Giao diện
LDAP / Active Directory
Tích hợp xác thực và đồng bộ người dùng với máy chủ LDAP hoặc Active Directory.
Quyền truy cập: adminĐiều hướng: Từ phiên bản 8.11, LDAP nhúng trong Cài đặt > Tài khoản & đăng nhập > tab "LDAP / Active Directory" (cùng trang với SSO Providers và Nhật ký SSO). Vẫn hỗ trợ truy cập trực tiếp /manage/settings/ldap. Xem tổng quan tích hợp tại SSO.
Tổng quan
Hệ thống hỗ trợ tích hợp LDAP (Lightweight Directory Access Protocol) cho phép kết nối với máy chủ Active Directory hoặc OpenLDAP để:
- Xác thực người dùng bằng thông tin đăng nhập LDAP.
- Đồng bộ tự động danh sách người dùng từ thư mục LDAP.
- Đồng bộ cấu trúc tổ chức (đơn vị, phòng ban).
- Ánh xạ thuộc tính LDAP sang thông tin tài khoản Noova.
Mỗi tổ chức (company) có cấu hình LDAP riêng biệt, hỗ trợ mô hình SaaS đa thuê bao (multi-tenant).
Cấu hình máy chủ
Thông tin kết nối
| Trường | Bắt buộc | Mô tả | Giá trị mặc định |
|---|---|---|---|
| Bật LDAP | Không | Bật/tắt tích hợp LDAP | Tắt |
| URL máy chủ | Có | Địa chỉ LDAP server (ldap:// hoặc ldaps://) | - |
| Cổng | Có | Cổng kết nối | 389 |
| Bind DN | Có | Distinguished Name để xác thực kết nối | - |
| Bind Password | Có | Mật khẩu của Bind DN | - |
| Search Base DN | Có | DN gốc để tìm kiếm | - |
Bảo mật TLS
| Trường | Mô tả | Giá trị mặc định |
|---|---|---|
| Sử dụng TLS/SSL | Bật kết nối mã hoá TLS - bắt buộc khi bật LDAP (từ 8.11) | Bật |
| Từ chối chứng chỉ không hợp lệ | Từ chối chứng chỉ SSL tự ký | Tắt |
Bảo mật 8.11: TLS giờ bắt buộc khi bật LDAP. Server cấm chấp nhận kết nối plain
ldap://(port 389) nếuuseTls=falsevàenabled=true. Phải dùngldaps://(port 636) hoặc StartTLS qua port 389.
Cấu hình tìm kiếm người dùng
| Trường | Mô tả | Giá trị mặc định |
|---|---|---|
| User Base DN | DN gốc để tìm kiếm người dùng | - |
| User Search Filter | Bộ lọc tìm kiếm LDAP | (objectClass=person) |
| User Search Scope | Phạm vi tìm kiếm | sub (toàn bộ cây con) |
| User Attributes | Danh sách thuộc tính cần lấy | dn, cn, sn, givenName, mail, telephoneNumber, sAMAccountName, uid, employeeNumber, title, department, manager, memberOf |
Phạm vi tìm kiếm (Scope)
| Giá trị | Mô tả |
|---|---|
| base | Chỉ tìm kiếm tại chính DN gốc |
| one | Tìm kiếm trực tiếp bên dưới DN gốc (1 cấp) |
| sub | Tìm kiếm toàn bộ cây con (đệ quy) |
Cấu hình nhóm và đơn vị tổ chức
Nhóm (Group)
| Trường | Mô tả | Giá trị mặc định |
|---|---|---|
| Group Base DN | DN gốc để tìm nhóm | - |
| Group Search Filter | Bộ lọc tìm nhóm | (objectClass=group) |
| Group Search Scope | Phạm vi tìm kiếm nhóm | sub |
Đơn vị tổ chức (Org Unit)
| Trường | Mô tả | Giá trị mặc định |
|---|---|---|
| Org Unit Base DN | DN gốc để tìm đơn vị tổ chức | - |
| Org Unit Search Filter | Bộ lọc tìm đơn vị | (objectClass=organizationalUnit) |
Đồng bộ dữ liệu
Cấu hình đồng bộ
| Trường | Mô tả | Giá trị mặc định |
|---|---|---|
| Bật đồng bộ tự động | Cho phép hệ thống tự động đồng bộ định kỳ | Tắt |
| Chu kỳ đồng bộ | Thời gian giữa các lần đồng bộ (mili giây) | 3600000 (1 giờ) |
| Đồng bộ khi khởi động | Tự động đồng bộ khi server khởi động | Tắt |
| Tạo người dùng mới | Tạo tài khoản Noova cho người dùng LDAP chưa có | Bật |
