将 LDAP 与郁金香集成

目的

下面介绍 Tulip 账户所有者如何使用 LDAP 管理其账户中的用户。

在本文中，你将了解到

• Tulip 如何连接到活动目录实例
• 配置活动目录集成的不同方法
• 活动目录集成的技术要求

Tulip 目前通过 LDAP 协议集成了微软的活动目录产品。如果您的组织使用活动目录，那么您可以根据活动目录的规则管理 Tulip 用户。

:::(Info) (注）此功能仅适用于 "专业 "和 "企业 "计划：

Tulip 用户概述

Tulip 有两种不同的用户界面：

1. Tulip，在此创建和编辑应用程序，并可连接到外部数据库
2. Tulip 播放器，用户和操作员在此运行在 Tulip 中创建的应用程序

用户的权限级别由用户角色定义。

Tulip 有多级用户权限。有关这些角色的信息，请参阅管理 Tulip 中的用户角色

1. 账户所有者和其他列出的各种角色有能力编辑 Tulip 中的应用程序
2. 操作员只能通过 Tulip 播放器运行应用程序。他们不能编辑应用程序或访问 Tulip 界面。

LDAP 集成选项

要将 LDAP 与 Tulip 集成，可以根据 Active Directory 组管理用户角色，也可以从 Tulip 内部管理用户角色：

• 从 Active Directory 组管理用户角色：您需要根据活动目录服务器上用户所需的权限级别对用户进行适当分组，并向 Tulip 系统管理员提供适当的映射（例如：A 组 = 账户所有者）。这意味着授权和身份验证都由 IdP 决定。
• 从 Tulip 管理用户角色：您需要在 Tulip 内部手动添加每个用户，并为其指定用户角色，然后让他们使用活动目录中的确切用户名创建账户。这意味着只有身份验证是由 IdP 控制的。

有四种不同的集成配置方式：

如果操作员由 IdP 管理

1. 要求所有 Tulip 用户使用其 Active Directory 用户名和密码登录 Tulip 或 Tulip Player。根据 Active Directory 组指定 Tulip 中的角色。通过 LDAP 授权和验证。
2. 要求所有 Tulip 用户使用其 Active Directory 用户名和密码登录 Tulip 或 Tulip Player。角色在 Tulip 中维护。仅通过 LDAP 进行身份验证。

如果操作员不在您的 IdP 中管理

1. 允许 Tulip 操作员仅使用其徽章 ID 登录 Tulip Player，但要求 Tulip 账户所有者和其他角色使用其 Active Directory 用户名和密码登录 Tulip。Tulip 中的角色是根据 Active Directory 组指定的。通过 LDAP 进行授权和验证。
2. 允许 Tulip 操作员仅使用其徽章 ID 登录 Tulip 播放器，但要求 Tulip 帐户所有者和其他角色使用其 Active Directory 用户名和密码登录 Tulip。角色在 Tulip 中维护。仅通过 LDAP 进行身份验证。

您可以根据贵组织的安全协议选择配置选项。请注意，强制所有 Tulip 用户使用 Active Directory 用户名和密码是最安全的选择。

协调 Tulip 用户和 LDAP 用户

从 Tulip 内部管理用户角色

如果贵组织选择从 Tulip 内部管理用户角色，Tulip 账户所有者首先需要创建一个新用户，然后必须添加一个与其LDAP 用户名相匹配的Tulip 用户名。任何电子邮件都可以接受。

当该 Tulip 用户尝试登录时，他们需要在 "用户名 "字段中添加 LDAP 用户名，并在 "密码 "字段中添加密码。然后，Tulip 将在活动目录实例中对其进行身份验证。登录屏幕如下所示：

在这种情况下，Tulip 系统管理员将根据你提供的信息添加第一个 Tulip 用户。

从 Active Directory 组管理用户角色

如果贵组织选择根据 Active Directory 组定义 Tulip 角色，则无需在 Tulip 中创建单个用户。相反，您可以提供用户组的名称及其映射的 Tulip 用户角色。

当用户首次使用活动目录凭据登录 Tulip 时，Tulip 将通过活动目录实例对其进行身份验证，然后自动在 Tulip 中创建一个账户。如前所述，他们的功能将取决于他们的活动目录组以及您定义的该组的映射角色。

如果选择允许 Tulip 操作员使用徽章 ID 登录的配置选项，Tulip 播放器中的操作员登录屏幕将如下所示：

技术要求

要配置 LDAP 连接，您需要提供自己的 LDAP 服务器（Tulip 服务器可以访问），并提供以下信息：

• 服务器地址（例如ldaps://xxx.xxx.xxx:636）
• 要搜索的 "区分名称"（例如dc=tulip,dc=co）
• 用于签署 LDAP 服务器证书的证书颁发机构

您的 IT 系统管理员应该很容易提供这些信息。

小结

要为你的 Tulip 账户配置 LDAP 集成，请先联系你的客户代表并提供以下信息：

1. 您希望使用前面提到的 4 种身份验证方法中的哪一种。
2. 如果适用：活动目录组及其所需的 Tulip 用户角色映射列表
3. 上一节中的技术要求。
4. 您希望进行更改的时间窗口。请注意，更改时所有客户都将注销，每个人都需要重新认证 Tulip 网站。