Nextcloud LDAP 및 Active Directory 로그인 설정

Nextcloud에서 LDAP 또는 Active Directory 계정을 사용하려면 "LDAP 사용자 및 그룹 백엔드" 앱을 활성화하고 디렉터리 연결을 구성한 다음, 직원들이 해당 계정을 사용하기 전에 사용자, 로그인 및 그룹 필터를 테스트하십시오. Nextcloud의 LDAP 통합은 디렉터리에 대한 인증을 수행하며 디렉터리 계정을 생성하거나 관리하지 않습니다. 읽기 전용 서비스 계정과 소규모의 알려진 테스트 그룹으로 시작하여 누가 표시되고 누가 로그인할 수 있는지 정확하게 확인하십시오.

다음 단계는 Nextcloud 35 관리 설명서를 따릅니다. 메뉴 레이블과 패키지는 버전에 따라 다를 수 있으므로, 설치된 버전의 설명서를 참조하여 내용이 다른지 확인하십시오.

디렉토리 연결을 준비하세요

Nextcloud 설정을 열기 전에 LDAP 또는 AD 관리자에게 디렉터리 호스트 이름, 암호화 연결 방식, 포트, 기본 DN, 그리고 필요한 사용자 및 그룹 트리를 검색할 수 있는 바인드 계정을 문의하십시오. 바인드 계정은 Nextcloud에서 디렉터리 레코드를 조회하는 데 사용되며, 각 사용자의 로그인 자격 증명과는 별개입니다. Nextcloud에서는 전용 검색 계정을 사용하는 것을 권장하는 방법으로 안내하고 있습니다.

인증서 검증을 포함한 암호화된 연결을 사용하십시오. Nextcloud는 LDAPS 기본 포트로 636을 사용합니다. Nextcloud 서버의 PHP 환경은 디렉터리 인증서를 신뢰해야 하며, 인증서 검증을 비활성화하는 것은 일반적인 해결 방법이 아닙니다. 표준이 아닌 전송 방식이나 포트를 사용하는 경우 디렉터리 관리자에게 확인하십시오.

PHP LDAP 모듈이 설치되어 있는지(일반적으로 패키지 형태로 제공됨 php-ldap) 그리고 Nextcloud 서버가 선택한 포트를 통해 해당 디렉터리에 접근할 수 있는지 확인하십시오. 컨테이너 및 관리형 배포 환경에서는 지원되는 설치 방법이 다를 수 있습니다.

LDAP 백엔드를 활성화하고 서버에 연결하세요.

1. 관리자 권한으로 Nextcloud에 로그인하세요. 앱을 열고 LDAP 사용자 및 그룹 백엔드가 활성화되어 있지 않으면 활성화하세요 . 에서 사용하는 애플리케이션 ID는 occ입니다 user_ldap.
2. LDAP/AD 통합 관리 설정을 열고 새 서버 구성을 시작하세요. 먼저 서버 탭을 완료하십시오. Nextcloud는 이 탭을 사용하여 디렉터리 연결을 테스트하고 다른 탭에 필요한 설정을 감지합니다.
3. 디렉터리 호스트 또는 ldaps://URI, 포트 번호가 감지되지 않으면 포트 번호, 바인드 계정의 전체 고유 이름(DN), 암호, 그리고 기본 DN을 입력하십시오. 기본 DN은 Nextcloud가 디렉터리 트리에서 검색하는 부분을 식별합니다. 예를 들어, dc=example,dc=com는 형식이며, 디렉터리와 일치하는 경우에만 복사해야 하는 값입니다.
4. 연결 테스트를 실행하십시오. 검색에서 기본 DN 또는 포트를 찾지 못하면 디렉터리 관리자가 제공한 값을 입력하십시오. 테스트를 통과시키기 위해 기본 DN을 확장하지 마십시오. 의도한 사용자와 그룹이 포함된 가장 작은 디렉터리 하위 트리를 사용하십시오.

녹색 서버 표시등은 Nextcloud가 해당 연결 설정을 사용하여 디렉터리와 통신할 수 있음을 의미합니다. 하지만 이는 올바른 사용자가 로그인할 수 있거나 그룹 멤버십이 정확하게 매핑되었음을 보장하는 것은 아닙니다. 통합이 완료되었다고 간주하기 전에 사용자, 로그인 및 그룹 설정을 계속 진행하십시오.

로그인 가능한 계정을 제한합니다.

사용자 탭을 사용하여 Nextcloud에서 사용할 LDAP 레코드를 정의할 수 있습니다. 로그인 속성을 사용하여 로그인 화면에서 사용자가 입력할 수 있는 속성을 결정할 수 있습니다. 이 두 가지 제어는 별개입니다. 사용자는 로그인 권한이 없더라도 디렉터리에서 검색될 수 있으며, 로그인 필터를 통해 로그인 허용 여부를 설정할 수 있습니다.

