Документация Grafana Документация GlaberGraph Настройка Настройка управления доступом Настройка аутентификации Расширенная интеграция LDAP

Настройка расширенной интеграции LDAP

Расширенная интеграция LDAP добавляет дополнительную функциональность поверх интеграции LDAP, доступной в редакции Grafana с открытым исходным кодом.

Чтобы управлять доступом пользователей с помощью разрешений на основе ролей, см. управление доступом на основе ролей.

Синхронизация групп LDAP для команд

С расширенной интеграцией LDAP вы можете настроить синхронизацию между группами LDAP и командами. Это позволяет пользователям LDAP, которые являются членами определённых групп LDAP, автоматически добавляться или удаляться как участники определённых команд в Grafana.

Grafana отслеживает всех синхронизированных пользователей в командах, и вы можете увидеть, какие пользователи были синхронизированы из LDAP, в списке участников команды, см. метку LDAP на скриншоте. Этот механизм позволяет Grafana удалять существующего синхронизированного пользователя из команды, когда меняется его членство в группе LDAP. Этот механизм также позволяет вам вручную добавить пользователя как участника команды, и он не будет удалён, когда пользователь войдёт в систему. Это даёт вам гибкость для комбинирования членства в группах LDAP и членства в командах Grafana.

Узнать больше о синхронизации команд.

Активная синхронизация LDAP

В версии Grafana с открытым исходным кодом данные пользователей из LDAP синхронизируются только во время процесса входа при аутентификации с помощью LDAP.

С активной синхронизацией LDAP вы можете настроить Grafana на активную синхронизацию пользователей с серверами LDAP в фоновом режиме. Синхронизируются только пользователи, которые входили в Grafana хотя бы один раз.

Пользователям с обновлённой ролью и членством в командах потребуется обновить страницу, чтобы получить доступ к новым возможностям.

Удалённые пользователи автоматически выходят из системы, а их учётная запись отключается. Эти учётные записи отображаются на странице Server Admin > Users с меткой disabled. Отключённые пользователи сохраняют свои пользовательские разрешения на дашборды, папки и источники данных, поэтому если вы вернёте их в свою базу данных LDAP, у них будет доступ к приложению с теми же пользовательскими разрешениями, что и раньше.

Bash Copy

[auth.ldap]
...

# You can use the Cron syntax or several predefined schedulers -
# @yearly (or @annually) | Run once a year, midnight, Jan. 1st        | 0 0 1 1 *
# @monthly               | Run once a month, midnight, first of month | 0 0 1 * *
# @weekly                | Run once a week, midnight between Sat/Sun  | 0 0 * * 0
# @daily (or @midnight)  | Run once a day, midnight                   | 0 0 * * *
# @hourly                | Run once an hour, beginning of hour        | 0 * * * *
sync_cron = "0 1 * * *" # This is default value (At 1 am every day)
# This cron expression format uses 5 space-separated fields, for example
# sync_cron = "*/10 * * * *"
# This will run the LDAP Synchronization every 10th minute, which is also the minimal interval between the Grafana sync times i.e. you cannot set it for every 9th minute

# You can also disable active LDAP synchronization
active_sync_enabled = true # enabled by default

Конфигурация с единственной привязкой (single bind) (как в Примере единственной привязки) не поддерживается с активной синхронизацией LDAP, поскольку Grafana нужна информация о пользователе для выполнения поиска в LDAP.

Чтобы синхронизация работала, servers.search_filter и servers.attributes.username в файле конфигурации ldap.toml должны совпадать. По умолчанию servers.attributes.username равно cn, поэтому если вы используете другой атрибут в качестве фильтра поиска, вы также должны обновить атрибут имени пользователя.

Например:

Copy

[[servers]]
search_filter = "(sAMAccountName=%s)"

[servers.attributes]
username  = "sAMAccountName"

Если атрибуты не совпадают, сессии пользователей будут завершаться после каждой синхронизации. Это происходит потому, что поиск будет выполняться с использованием значения имени пользователя, а это значение не существует для атрибута, используемого в фильтре поиска.