtiğiniz dizin türünün önerilen alan değerlerini gösterir. Bu değerler aşağıdaki Kullanıcı Sınıfı Tanımı ve Grup Sınıfı Tanımı alanlarına yazılır. Seçenekler:
- Active Directory
- OpenLDAP
- 389 Directory Server / FreeIPA
- Active Directory (gruplar organizasyon birimi olarak tutuluyor)
Hazır ayar uygulamak kayıt yapmaz. Önerilen değerler, alanlardaki önceki değerlerin yerini alır. Değerleri gözden geçirin. Kaydetmeden önce hiçbir şey değişmez.
Bağlantı ve bind
LDAP Bağlantı Havuzu Tanımları'nı seçin, veya bu ekrandan ayrılmadan yeni bir tane tanımlamak için Create New Connection Pool düğmesine tıklayın. Bir havuz seçildiğinde, altında havuzun Sunucu, Base DN, Bind DN ve Bind parolası (maskeli veya Tanımlı değil) bilgileri salt okunur görünür — bu değerler, bind hesabının parolası dahil, burada değil bağlantı havuzunun kendisinde düzenlenir.
Bölüm başlığının yanındaki iki düğme, formda o an bulunan değerlerle bağlantıyı test eder; bu yüzden sağlayıcı kaydedilmeden önce de çalışırlar:
| Düğme | Açıklama |
|---|---|
| Bağlantıyı test et | Adım adım tam bağlantı testini çalıştırır (Liste ekranındaki Bağlantı Testi ile aynı tablo). |
| Servis hesabını test et | Yalnız bağlantı havuzundaki Bind DN ve parolayla oturum açar. |
Kimlik Doğrulama Tipi'ni seçin, Basit veya Gelişmiş:
- Basit — Kullanıcı Adı İfadesi'ni girin. Konfigürasyonu Test Et, bu ifadeyle bir test kullanıcı adı ve parolasıyla oturum açar; ifade ya da bağlantı havuzu bir değişken kullanıyorsa test önce bir ortam seçtirir.
- Gelişmiş — aşağıdaki Kullanıcılar ve Gruplar bölümlerini bir dizin türünün (Active Directory, OpenLDAP, 389 Directory Server / FreeIPA veya gruplar organizasyon birimi olarak tutulan Active Directory) varsayılan değerleriyle doldurmak için Hazır Ayar Uygula'ya tıklayın. Hazır ayar uygulamak bu alanlarda daha önce girilmiş değerlerin yerini alır, ama sağlayıcıyı kaydedene kadar hiçbir şey kalıcı olmaz. Buradaki Konfigürasyonu Test Et, formdaki değerlerle birkaç kullanıcı ve grup okur.
Kullanıcılar
Mevcut Kullanıcı Sınıfı Tanımının bir özeti salt okunur gösterilir; yanındaki Yapılandır düğmesi bunu bir çekmecede açar (yalnız Gelişmiş kimlik doğrulamada — Basitte özet yerine bir not görünür).
