احراز هویت با LDAP در راکت‌چت

با اتصال RocketChat به پروتکل دسترسی به دایرکتوری سبک (LDAP)، مدیریت کاربران به یک دایرکتوری مرکزی سازمانی (مثل Active Directory یا OpenLDAP) منتقل می‌شود. به این ترتیب ورود کاربران به RocketChat با همان نام‌کاربری و رمز عبور دایرکتوری سازمانی انجام می‌شود و نیازی به ساخت و مدیریت جداگانه حساب کاربری در RocketChat نیست.

پیش‌نیازها

• یک سرویس فعال RocketChat و دسترسی ادمین
• یک سرور LDAP یا Active Directory در دسترس از شبکه RocketChat

برای راه‌اندازی یک سرور OpenLDAP آزمایشی روی هم‌روش، راهنمای ساخت اپ دارکوبی LDAP در دسترس است؛ داده‌های نمونه آن راهنما (ساختار OU، کاربران و گروه‌های آزمایشی) با مقادیر همین راهنما هماهنگ طراحی شده‌اند تا فرایند ادغام به‌صورت کامل از ابتدا تا انتها قابل بررسی باشد.

این راهنما یکی از روش‌های ممکن برای فعال‌سازی LDAP در راکت‌چت را شرح می‌دهد و روش‌های جایگزین را پوشش نمی‌دهد.

---

گام اول: تنظیم اتصال به سرور LDAP

تنظیمات LDAP از مسیر Admin > Settings > LDAP و در تب Connection انجام می‌شود.

در این تب مقادیر زیر تنظیم می‌شوند:

1. گزینه Enable روی حالت فعال (True) قرار داده می‌شود.
2. Server Type بر اساس نوع دایرکتوری (مثلاً Active Directory) انتخاب می‌شود.
3. آدرس سرور در فیلد Host و پورت اتصال (معمولاً ۳۸۹ یا ۶۳۶ برای اتصال رمزنگاری‌شده) در فیلد Port وارد می‌شود.

سپس در همان تب، بخش Authentication تنظیم می‌شود:

4. گزینه Enable (در بخش Authentication) فعال می‌شود.
5. مشخصات حساب سرویسی که برای جست‌وجوی کاربران استفاده می‌شود (Bind Account)، در فیلد User DN وارد می‌شود.
6. رمز عبور همان حساب در فیلد Password وارد می‌شود.

اگر سرور LDAP نیاز به اتصال رمزنگاری‌شده دارد، در بخش Encryption همین تب، نوع رمزنگاری (SSL/LDAPS یا StartTLS) و در صورت نیاز گواهی CA تنظیم می‌شود.

پس از تکمیل این بخش، با کلیک روی دکمه Save changes، تنظیمات ذخیره و با دکمه Test Connection، برقراری اتصال به سرور LDAP بررسی می‌شود.

---

گام دوم: تنظیم جست‌وجوی کاربران

تنظیمات مربوط به یافتن کاربران در دایرکتوری، در همان صفحه LDAP و تب User Search انجام می‌شود.

1. مسیر جست‌وجوی کاربران در فیلد Base DN وارد می‌شود؛ برای مثال ou=people,dc=example,dc=org.
2. فیلتری که مشخص می‌کند کدام کاربران اجازه ورود دارند، در فیلد Filter تعریف می‌شود؛ برای مثال (objectclass=inetOrgPerson).
3. محدوده جست‌وجو در فیلد Scope انتخاب می‌شود.
4. attributeای که به‌عنوان نام‌کاربری ورود استفاده می‌شود (مثلاً uid یا mail)، در فیلد Search Field مشخص می‌شود.

برای محدود کردن دسترسی به اعضای یک گروه خاص، گزینه Enable LDAP User Group Filter فعال می‌شود. در ساختار نمونه OpenLDAP دارکوبی، مقدارهای Group ObjectClass برابر posixGroup،‏ Group ID Attribute برابر cn و Group Member Attribute برابر memberUid هستند و می‌توان گروه developers یا admins را انتخاب کرد.

با دکمه Test LDAP Search، صحت تنظیمات جست‌وجو پیش از فعال‌سازی نهایی بررسی می‌شود.

---

گام سوم: نگاشت اطلاعات کاربر (Data Sync)

در تب Data Sync همان صفحه، نگاشت فیلدهای کاربر بین LDAP و RocketChat مشخص می‌شود:

1. attribute مربوط به نام‌کاربری (به‌طور پیش‌فرض sAMAccountName) در فیلد Username Field تنظیم می‌شود.
2. attribute مربوط به ایمیل در فیلد Email Field تنظیم می‌شود.
3. attribute مربوط به نام کاربر در فیلد Name Field تنظیم می‌شود.

پس از ذخیره تنظیمات، با دکمه Sync Now یا با فعال‌سازی Background Sync، کاربران از دایرکتوری LDAP در RocketChat وارد می‌شوند.

با غیرفعال کردن گزینه Login Fallback (در تب Connection)، کاربرانی که حساب محلی RocketChat دارند دیگر با رمز عبور محلی وارد نمی‌شوند و ورود فقط از طریق LDAP امکان‌پذیر خواهد بود.