Active Directory의 경우, Nextcloud 설정에서 사용자 이름 속성을 포함한 일반적인 설정을 자동으로 감지할 수 있습니다. 일반적으로 sAMAccountNameActive Directory와 uid많은 LDAP 디렉터리에 기본 사용자 이름 속성이 저장되어 있습니다. 감지된 값을 실제 테스트 계정과 비교하여 확인하십시오. 이메일 주소로 로그인해야 하는 경우, 이메일 속성이 제대로 입력되어 있고 허용된 모든 계정에 대해 고유한지 확인한 후에만 이메일 속성을 선택하십시오.

가능하면 특정 Nextcloud 그룹에 대한 액세스만 허용하십시오. 그룹 선택기 또는 자체 객체 클래스, 그룹 DN 및 속성을 기준으로 테스트된 필터를 사용하십시오. 샘플 필터를 그대로 복사하지 마십시오. 잘못된 필터는 사용자를 전혀 반환하지 않거나 의도치 않게 더 넓은 범위의 사용자를 반환할 수 있습니다.

그룹 에서 디렉터리의 그룹 객체 클래스와 노출할 그룹을 선택합니다. 구성하기 전까지는 기본적으로 아무것도 표시되지 않습니다. 중첩된 AD 그룹의 경우, Nextcloud 문서에 따르면 "중첩 그룹" 옵션만으로는 충분하지 않을 수 있으며, 사용자 및 로그인 필터에 AD의 일치 규칙이 필요할 수 있습니다. 디렉터리 관리자에게 이 동작을 확인하고 중첩된 멤버를 테스트해 보세요.

제품 출시 전에 테스트용 ID를 사용하세요.

1. 고급 설정을 검토할 때 이해하지 못하는 옵션은 변경하지 마십시오. 특히, 표시 이름을 제공하는 필드를 결정하고 내부 사용자 이름 규칙은 그대로 두십시오.
2. 구성 활성 상태를 확인하십시오 . Nextcloud는 구성이 비활성화된 경우 "잘못된 비밀번호"라는 오해의 소지가 있는 메시지와 함께 인증이 실패할 수 있다고 경고합니다. 테스트가 성공적으로 완료되면 일반적으로 자동으로 활성화됩니다.
3. 테스트 구성을 사용한 다음 저장하세요. 이 버튼은 필드에 현재 입력된 값을 테스트하므로 테스트 전에 저장할 필요는 없습니다.
4. Nextcloud 사용자 페이지를 열고 예상되는 샘플 사용자 및 그룹이 표시되는지 확인합니다. 그런 다음 허용된 디렉터리 계정 하나와 제외해야 할 계정 하나를 사용하여 로그인 테스트를 진행합니다.
5. 허용된 계정의 표시 이름, 그룹 멤버십 및 할당량 동작이 올바른지 확인하십시오. 프로필 속성 또는 LDAP 할당량이 구성된 경우, 전체 배포 전에 테스트 사용자를 통해 확인하십시오.

명령줄 검사를 하려면 먼저 명령어를 사용하여 구성 ID를 찾으십시오 occ ldap:show-config. 그런 다음 해당 ID를 대신하여 문서화된 테스트 명령을 실행하십시오.

sudo -E -u www-data php occ ldap:test-config s01
sudo -E -u www-data php occ ldap:test-user-settings "USER_DN"

설치 환경에 맞게 명령 경로와 웹 서버 계정을 조정하십시오. 컨테이너 사용자는 해당 이미지의 occ절차를 따르십시오. 첫 번째 명령은 바인딩을 테스트하고, 두 번째 명령은 특정 사용자의 매핑을 검사합니다.

통합 과정에서 변하지 않는 것이 무엇인지 알아두세요.

LDAP 백엔드는 디렉터리 계정을 읽어올 뿐, 생성, 편집 또는 삭제하지는 않습니다. Nextcloud에서 비밀번호를 변경하는 것은 선택 사항이며, 디렉터리 지원 및 구성에 따라 달라집니다. 그렇지 않은 경우 사용자는 조직의 일반적인 비밀번호 재설정 절차를 따라야 합니다.

Nextcloud는 내부 매핑을 저장하며, 내부 사용자 이름은 사실상 변경할 수 없습니다. 이러한 사용자 이름은 홈 폴더 경로 및 DAV URL에 나타날 수 있습니다. 사용자 등록 전에 안정적인 식별자를 선택하십시오. 문제 해결을 위한 지름길로 프로덕션 인스턴스에서 LDAP 매핑을 삭제하지 마십시오. 참조가 남아 모든 LDAP 구성에 영향을 미칠 수 있습니다.

테스트에 실패하면 Nextcloud 로그, DNS, 포트 액세스, 바인딩 자격 증명, 기본 DN 및 인증서 신뢰도를 확인하십시오. 사용자가 표시되지 않으면 사용자 필터와 객체 클래스를 검토하고, 사용자가 표시되지만 로그인할 수 없으면 로그인 속성과 활성 상태를 검토하십시오. 허용된 계정으로 로그인하여 제외된 계정이 거부되었는지 확인하는 방식으로 검증하십시오.

참고 자료: Nextcloud 35 LDAP 인증 문서 , Nextcloud 35 LDAP occ 명령 및 Nextcloud PHP 모듈 요구 사항 .