| Alan | Açıklama |
|---|---|
| Kullanıcı Sınıfı Adları | Kullanıcıları filtrelemek için kullanılacak sınıf adı/adları. Birden fazlaysa virgülle ayırın. Örnek: person,inetOrgPerson |
| User Base DN Niteliği | Doluysa, kullanıcıları ararken ve yüklerken bağlantının Base DN'i yerine bu Base DN kullanılır. Örnek: cn=users,dc=ad,dc=example,dc=com |
| Custom Filter Niteliği | Kullanıcıları getirirken bağlantıdaki filtreye ek olarak kullanılan filtre değeri. Örnek: (&(objectCategory=Person)(sAMAccountName=*)) |
| Arama Kapsamı | Aramanın base DN üzerinde hangi seviyede çalışacağı. |
| Nitelik eşlemesi — Giriş Adı/Kullanıcı Adı Niteliği | Kullanıcının giriş adını tutan nitelik. Örnek: uid |
| Nitelik eşlemesi — Ad Niteliği | Kullanıcının adını tutan nitelik. Örnek: givenName |
| Nitelik eşlemesi — Soyad Niteliği | Kullanıcının soyadını tutan nitelik. Örnek: sn |
| Nitelik eşlemesi — Tam Ad Niteliği | Kullanıcının tam adını tutan nitelik. Örnek: cn |
| Nitelik eşlemesi — E-Posta Niteliği | Kullanıcının e-posta adresini tutan nitelik. Örnek: mail |
| Nitelik eşlemesi — Üyelik Niteliği | Kullanıcının grup üyeliklerini tutan nitelik. Örnek: isMemberOf |
| Alınacak Nitelikler | Kimlik doğrulamaya ek olarak kullanıcı için okunan nitelikler; bkz. aşağıda. |
| Hesap Durumu Niteliği | Hesabın dizinde kapatılıp kapatılmadığını gösteren nitelik. Örnek: Active Directory'de userAccountControl, OpenLDAP'ta pwdAccountLockedTime, 389 Directory Server / FreeIPA'da nsAccountLock. Boş bırakırsanız mevcut davranış sürer: hesap durumu okunmaz, senkronizasyon bu yüzden hiçbir tüketiciyi deaktive etmez. |
| Hesap Durumu Biçimi | Bu niteliğin değerinin nasıl okunacağı. Yanlış biçim seçmek hata vermez; kilitli her hesabı sessizce "açık" gösterir, dizininizle eşleştiğinden emin olun. |
Hesap Durumu Niteliği yapılandırıldığında, dizinde devre dışı bırakılan bir hesap senkronizasyon ile Apinizer'da da pasifleşir; hesap dizinde yeniden etkinleştirildiğinde kendiliğinden tekrar açılır. Yöneticinin Apinizer üzerinden elle pasifleştirdiği bir tüketiciye senkronizasyon dokunmaz.
Alınacak Nitelikler
LDAP ile kimlik doğrulama yapıldığında, kullanıcıda varsa bu nitelikler kimlik doğrulamaya ek olarak okunur:
- Sağlayıcı bir JWT üretiminde kullanılıyorsa, bu nitelikler ve değerleri (null olanlar hariç) JWT'ye claim olarak eklenir.
- Sağlayıcı plaintext, basic veya digest yetkilendirmede kullanılıyorsa, bu nitelikler ve değerleri message context'e custom variable olarak eklenir; key değerinin başına
#clientLDAPAttribute#.öneki gelir. Örneğinmailniteliği#clientLDAPAttribute#mailanahtarına dönüşür.
İkili (binary) bir nitelik metin olarak döner: Active Directory objectGUID GUID biçiminde, objectSid S-1-5-21-... biçiminde, diğer ikili nitelikler Base64 olarak döner.
Gruplar
Mevcut Grup Sınıfı Tanımının bir özeti salt okunur gösterilir; yanındaki Yapılandır düğmesi bunu bir çekmecede açar (yalnız Gelişmiş kimlik doğrulamada).
Gelişmiş kimlik doğrulamada, bir Grup Sınıfı Tanımı yapılandırılana kadar Kaydet ve Yükle kapalı kalır.
