Série Zyxel USG FLEX H — Configuration du DN de base de recherche et du DN de liaison pour l'authentification Active Directory

Lorsqu'un pare-feu Zyxel utilise Active Directory (AD) pour l'authentification des utilisateurs, il doit se connecter au serveur AD et trouver correctement les comptes utilisateurs.

Deux paramètres importants sont utilisés pour cette connexion :

• Search Base DN — définit l'emplacement où le pare-feu recherche les comptes utilisateurs.
• Base DN de liaison — définit l'emplacement du compte d'authentification dans Active Directory.

Cet article explique le fonctionnement de ces paramètres et présente deux exemples de configuration courants :

1. Le compte utilisateur pour l'authentification Active Directory se trouve dans l'unité d'organisation (OU) par défaut « Users ».
2. Le compte utilisateur pour l'authentification Active Directory ne se trouve pas dans l'unité d'organisation (OU) par défaut « Utilisateurs ». Dans ce cas, vous devez configurer le paramètre facultatif Base DN de liaison dans les Paramètres avancés.

Scénario 1 — Utilisateur situé dans l'unité d'organisation (OU) « Utilisateurs » par défaut

Si le compte utilisateur pour l'authentification Active Directory se trouve dans l'unité d'organisation (OU) par défaut « Users », vous n'avez pas besoin de configurer le paramètre facultatif Bind DN Base.

Dans cet exemple, le compte de liaison zyxel_test est stocké dans le conteneur Users par défaut dans Active Directory.

Exemple :

CN=zyxel_test,OU=IT,DC=example,DC=local

Sur le serveur Active Directory :

1. Ouvrez :
   • Utilisateurs et ordinateurs Active Directory
2. Recherchez le compte de service LDAP
3. Ouvrez :
   • Propriétés → Éditeur d'attributs
4. Recherchez l'attribut :
   • distinguishedName

Configurer le serveur AAA sur le pare-feu

Après avoir vérifié le compte de service LDAP sur le serveur Active Directory, configurez le profil du serveur AAA sur le pare-feu.

1. Accédez à :

   Utilisateur et authentification > Authentification utilisateur > Serveur AAA

2. Cliquez sur Ajouter pour créer un nouveau profil de serveur AAA.
3. Configurez les paramètres suivants :

4. Cliquez sur Paramètres avancés.
5. Laissez le champ « Bind DN Base » vide, car le compte se trouve dans le conteneur « Users » par défaut.
6. Dans la section Validation de la configuration:
   • Entrez un compte utilisateur de domaine
   • Cliquez sur Tester

Si la configuration est correcte, le pare-feu affiche :

État du test : OK

La section Attributs utilisateur renvoyés affichera les informations utilisateur LDAP récupérées depuis le serveur Active Directory.

Scénario 2 — Utilisateur non présent dans l'unité d'organisation (OU) « Users » par défaut

Si le compte utilisateur pour l'authentification Active Directory ne se trouve pas dans l'unité d'organisation (OU) « Utilisateurs » par défaut, vous devez configurer le paramètre facultatif Base DN de liaison.

Dans cet exemple, le compte de liaison zyxel_test est stocké dans l'unité d'organisation (OU) « IT » d'Active Directory.

Exemple :

CN=zyxel_test,OU=IT,DC=example,DC=local

Sur le serveur Active Directory

1. Ouvrez :

   Utilisateurs et ordinateurs Active Directory

2. Recherchez le compte de service LDAP.

3. Ouvrez :

   Propriétés → Éditeur d'attributs

4. Recherchez l'attribut :

   distinguishedName

5. Vérifiez que le DN contient le chemin d'accès OU requis.

Configurer le serveur AAA sur le pare-feu

Après avoir vérifié le nom distinctif (DN) sur le serveur Active Directory, configurez le profil du serveur AAA sur le pare-feu.

1. Accédez à :

   Utilisateur et authentification > Authentification utilisateur > Serveur AAA

2. Cliquez sur Ajouter pour créer un nouveau profil de serveur AAA.
3. Configurez les paramètres suivants :

Comme le compte de service LDAP se trouve en dehors du conteneur Users par défaut, le pare-feu ne peut pas déterminer automatiquement le chemin de recherche LDAP correct.

Lors de la validation de la configuration, le pare-feu peut renvoyer l'erreur suivante :

État du test : syntaxe DN non valide

Dans ce cas, vous devez configurer manuellement le paramètre Bind DN Base en indiquant le chemin d'accès correct à l'unité organisationnelle (OU).