Conector de diretório (Active Directory e LDAP)

Se as pessoas da organização estão num Active Directory local ou num diretório LDAP, um conector de diretório pode lê-las e mantê-las sincronizadas. É a alternativa ao SCIM para quem não usa o Microsoft Entra ID nem o Okta.

O que o conector faz?

• Lê o diretório só para leitura, por LDAPS ou StartTLS (TLS 1.2 ou 1.3), validando o certificado do controlador com a autoridade de certificação da organização.
• Suporta o Active Directory (DirSync) e diretórios LDAPv3 genéricos (OpenLDAP, FreeIPA, 389-DS).
• Envia ao serviço uma fotografia completa e assinada das contas e dos grupos selecionados, em cada ronda agendada.
• Uma conta que deixa de aparecer é desativada e as suas sessões terminam. Nada é apagado.
• Nunca toma conta de contas criadas na consola nem de contas do SCIM, e nunca desativa o último administrador ativo.

Quem instala e opera?

O conector é um processo agendado (authguard-scim-ldap-worker) instalado e operado pela equipa que opera o serviço, perto do seu diretório. A instalação, as credenciais e a monitorização são do operador; não há painel de configuração na consola. Peça-o ao seu fornecedor.

O que tenho de preparar?

1. Uma conta de serviço só de leitura no diretório (ligação simples com palavra-passe guardada num ficheiro protegido) ou um certificado de cliente (SASL EXTERNAL). Ligações anónimas são recusadas.
2. O endereço LDAPS ou StartTLS do controlador e o certificado da sua autoridade de certificação.
3. A base de pesquisa e os filtros das pessoas e dos grupos a sincronizar.
4. A lista dos grupos que quer usar nas políticas.

E a appliance Edge?

O módulo de diretório da appliance Edge ainda não está disponível: a appliance corre hoje apenas o módulo de acesso privilegiado. Ver Configuração e módulos da appliance.

Diretórios grandes

Diretórios grandes são lidos em rondas por páginas. Um diretório que ultrapasse os limites configurados é recusado inteiro, sem truncar; o operador estreita o filtro ou aumenta os limites.