| Alan | Açıklama |
|---|---|
| Grup Sınıfı Adı | Grupları filtrelemek için kullanılacak sınıf adı. Örnek: groupOfUniqueNames |
| Group Base DN Niteliği | Doluysa, grupları ararken ve yüklerken bağlantının Base DN'i yerine bu Base DN kullanılır. |
| Custom Filter Niteliği | Grupları alırken bağlantıdaki filtreye ek olarak kullanılan filtre değeri. |
| Arama Kapsamı | Aramanın base DN üzerinde hangi seviyede çalışacağı. |
| Nitelik eşlemesi — Grup Adı Niteliği | Grubun adını tutan nitelik. |
| Nitelik eşlemesi — Grup Üyeliği Niteliği | Grubun üyelerini tutan nitelik. Değer grup sınıfıyla uyumlu olmalıdır: groupOfNames ve Active Directory group için member, groupOfUniqueNames için uniqueMember, posixGroup için memberUid. Uyumsuz değerde bütün gruplar boş okunur ve hiçbir kullanıcı bir organizasyona bağlanmaz — Dizin Önizleme ekranının Sorunlar sekmesi bunu LDAP-I14 koduyla gösterir, Uygula düğmesi doğru değeri bu alana yazar. Active Directory, 1500'den fazla üyesi olan bir grubun üyelerini parçalar hâlinde döndürür (member;range=); Apinizer bütün parçaları okur. |
| Üyelik nasıl belirlenir? | Kullanıcının grup üyeliğinin nasıl çözüleceğini seçer: mevcut davranış (varsayılan, değişmez), otomatik algılama (önerilen), yalnız kullanıcının kendi üyelik niteliğinden, yalnız grubun üye listesinden, kullanıcının bulunduğu organizasyon biriminden, ya da hem OU hem her üyelik listesinden. Emin değilseniz olduğu gibi bırakın veya otomatik algılamayı seçin — bu seçim yalnızca üyeliklerin nasıl okunacağını değiştirir, dizininizde hiçbir şey değişmez. |
| Grup Üyeliği Belirleme Niteliği | Grup üyelerini bulmak için kullanılacak yöntem, USER DN veya USER LOGIN. Üyelik otomatik belirleniyorsa veya organizasyon birimi ağacından geliyorsa gösterilmez; çünkü her üye değerinin biçimi o zaman kendi başına tespit edilir. |
| Alınacak Nitelikler | Her gruptan ek olarak okunacak nitelikler. Grup yeniden adlandırıldığında veya taşındığında değişmeyen niteliği eklerseniz (Active Directory'de objectGUID, OpenLDAP ve 389 Directory Server / FreeIPA'da entryUUID) kurum, limitleri ve üyeleriyle birlikte taşımadan sonra aynı kayıt üzerinde kalır. |
Bu alan olmadan adı değişen veya taşınan bir grup yeni bir kayıt sayılır: eski kurum pasifleşir, yenisi açılır ve kurum ile limit bağları kopar.
Bağlantıyı Test Et (Adım Adım)
Ekranın üst kısmındaki Bağlantıyı test et (adım adım) butonu, kaydetmeden önce bağlant ıyı 12 ayrı adımda ölçer. Her adım ayrı sonuçlanır. Böylece sorunun tam olarak nerede koptuğu görülür. Eski tek sonuçlu Konfigürasyonu Test Et akışı da korunur.
| # | Adım | Ne kontrol eder |
|---|---|---|
| 1 | Yapılandırma Kontrolü | Form alanlarının tutarlılığı (adres biçimi, TLS seçenekleri, zorunlu alanlar) |
| 2 | Sunucu Bağlantısı | LDAP sunucusuna ağ üzerinden ulaşılabiliyor mu |
| 3 | Güvenli Bağlantı (TLS) | LDAPS/StartTLS el sıkışması |
| 4 | Servis Hesabı Girişi | Bağlantıdaki servis hesabı ile oturum açma |
| 5 | Dizin Bilgisi | Sunucunun kendi bildirdiği dizin türü ve ağaç kökleri |
| 6 | Şema Kontrolü | Yapılandırılan nesne sınıfı ve nitelik adlarının dizin şemasında var olup olmadığı |
| 7 | Başlangıç Noktası (Base DN) | Aramaların başlayacağı kökün okunabilirliği |
| 8 | Kullanıcı Arama | Yapılandırılan kullanıcı filtresiyle en az bir kayıt dönüp dönmediği |
| 9 | Grup Arama | Yapılandırılan grup filtresiyle en az bir kayıt dönüp dönmediği |
| 10 | Attribute Yetkileri | Servis hesabının istenen niteliklerin tümünü görüp göremediği |
| 11 | Üyelik Çözümleme | Örneklenen kullanıcıların yapılandırılan üyelik moduyla bir kuruma bağlanıp bağlanmadığı |
| 12 | Sayfalı Arama Desteği | Sunucunun büyük sonuç kümelerini sayfa sayfa döndürüp döndüremediği |
Her satırda durum rozetinin yanında bir açıklama, bir öneri ve kopyalanabilir bir teknik ayrıntı görüntülenir. Bir attribute dizinin şemasında tanımlı değilse veya servis hesabı bu niteliği göremiyorsa ilgili adım bunu ayrı ayrı bildirir.
