احراز هویت با LDAP در Grafana

با اتصال Grafana به یک دایرکتوری LDAP از طریق LDAP Authentication ورود کاربران از همان دایرکتوری انجام می‌شود و نقش هرکاربر در Grafana (Admin، Editor یا Viewer) از روی گروه‌های LDAP نگاشت می‌شود.

پیش‌نیازها

• یک سرویس فعال Grafana و دسترسی ادمین
• یک سرور LDAP یا Active Directory در دسترس از شبکه Grafana

برای راه‌اندازی یک سرور OpenLDAP آزمایشی روی هم‌روش، راهنمای ساخت اپ دارکوبی LDAP در دسترس است؛ داده‌های نمونه آن راهنما (ساختار OU، کاربران و گروه‌های آزمایشی) با مقادیر همین راهنما هماهنگ طراحی شده‌اند تا فرایند ادغام به‌صورت کامل از ابتدا تا انتها قابل بررسی باشد.

Grafana تنظیمات دقیق اتصال به LDAP (آدرس سرور، Bind DN، فیلتر جست‌وجو، نگاشت گروه‌ها) را نه از env var، بلکه از یک فایل جداگانه (ldap.toml) می‌خواند؛ ساختار کامل این فایل و نمونه [[servers.group_mappings]] در مرجع رسمی پیکربندی LDAP گرافانا مستند شده است.

این راهنما یکی از روش‌های ممکن برای فعال‌سازی LDAP در Grafana را شرح می‌دهد و روش‌های جایگزین را پوشش نمی‌دهد.

---

گام اول: تنظیم متغیرهای محیطی

از مسیر کنسول هم‌روش > سرویس Grafana > تنظیمات > متغیرهای محیطی، متغیرهای زیر اضافه می‌شوند:

متغیر	توضیحات
GF_AUTH_LDAP_ENABLED	فعال‌سازی احراز هویت LDAP
GF_AUTH_LDAP_CONFIG_FILE	مسیر فایل تنظیمات LDAP
GF_AUTH_LDAP_ALLOW_SIGN_UP	ساخت خودکار کاربر جدید در اولین ورود

GF_AUTH_LDAP_ENABLED=true
GF_AUTH_LDAP_CONFIG_FILE=/etc/grafana/ldap.toml
GF_AUTH_LDAP_ALLOW_SIGN_UP=true

---

گام دوم: ساخت فایل ldap.toml

این فایل از طریق قابلیت «کانفیگ‌ها» سرویس Grafana ساخته می‌شود:

1. در تب تنظیمات و بخش «کانفیگ‌ها»، روی «تنظیم کانفیگ» کلیک می‌شود.
2. مقدار mountPath برابر با /etc/grafana/ldap.toml و subPath برابر با ldap.toml قرار می‌گیرد.
3. فیلد data در واقع معادل بخش data یک ConfigMap در کوبرنتیز است و باید به‌صورت YAML تکمیل شود؛ کلید آن باید دقیقاً برابر با مقدار subPath (یعنی ldap.toml) باشد و محتوای فایل TOML به‌صورت یک مقدار چندخطی (|-) و با تورفتگی زیر همان کلید قرار گیرد:

ldap.toml: |-
  [[servers]]
  host = "ldap.example.com"
  port = 389
  bind_dn = "cn=admin,dc=example,dc=org"
  bind_password = "<bind-password>"
  search_base_dns = ["ou=people,dc=example,dc=org"]
  search_filter = "(uid=%s)"

  group_search_filter = "(&(objectClass=posixGroup)(memberUid=%s))"
  group_search_base_dns = ["ou=groups,dc=example,dc=org"]
  group_search_filter_user_attribute = "uid"

  [servers.attributes]
  name = "givenName"
  surname = "sn"
  username = "uid"
  email = "mail"

  [[servers.group_mappings]]
  group_dn = "cn=admins,ou=groups,dc=example,dc=org"
  org_role = "Admin"

  [[servers.group_mappings]]
  group_dn = "cn=developers,ou=groups,dc=example,dc=org"
  org_role = "Editor"

  [[servers.group_mappings]]
  group_dn = "*"
  org_role = "Viewer"

این نمونه از مکانیزم group_search_filter استفاده می‌کند که برای دایرکتوری‌هایی با گروه از نوع posixGroup (عضویت از طریق attribute مسطح memberUid) مناسب است؛ در این حالت attribute member_of در بخش [servers.attributes] نیازی نیست، چون عضویت کاربر در گروه‌ها با یک جست‌وجوی جداگانه (نه از روی attribute کاربر) تشخیص داده می‌شود. اگر دایرکتوری شما از نوع groupOfNames (عضویت با attribute member حاوی DN کامل کاربر) یا دارای overlay مربوط به memberOf باشد، پیکربندی ساده‌تری کافی است؛ جزئیات هر دو روش در مرجع رسمی پیکربندی LDAP گرافانا آمده است.

4. با کلیک روی «اعمال تغییرات»، فایل ذخیره می‌شود.

هر ردیف [[servers.group_mappings]] یک گروه LDAP را به یک نقش Grafana نگاشت می‌کند. ردیف با group_dn = "*" نقش پیش‌فرض برای کاربرانی است که در هیچ‌کدام از گروه‌های بالاتر نباشند و همیشه باید آخرین ردیف باشد.

پس از هر تغییر در محتوای ldap.toml، سرویس Grafana باید ری‌استارت شود تا تغییرات اعمال شوند؛ از آنجا که این فایل با subPath مانت شده، Kubernetes این تغییرات را به‌صورت خودکار به کانتینر در حال اجرا منتقل نمی‌کند و ری‌استارت واقعی پاد ضروری است.

---

گام سوم: بررسی پیکربندی از پنل ادمین Grafana

پس از فعال‌سازی و ری‌استارت، LDAP به‌عنوان یکی از روش‌های احراز هویت در کنسول ادمین Grafana قابل مشاهده و آزمایش است:

1. از مسیر Administration > Authentication وضعیت LDAP باید Enabled نمایش داده شود. برخلاف SAML و SCIM که مخصوص نسخه Cloud و Enterprise هستند، LDAP در نسخه متن‌باز Grafana هم در دسترس است.

2. با کلیک روی LDAP، همان تنظیمات خوانده‌شده از ldap.toml (Server host، Bind DN، Search filter، Search base DNS و غیره) به‌صورت فقط‌خواندنی نمایش داده می‌شود؛ این صفحه صرفاً برای بررسی و تست است و ویرایش تنظیمات همچنان باید از طریق ldap.toml انجام شود.

3. با دکمه Test، صفحه LDAP Diagnostics باز می‌شود؛ در بخش Test user mapping، با وارد کردن نام‌کاربری یک کاربر واقعی از LDAP و کلیک روی Run، می‌توان بدون نیاز به ورود واقعی، صحت نگاشت اطلاعات کاربر (نام، ایمیل، نام‌کاربری) و همچنین گروه و نقش تخصیص‌یافته به او را بررسی کرد.

این ابزار فقط برای بررسی صحت پیکربندی است و جایگزین ورود واقعی کاربر نیست؛ اما پیش از تست ورود واقعی، راهی سریع برای اطمینان از درستی search_filter، group_search_filter و نگاشت نقش‌هاست.

هنگام ورود، دکمه جداگانه‌ای برای LDAP در صفحه لاگین Grafana نمایش داده نمی‌شود؛ کاربر نام‌کاربری و رمز عبور LDAP خود را در همان فرم اصلی ورود Grafana وارد می‌کند و احراز هویت به‌صورت خودکار و در پس‌زمینه از طریق LDAP انجام می‌شود.