MinIO 支持使用 mc idp ldap 命令指定 AD/LDAP 提供程序设置。

对于分布式部署，mc idp ldap 命令会将配置应用于部署中的所有节点。

以下示例代码设置了与配置用于外部身份管理的 AD/LDAP 提供程序相关的所有配置设置。最少需要设置以下内容：

server_addr

lookup_bind_dn

lookup_bind_password

user_dn_search_base_dn

user_dn_search_filter

mc idp ldap add ALIAS                                                   \
   server_addr="ldaps.example.net:636"                                  \
   lookup_bind_dn="CN=xxxxx,OU=xxxxx,OU=xxxxx,DC=example,DC=net"        \
   lookup_bind_password="xxxxxxxx"                                      \
   user_dn_search_base_dn="DC=example,DC=net"                           \
   user_dn_search_filter="(&(objectCategory=user)(sAMAccountName=%s))"  \
   group_search_filter= "(&(objectClass=group)(member=%d))"             \
   group_search_base_dn="ou=MinIO Users,dc=example,dc=net"              \
   enabled="true"                                                       \
   tls_skip_verify="off"                                                \
   server_insecure=off                                                  \
   server_starttls="off"                                                \
   srv_record_name=""                                                   \
   comment="Test LDAP server"

有关这些设置的更完整文档，请参阅 mc idp ldap。

mc idp ldap 推荐

mc idp ldap 提供了比 mc admin config set 运行时配置设置更强大的功能和改进的验证。 mc idp ldap 支持与 mc admin config 和 identity_ldap 配置键相同的设置。

identity_ldap 配置键可用于现有的脚本和工具。

环境变量

MinIO 支持使用环境变量指定 AD/LDAP 提供程序设置。minio server 进程在下一次启动时应用指定的设置。对于分布式部署，请使用相同的值在部署中的所有节点上指定这些设置。节点之间服务器配置的任何差异都将导致启动或配置失败。

以下示例代码设置了与配置用于外部身份管理的 AD/LDAP 提供程序相关的所有环境变量。最少需要设置以下变量：

export MINIO_IDENTITY_LDAP_SERVER_ADDR="ldaps.example.net:636"
export MINIO_IDENTITY_LDAP_LOOKUP_BIND_DN="CN=xxxxx,OU=xxxxx,OU=xxxxx,DC=example,DC=net"
export MINIO_IDENTITY_LDAP_USER_DN_SEARCH_BASE_DN="dc=example,dc=net"
export MINIO_IDENTITY_LDAP_USER_DN_SEARCH_FILTER="(&(objectCategory=user)(sAMAccountName=%s))"
export MINIO_IDENTITY_LDAP_LOOKUP_BIND_PASSWORD="xxxxxxxxx"
export MINIO_IDENTITY_LDAP_GROUP_SEARCH_FILTER="(&(objectClass=group)(member=%d))"
export MINIO_IDENTITY_LDAP_GROUP_SEARCH_BASE_DN="ou=MinIO Users,dc=example,dc=net"
export MINIO_IDENTITY_LDAP_TLS_SKIP_VERIFY="off"
export MINIO_IDENTITY_LDAP_SERVER_INSECURE="off"
export MINIO_IDENTITY_LDAP_SERVER_STARTTLS="off"
export MINIO_IDENTITY_LDAP_SRV_RECORD_NAME=""
export MINIO_IDENTITY_LDAP_COMMENT="LDAP test server"

有关这些变量的完整文档，请参阅 Active Directory/LDAP 设置

MinIO 控制台

MinIO 支持使用 MinIO 控制台指定 AD/LDAP 提供程序设置。对于分布式部署，从控制台配置 AD/LDAP 会将配置应用于部署中的所有节点。

以 root 用户或具有 consoleAdmin 策略的 MinIO 用户身份登录 MinIO 控制台。
在“身份”部分，选择“LDAP”，然后选择“编辑配置”以配置 Active Directory 或 LDAP 服务器。最少需要设置以下内容：
- 服务器地址
- 查找绑定 DN
- 查找绑定密码
- 用户 DN 搜索基础
- 用户 DN 搜索筛选器
并非所有配置选项都可以在 MinIO 控制台中使用。对于其他设置，请使用 mc idp ldap 或环境变量。

2) 重新启动 MinIO 部署

必须重新启动 MinIO 部署才能应用配置更改。

如果从 MinIO 控制台配置了 AD/LDAP，则无需执行任何其他操作。MinIO 控制台将在保存新的 AD/LDAP 配置后自动重新启动部署。

对于 MinIO 客户端和环境变量配置，请使用 mc admin service restart 命令重新启动部署

mc admin service restart ALIAS

将 ALIAS 替换为要重新启动的部署的别名。

3) 使用 MinIO 控制台使用 AD/LDAP 凭据登录

MinIO 控制台支持对 AD/LDAP 提供程序进行身份验证、使用 MinIO AssumeRoleWithLDAPIdentity 安全令牌服务 (STS) 端点生成临时凭据以及将用户登录到 MinIO 部署的完整工作流。

可以通过打开 MinIO 集群的根 URL 来访问控制台。例如，https://minio.example.net:9000。

登录后，您可以执行已授权认证用户执行的任何操作。授权

您还可以为必须在 MinIO 上执行操作的支持应用程序创建访问密钥。访问密钥是长期有效的凭据，它们继承自父用户的权限。父用户可以在创建服务帐户时进一步限制这些权限。

4) 使用 AD/LDAP 凭据生成兼容 S3 的临时凭据

MinIO 要求客户端使用 AWS 签名版本 4 协议（并支持已弃用的签名版本 2 协议）进行身份验证。具体来说，客户端必须提供有效的访问密钥和密钥才能访问任何 S3 或 MinIO 管理 API，例如 PUT、GET 和 DELETE 操作。

应用程序可以使用 AssumeRoleWithLDAPIdentity 安全令牌服务 (STS) API 端点和 AD/LDAP 用户凭据按需生成临时访问凭据。MinIO 提供了一个示例 Go 应用程序 ldap.go 来管理此工作流。

POST https://minio.example.net?Action=AssumeRoleWithLDAPIdentity
&LDAPUsername=USERNAME
&LDAPPassword=PASSWORD
&Version=2011-06-15
&Policy={}

将 LDAPUsername 替换为 AD/LDAP 用户的用户名。
将 LDAPPassword 替换为 AD/LDAP 用户的密码。
将 Policy 替换为进一步限制与临时凭据关联的权限的内联 URL 编码 JSON 策略。

省略以使用与 AD/LDAP 用户的区分名称 (DN) 匹配的策略。

API 响应包含一个 XML 文档，其中包含访问密钥、密钥、会话令牌和过期日期。应用程序可以使用访问密钥和密钥访问 MinIO 并对其执行操作。

请参阅AssumeRoleWithLDAPIdentity 获取参考文档。

禁用已配置的活动目录/LDAP 连接

RELEASE.2023-03-20T20-16-18Z 版本新增功能。

您可以根据需要启用和禁用已配置的 AD/LDAP 连接。

使用mc idp ldap disable 取消激活已配置的连接。使用mc idp ldap enable 激活之前配置的连接。

您也可以在MinIO 控制台中启用或禁用 AD/LDAP。