Dizin Önizleme
Dizin önizleme butonu, formdaki mevcut değerlerle dizini okur. Senkronizasyonun ne üreteceğini gösterir; hiçbir kayıt yazılmaz. Dört sekmesi vardır:
- Kullanıcılar — kullanıcı adı, ad soyad, e-posta, ayırt edici ad (DN), bağlanacağı kurum, bu bağın kaynağı (kullanıcı alanı / grup üye listesi / organizasyon birimi) ve okunan alanlar listelenir.
- Gruplar — ad, ayırt edici ad (DN), türü (grup ya da organizasyon birimi), üye sayısı ve üye değerlerinin biçimiyle listelenir.
- Üyelik — hangi kullanıcının hangi grup/organizasyon birimine bağlandığını gösteren matristir; yalnız bağlanmayan kullanıcıları filtreleyebilirsiniz.
- Sorunlar — aşağıdaki Sorunlar listesindeki maddelerden hangilerinin bu dizinde geçerli olduğunu gösterir; bazı maddelerde Uygula ile öneri doğrudan forma yazılır.
Önizlemenin Tam tarama (deneme koşusu) seçeneği dizinin tamamını sayfalayarak tarar ve senkronizasyonun oluşturacağı, güncelleyeceği, pasifleştireceği ve kuruma bağlanmadan bırakacağı kayıt sayılarını raporlar — bu da yazma yapmaz.
Açıkla
Açıkla ekranı, tek bir kullanıcının dizinde nasıl bulunduğunu ve üyeliğinin nasıl çözüldüğünü adım adım gösterir: bir kullanıcı adı girilir, isteğe bağlı olarak bir parola da girilebilir.
Sırasıyla gösterilenler:
- Kullanıcının hangi arama filtresiyle bulunduğu ve dizinden okunan ham nitelikler (servis hesabının görebildiği ölçüde)
- Kullanıcı kaydından gelen üyelik, grup üye listelerinden gelen üyelik ve organizasyon birimi ağacından gelen üyelik — her biri kullanılan filtre ve sonucuyla, ayrı adımda
- Kullanılan sonuç: hangi kaynağın geçerli sayıldığı ve bağlanılan kurum
- Bu kullanıcı yönetim konsoluna girseydi hangi projelerde üye olacağının simülasyonu
- Bu kullanıcı bir API çağırsaydı hangi tüketici kaydıyla eşleşeceğinin, kurumunun ve etkin limit atamalarının simülasyonu
- Hesap durumu (yapılandırılmışsa)
Parola girilirse ayrıca bir oturum açma denemesi de yapılır; parola hiçbir yerde saklanmaz ve gösterilmez.
Sorunlar
Dizin Önizleme'nin Sorunlar sekmesinde ve Açıkla ekranında aşağıdaki kodlarla karşılaşabilirsiniz:
| Kod | Anlamı | Ne Yapmalı |
|---|---|---|
| I01 | Okunan kullanıcıların hiçbirinde üyelik niteliği yok — dizininiz grup üyeliğini kullanıcı kaydında hiç yayımlamıyor olabilir. | Active Directory'de bu nitelik genellikle memberOf'tur. Dizininiz üyeliği kullanıcı kaydında hiç yayımlamıyorsa Üyelik nasıl belirlenir? seçimini grup üye listesini veya organizasyon birimi ağacını kullanan bir moda değiştirin. |
| I02 | Grup üye değerlerinin biçimi (ayırt edici ad / kullanıcı adı) yapılandırılan strateji ile uyuşmuyor. | Üyelik nasıl belirlenir? seçimini Otomatik bul olarak değiştirin; her üye değerinin biçimi böylece kendiliğinden tespit edilir. |
| I03 | Okunan grupların bir kısmı organizasyon birimi ve üye listesi taşımıyor. | Bu düzende kullanıcı, içinde bulunduğu organizasyon biriminin üyesi sayılır. Üyelik nasıl belirlenir? seçimini Gruplarımız OU'dur; kullanıcı bulunduğu OU'nun üyesidir olarak ayarlayın. |