| Cập nhật người dùng | Cập nhật thông tin tài khoản từ LDAP | Bật |
| Vô hiệu hóa người dùng | Khóa tài khoản không còn trong LDAP | Tắt |
| Đồng bộ cấu trúc tổ chức | Đồng bộ đơn vị, phòng ban từ LDAP | Tắt |
Thông tin đồng bộ gần nhất
| Trường | Mô tả |
|---|---|
| Thời gian đồng bộ cuối | Thời điểm lần đồng bộ gần nhất |
| Trạng thái | Thành công, Thất bại, Một phần |
| Thông báo | Chi tiết về kết quả đồng bộ |
| Số lượng người dùng | Số người dùng đã đồng bộ trong lần gần nhất |
Xác thực LDAP
| Trường | Mô tả | Giá trị mặc định |
|---|---|---|
Bật xác thực LDAP (authEnabled) | Cho phép đăng nhập bằng thông tin LDAP | Tắt |
Quay về xác thực local (fallbackToLocal) | Nếu LDAP thất bại, thử xác thực bằng tài khoản local | Bật |
Tạo tài khoản khi đăng nhập (createAccountOnLogin) | Tự động tạo tài khoản Noova khi đăng nhập LDAP lần đầu | Bật |
Tự tạo hồ sơ nhân sự khi đăng nhập lần đầu (autoCreateEmployee, 8.11) | Tự insert bản ghi Employees với fullName + email + employeeNumber từ LDAP | Tắt |
Tắt đăng nhập bằng Email/Mật khẩu (chỉ cho phép LDAP) (passwordLoginDisabled, 8.11) | Ép tất cả user trong tenant chỉ login qua LDAP - disable password form trên trang đăng nhập | Tắt |
8.11 - Cảnh báo passwordLoginDisabled: Bật cờ này tương đương với "lock-down LDAP-only". Đảm bảo ít nhất 1 admin có thể login qua LDAP trước khi bật, nếu không sẽ tự khoá mình ra ngoài hệ thống. Có thể tắt lại qua DB nếu bị khoá.
Ánh xạ thuộc tính
Ánh xạ thuộc tính LDAP sang các trường thông tin tài khoản trên hệ thống:
| Trường Noova | Thuộc tính LDAP mặc định | Mô tả |
|---|---|---|
| Username | sAMAccountName | Tên đăng nhập |
| Địa chỉ email | ||
| Tên | givenName | Tên (first name) |
| Họ | sn | Họ (last name) |
| Họ và tên | cn | Tên đầy đủ |
| Điện thoại | telephoneNumber | Số điện thoại |
| Mã nhân viên | employeeNumber | Mã số nhân viên |
| Chức danh | title | Chức danh công việc |
| Phòng ban | department | Phòng ban/bộ phận |
| Quản lý | manager | DN của người quản lý trực tiếp |
Lưu ý
- Cấu hình LDAP yêu cầu quyền
admin. - Mỗi tổ chức có cấu hình LDAP riêng biệt (multi-tenant).
- URL máy chủ phải bắt đầu bằng
ldap://hoặcldaps://. Từ 8.11 bắt buộc TLS khi bật LDAP. - Khi bật "Vô hiệu hoá người dùng" (
deactivateUsers), các tài khoản không còn trong LDAP sẽ bị khoá trên hệ thống Noova. - Nên bật "Quay về xác thực local" (
fallbackToLocal) để đảm bảo quản trị viên vẫn đăng nhập được khi máy chủ LDAP gặp sự cố. Chỉ tắt fallback khi đã chắc chắn LDAP ổn định. - Để LDAP login hoạt động, phải bật cả 2 chỗ: (1) Tab "SSO Providers" → chính sách chung → Cho phép đăng nhập bằng LDAP; (2) Tab LDAP → Bật LDAP + Bật xác thực LDAP.
- Thay đổi cấu hình đồng bộ có hiệu lực ngay sau khi lưu.
- ldapjs 3.x có một số edge case socket emit unhandled error - server có safety net process-level swallow ECONNREFUSED/ECONNRESET/ETIMEDOUT từ ldapjs stack để không crash. Lỗi vẫn được log với prefix
[APIv1] swallowed ldapjs socket error.
Xem thêm
SSO - Đăng nhập một lần - Tổng quan tích hợp SSO (OIDC/SAML/Google/Microsoft) cùng LDAP
Vai trò và phân quyền - Cấp quyền cho user sync từ LDAP
Cài đặt chung - Thiết lập giao diện website
Quản lý dịch vụ - Thanh toán, Email, Tên miền, Bảo mật, API