| I04 | Üye değerlerinin hiçbiri okunan kullanıcılarla eşleşmiyor. | Kullanıcı arama kökü ile gruplar muhtemelen ağacın farklı bölümlerine bakıyor, ya da kullanıcı adı niteliği üye değerlerindeki biçimle uyuşmuyor; Base DN ve nitelik eşleşmesini kontrol edin. |
| I05 | Grup nesne sınıfıyla yapılan aramadan hiç kayıt dönmedi. | Grup nesne sınıfını ve grup arama kökünü kontrol edin; gruplarınız organizasyon birimiyse organizationalUnit kullanın. |
| I06 | Sunucu sayfalı arama sonuçlarını desteklemiyor; büyük listeler eksik gelebilir. | Senkronizasyon yalnızca ilk sayfayı okuyabilir; bazı kullanıcılar eksik kalır ve kayıtlar doğru uzlaştırılmaz. Dizin sunucusunda sayfalı sonuç desteğini etkinleştirin. |
| I07 | Okunan kullanıcıların bir kısmında giriş adı niteliği boş. | Kullanıcı adı bu nitelikten alınır. Active Directory'de bu genellikle sAMAccountName'dir; Giriş Adı/Kullanıcı Adı Niteliği alanını kontrol edin. |
| I08 | Dizin, arama sırasında bir yönlendirme (referral) döndürdü; bazı kayıtlar başka bir sunucuda olabilir. | Bağlantıyı, ağacın tamamını tutan bir sunucuya yönlendirmeyi değerlendirin. |
| I09 | Active Directory'de kullanıcının birincil grubu kullanıcı kaydında listelenmez — bu normaldir. | Bu normaldir, ek işlem gerekmez; Domain Users gibi bir grupta eksik görünen kullanıcı bu durumdan etkilenir. |
| I10 | Bir üye değeri başka bir grubu gösteriyor (iç içe grup); iç gruptaki üyeler henüz dış grubun üyesi sayılmaz. | İç içe gruplar tespit edilir, ama henüz çözülmez: iç gruptaki üyeler dış grubun üyesi sayılmaz. |
| I11 | Kararlı kimlik niteliği (objectGUID/entryUUID) okunacak nitelikler listesinde yok; adı değişen veya taşınan kayıt yeni bir kişi sayılabilir. | Ek Olarak Okunacak Nitelikler alanına Active Directory'de objectGUID, OpenLDAP ve 389 Directory Server / FreeIPA'da entryUUID ekleyin. |
| I12 | Yapılandırılan bir nesne sınıfı veya nitelik adı dizin şemasında tanımlı değil. | Sunucu, tanımadığı bir niteliği sessizce yok sayar. Yazımı ve niteliğin başka bir dizin ürününe ait olup olmadığını kontrol edin. |
| I13 | İstenen bazı nitelikler okunan kullanıcıların hepsinde boş döndü — servis hesabının bunları görme yetkisi olmayabilir. | Servis hesabının bu nitelikleri görme yetkisi muhtemelen yok; bağlantıda kullanılan hesabın erişim haklarını kontrol edin. |
Her sorunun yanında bir öneri bulunur. Bazılarında Uygula ile öneri doğrudan forma yazılır. Öneriyi gözden geçirin, sonra kaydedin.
Bu Sağlayıcı Nasıl Çalışır
Düzenleme ekranının üst kısmındaki akış şeridi, bu kaynağın çalışma sırasını altı adımda özetler: Bağlan → Bind → Kullanıcılar → Gruplar → Üyelik → Senkronizasyon. Bir adıma tıklamak sizi ilgili bölüme götürür.
Üyelik denetimi
Bu kartta yalnızca tek satırlık bir açıklama ve bir Açıkla düğmesi bulunur; bir kullanıcıyı test etmek bu düğmenin açtığı iletişim kutusunda yapılır.
- Gelişmiş kimlik doğrulamada açıklama, Açıkla iletişim kutusunun kendi alt başlığıyla aynıdır: tek bir kullanıcının dizinde nasıl bulunduğunu ve üyeliğinin nasıl çözüldüğünü adım adım gösterir.
- Hiç grup okumayan Basit kimlik doğrulamada açıklama, bunun yerine Bağlantı ve bind bölümündeki Konfigürasyonu Test Et'i kullanmanızı söyler.
Açıkla iletişim kutusuna bir Kullanıcı adı ve isteğe bağlı olarak maskeli bir Parola (isteğe bağlı) girin. Parola girmezseniz iletişim kutusu yalnızca kullanıcıyı arar; girerseniz ayrıca oturum açmayı da dener — parola hiçbir yerde saklanmaz ve gösterilmez. Gelişmiş kimlik doğrulama için açıldığında, iletişim kutusu ayrıca kullanıcının Login Name, Full Name, First Name, Last Name ve E-Mail bilgilerini gösteren bir Kullanıcı ayrıntıları bloğu ile her grubun ayırt edici adının yanında bir ad rozeti gösterir.
Senkronizasyon
Salt okunur bir özet (Senkronizasyonu Etkinleştir, Zamanlama, Devre Dışı Bırakma Modu, Kapsam: kullanıcılar, Kapsam: gruplar / kurumlar, Kapsam Çıkışı Politikası, eşikler ve kararlı-kimlik-yokken koruması) gösterilir; yanındaki Yapılandır düğmesi bunu bir çekmecede açar:
| Alan | Açıklama |
|---|---|
| Senkronizasyonu Etkinleştir | Bkz. Kimlik Bilgisi Senkronizasyonu. |
| Base DN (bağlantıdan) | Salt okunur. Bkz. Kimlik Bilgisi Senkronizasyonu. |
| Cron İfadesi | Bkz. Kimlik Bilgisi Senkronizasyonu. Boş bırakırsanız yalnızca elle senkronizasyon çalışır. |
| Devre Dışı Bırakma Modu | Bkz. Kimlik Bilgisi Senkronizasyonu. |
Bunların altında bir Senkronizasyon Kapsamı bölümü, bu sağlayıcının hangi kullanıcıları ve hangi gruplar/organizasyonları senkronize edeceğini daraltır: her biri için eşleştirilecek alanı (Kullanıcı Adı veya Yol gibi), desen tipini (Glob veya Düzenli İfade) ve kabul/ret desenlerini seçin. Kapsam dışında kalan bir kayıt kaynaktan silinmiş sayılmaz — ona ne olacağını altındaki Uzlaştırma Emniyet Ağı belirler:
| Alan | Açıklama |
|---|---|
| Kapsam Çıkışı Politikası | Kaynakta hâlâ var olan ama artık kapsamla eşleşmeyen bir kayda uygulanır: Olduğu gibi bırak, Pasifleştir veya Mezar taşı bırak. |
| Deaktivasyon Eşiği (%) / Deaktivasyon Eşiği (adet) | Uzlaştırmanın deaktive edeceği kayıtlar bu yüzdeyi veya sayıyı aştığında, uzlaştırma çalışmaz ve onay bekler. Varsayılan %20; 0 bu eşiği kapatır. |
| Kaynak kararlı bir dış kimlik döndürmüyorsa deaktive etme ve silme | Kararlı bir dış kimlik yokken tek anahtar kullanıcı adıdır, dolayısıyla kaynakta yeniden adlandırılan bir kullanıcı kaybolmuş görünür. Bu ayar kapalıyken mevcut davranış korunur, koşu yalnız bir uyarı kaydeder. |
Bu kapsam ve emniyet ağı düzenleyicisi dört sağlayıcı türünde de (LDAP, Veritabanı, API, OIDC) ortaktır.
Bu çekmece ve yukarıdaki Kullanıcılar ile Gruplar çekmeceleri bir kopya üzerinde düzenlenir: İptal değişikliklerinizden vazgeçer, Uygula onları forma yazar (henüz kaydedilmemiş olarak). Bir bölümü doğrudan düzenlediğinizde ya da çekmecesinde Uygula'ya tıkladığınızda, başlığında bir Değişti rozeti görünür.
Bu ekranda senkronizasyon koşusu başlatacak bir kontrol yoktur. Bir koşu başlatmak için Senkronizasyon ekranını açın.
Kaydet ve Yükle
Breadcrumb çubuğundaki Kaydet ve Yükle'ye tıklamak, değiştirdiğiniz bölümleri listeleyen ya da hiçbir bölümün değişmediğini belirten bir onay açar; her iki durumda da sağlayıcının kullanıldığı her ortama yükleneceğini hatırlatır. Ekrandan kaydetmeden çıkmak için Geri'ye tıklayın.
Ayrı bir yalnızca-kaydet işlemi ve ayrı bir İptal düğmesi yoktur. Bir sağlayıcıyı kaydetmek her zaman onu yükler — hiçbir bölüm değişmemiş olsa bile; bu durumda sağlayıcı yalnızca yeniden yüklenir.
Destek Paketi
Kimlik Bilgisi Senkronizasyonu ekranındaki kaynak satırından Destek paketi indirebilirsiniz. Bu, bu LDAP kaynağının anonimleştirilmiş bir teşhis arşividir: dizin adları, kullanıcı adları ve e-posta adresleri hash ile değiştirilir, parola pakete hiçbir zaman girmez. Bağlantının Teşhis Modu açıkken tekrarlanan bir sorun, LDAP işlem kayıtlarıyla birlikte pakete girer — bkz. LDAP/Active Directory Bağlantı Yönetimi.
Senkronizasyon Kapsamı
Hangi kayıtların senkronize edileceğini filtrelemek için kullanılan Eşleştirilen Alan seçeneklerine örnekler aşağıdadır:
| Eşleştirilen Alan | Örnek |
|---|---|
| Kullanıcı Adı | svc-* |
| E-posta | *@example.com |
| Yol (DN / grup yolu) | /Groups/* — DN sağdan sola okunur, /Eng/Dev biçiminde yazılır ve dc= bileşenleri atılır |
| Ad | developers |
Deseni dene kutusu, örnek bir değeri geçerli desenlere göre değerlendirir. Bu sırada hiçbir şey kaydedilmez ve dizine sorgu gönderilmez.
Grup ve organizasyon kapsam filtreleri artık senkronizasyon sırasında uygulanır: filtre dışında kalan
bir grup organizasyon olarak oluşturulmaz. Kapsam dışına çıkan mevcut bir organizasyon silinmez veya
pasifleştirilmez, dokunulmadan bırakılır. Yıldız (*) veya soru işareti (?) içermeyen düz bir desen
artık senkronizasyon sırasında hatalı biçimde reddedilmez.
Senkronizasyon Davranışları
- Senkronizasyonun daha önce pasifleştirdiği ve sonradan kaynakta yeniden görünen bir tüketici kendiliğinden yeniden etkinleştirilir. Yöneticinin elle pasifleştirdiği bir tüketiciye senkronizasyon hiç dokunmaz.
- Bir kullanıcı kapsam içi birden fazla gruba ya da OU'ya üyeyse yalnızca bir kurum bağlanır — en derin olan. Kazanan kuralının tamamı ve her-koşuda-yeniden-yazma kuralının istisnaları için bkz. Kurum Bağı Nasıl Belirlenir.
- Kaynak dizinde aynı oturum açma adını taşıyan iki kayıt varsa ikincisi atlanır ve bir sorun olarak kaydedilir; ilk kayıt korunur.
- Aynı ayırt edici ada (DN) sahip bir organizasyon zaten elle oluşturulmuş bir kayıt olarak varsa, senkronizasyon kopya bir organizasyon oluşturmaz. Kullanıcıları var olan organizasyona bağlar ve bir sorun kaydeder; organizasyon siz devralana kadar elle yönetimde kalır.
- Zamanlanmış görev kaydedilemiyorsa (örneğin geçersiz bir cron ifadesi), hata kaydettiğiniz anda gösterilir; bir sonraki koşuda sessizce başarısız olmaz.
- Başarısız olan ya da kullanıcıları bir organizasyona bağlayamayan bir koşu, Sorunları gör bağlantısından incelenebilecek bir sorun üretir.
Apinizer, senkronizasyon sırasında dizini LDAP PagedResults kontrolüyle sayfa sayfa okur (sayfa başına 500 kayıt). Dizin sunucusu bu kontrolü desteklemiyorsa ya da kullanılmasına izin vermiyorsa yalnızca ilk sayfa okunabilir. Bu durumda koşu Uyarı olarak raporlanır ve güvenlik gereği hiçbir kimlik bilgisi deaktif edilmez veya silinmez; okunabilen kayıtlar normal şekilde eklenir veya güncellenir. Aynı güvenlik önlemi, dizinden okunan tek bir kayıt bile dönüştürülemediğinde de uygulanır: koşu eksik sayılır ve devre dışı bırakma/silme atlanır. Tam senkronizasyon için dizin sunucusunda sayfalı sonuç desteğini etkinleştirin ya da sunucu tarafındaki kayıt sayısı (size) limitini yükseltin.
Dizin sunucusu sayfalı sonuçları destekliyor görünse bile, sayfalama duraksar ya da tekrar ederse aynı güvenlik önlemi geçerlidir — koşu yine eksik sayılır, devre dışı bırakma/silme yine atlanır.
Dizinin aramayı reddetmesi farklı raporlanır. Tanımlı Base DN dizinde yoksa ya da bağlanma hesabının o dalda arama yetkisi yoksa koşu, eksik okuma Uyarısıyla değil Başarısız durumuyla kapanır; gerekçe metni ilgili Base DN değerini yazar. İkisi de yöneticinin düzeltebileceği ayarlardır, bu yüzden sayfalamayı desteklemeyen bir sunucudan ayrı tutulur.
API İsteği Neden Reddedildi?
Bir API tüketicisi bu kaynak üzerinden doğrulanamadığında, isteğin ayrıntılı kaydında kimlik doğrulama hatasının nedeni görüntülenir: giriş başarısız, kullanıcı yok, gerekli rol eksik ya da dizine erişilemiyor. Dizine hiç ulaşılamadığı durumlarda istek, kullanıcı adı/şifre hatalıymış gibi değil, hizmete o an erişilemediğini belirten ayrı bir hata ile reddedilir. Bkz. API Trafiği Sekmesi.
Sorun Giderme
Kullanıcılar ve gruplar geliyor ama kullanıcı-kurum/grup bağı boş
- Açıkla ekranını kullanıcı adıyla çalıştırın; hangi üyelik kaynağının (kullanıcı alanı / grup üye listesi / organizasyon birimi) boş döndüğünü görün.
- Dizin Önizleme'nin Sorunlar sekmesinde I01, I02, I03 veya I04 kodlarını arayın.
- Üyelik nasıl belirlenir? seçimini kontrol edin: Active Directory'de genellikle
memberOfniteliği yeterlidir; gruplarınız organizasyon birimiyse Gruplarımız OU'dur; kullanıcı bulunduğu OU'nun üyesidir seçeneğini kullanın. - Bağlantının Teşhis Modu'nu açın, sonra senkronizasyonu ya da girişi tekrarlayın. LDAP işlem kayıtları geçici olarak ayrıntılı tutulur; böylece sorunun ne zaman oluştuğu görülür.
- Sorun sürüyorsa Kimlik Bilgisi Senkronizasyonu ekranından bu kaynağın Destek paketi'ni indirin.
- İndirilen paketi destek ekibine iletin.
Uyumluluk Matrisi
| Dizin | Durum |
|---|---|
| Active Directory 2012 R2 – 2025 (Samba AD dahil) | Test edilmiş |
| OpenLDAP 2.4 – 2.6 | Test edilmiş (memberOf overlay'i isteğe bağlıdır — yoksa üyelik kaynağı olarak grup üye listesi veya organizasyon birimi ağacı seçin) |
| 389 Directory Server / FreeIPA | İlgili hazır ayarla çalışması beklenir |
| Diğer standart LDAP dizinleri | Alanları elle doldurun ya da yukarıdaki en yakın hazır ayarı uygulayın. Sonra Dizin Önizleme ve Bağlantıyı Test Et adımlarıyla doğrulayın |
Geriye Uyumluluk
Mevcut kayıtlar Üyelik nasıl belirlenir? alanında "Mevcut davranış" seçili gelir ve kurum atamaları değişmez; yeni davranış yalnızca siz seçtiğinizde etkinleşir. API Manager yeni sürüme, API Gateway worker'ları henüz eski sürüme yükseltilmişken, worker'lar eski davranışla çalışmaya devam eder; worker'lar yeniden dağıtıldığında yeni davranışa geçilir.