View source for LDAP settings/fr

<languages /> 

{{Alert|title=Attention|text=Cette fonctionnalité permet aux administrateurs d'enquêtes LimeSurvey d'importer des jetons via LDAP. Si vous avez besoin d'une authentification LDAP, veuillez vous référer à [[Plugins d'authentification#LDAP|Plugin AuthLDAP]].}} 

__TOC__

==Général==

Vous devez activer la prise en charge LDAP dans config.php et configurer les paramètres LDAP dans config/ldap.php afin d'utiliser cette fonction.

{{Alerte|Pour pouvoir utiliser LDAP, vous devez vérifier que le module LDAP est installé dans votre PHP. Veuillez vous référer à la [documentation du module PHP LDAP http://php.net/manual/ldap.installation.php] pour savoir comment installer cette extension.}}

== Activation de LDAP dans config.php==
*'''$enableLdap:''' si vous souhaitez utiliser les fonctions LDAP dans LimeSurvey, vous devez définir ce paramètre sur true (il est défini sur false par défaut) :

<pre>'config'=>array(
 'debug'=>0,
 'debugsql'=>0,
 'enableLdap'=>true,
 )</pre>

== Définition des serveurs LDAP==

Définissez d'abord les options de connexion au serveur LDAP dans "application/config/ldap.php". Pour chaque serveur, les options suivantes sont disponibles :
*'''$serverId:''' Un entier qui identifie ce serveur LDAP. Il est utilisé dans les définitions de requêtes pour lier un serveur à une requête spécifique ;
*'''$ldap_server<nowiki> [</nowiki> $IDserveur]<nowiki> [</nowiki> 'server'] :''' L'adresse IP ou le nom DNS du serveur LDAP. Si vous utilisez des connexions sécurisées SSL (LDAPs ou LDAP+Start-TLS), ce nom doit correspondre au Certificat CN (ou SubjectAlternativeName) du serveur ;
*'''$ldap_server<nowiki> [</nowiki> $IDserveur]<nowiki> [</nowiki> 'protoversion']:''' Peut être 'ldapv2' ou 'ldapv3' selon le protocole pris en charge par votre serveur. « ldapv3 » est le protocole préféré. Cependant, si vous souhaitez utiliser des connexions cryptées, notez que LDAP est pris en charge en mode 'ldapv2' alors que Start-TLS est la méthode de cryptage pour 'ldapv3';
*'''$ldap_server<nowiki> [</nowiki> $IDserveur]<nowiki> [</nowiki> 'encrypt']:''' Définit la méthode de cryptage utilisée. 'ldaps' est pris en charge pour les serveurs 'ldav2', 'start-tls' pour les serveurs 'ldapv3'. Le mot clé 'none' est utilisé pour les communications LDAP en clair ;
** N'oubliez pas que pour le chiffrement 'ldaps' ou 'start-tls', le serveur web doit être capable de vérifier le certificat du serveur LDAP. Ainsi, vous devez définir votre autorité de certification dans votre bibliothèque openldap (généralement cela se fait dans le fichier /etc/openldap/ldap.conf sous Linux).
*'''$ldap_server<nowiki> [</nowiki> $IDserveur]<nowiki> [</nowiki> 'referrals']:''' C'est un paramètre booléen qui définit si les références doivent être suivies ou non (utilisez false pour ActiveDirectory);
*'''$ldap_server<nowiki> [</nowiki> $IDserveur]<nowiki> [</nowiki> 'encoding']:''' C'est un paramètre optionnel qui donne l'encodage utilisé par l'annuaire LDAP pour stocker les chaînes. Vous n'avez généralement pas besoin de configurer ce paramètre car le codage par défaut, « utf-8 », est le codage standard pour les annuaires LDAP. Cependant, si vous utilisez Active Directory et rencontrez des problèmes pour importer des chaînes accentuées, essayez de configurer ce paramètre sur l'encodage utilisé dans votre région (par exemple « cp850 » pour l'Europe occidentale). Vous pouvez vous référer à la liste déroulante « Jeu de caractères du fichier » dans l'interface graphique [[Survey_participants#Import_participants_from_a_CSV_file|Import Token from CSV file]] pour avoir la liste complète des encodages pris en charge.

Ensuite, vous devez définir quelle authentification est nécessaire pour accéder au répertoire. Si l'accès « anonyme » est autorisé, ne définissez PAS les deux paramètres suivants, sinon définissez-les en conséquence :
*'''$ldap_server<nowiki> [</nowiki> $IDserveur]<nowiki> [</nowiki> 'binddn']:''' DN de l'utilisateur 'LDAP' autorisé à lire l'annuaire;
*'''$ldap_server<nowiki> [</nowiki> $IDserveur]<nowiki> [</nowiki> 'bindpw'] :''' Mot de passe de l'utilisateur LDAP ci-dessus.

Si vous devez définir d'autres serveurs LDAP, ajoutez la ligne suivante pour incrémenter le serverID et définir de nouveaux paramètres :
*'''$serverId++'''.

== Définition des requêtes dans config/ldap.php==

Attention : lorsqu'un '''nom d'attribut ldap''' est requis dans l'un de ces paramètres, '''utilisez uniquement des noms en minuscules''' : par exemple displayname et NON displayName.

Veuillez vous référer au fichier config/ldap.php car il contient des exemples de configuration.

=== Requêtes simples ===

Commençons par des requêtes simples. Ces requêtes filtrent uniquement les entrées LDAP en fonction de leurs propres attributs et emplacement. Ils sont généralement suffisants pour interroger ActiveDirectory.
*'''$query_id:''' est l'identifiant de la requête LDAP;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'ldapServerId']:''' Lie la requête à un serveur spécifique;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'name']:''' Chaîne décrivant la requête. Il sera affiché dans l'interface graphique ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'userbase']:''' Nom distinctif racine à utiliser pour les recherches d'utilisateurs ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'userfilter']:''' Il s'agit d'un filtre utilisé pour sélectionner les entrées des utilisateurs potentiels. Il doit être mis entre parenthèses ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'userscope'] :''' périmètre de la recherche LDAP des utilisateurs ('base', 'one' ou 'sub');
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'firstname_attr'] :''' Attribut Ldap qui sera mappé au champ Prénom de l'entrée du jeton ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'lastname_attr'] :''' Attribut Ldap qui sera mappé au champ Lastname de l'entrée du jeton ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'email_attr'] :''' Attribut Ldap qui sera mappé au champ d'adresse e-mail de l'entrée du jeton.

En option, vous pouvez récupérer plus d'informations à partir du répertoire :
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'token_attr'] :''' Attribut Ldap qui sera mappé au code du jeton ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'langue']:''' attribut Ldap qui sera mappé au code de langue de l'utilisateur;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'attr1'] :''' Attribut Ldap qui sera mappé au champ attribut_1 ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'attr2'] :''' Attribut Ldap qui sera mappé au champ attribut_2.

=== Requêtes de groupe combinées avec les membres DN ===

Voyons maintenant comment définir une requête plus compliquée.

Les requêtes suivantes utilisent une première recherche LDAP qui examine les groupes LDAP. Un groupe LDAP est une entrée LDAP contenant des références aux entrées des utilisateurs sous la forme de :
* identifiants utilisateur (par exemple posixGroups do) ==> Voir la section suivante
* Ou noms distinctifs d'utilisateur (par exemple groupofnames et groupofuniquenames faire) ==> voir ci-dessous

<u>Nous traitons ici des groupes contenant des DN d'utilisateurs :</u> 
*define $query_id, $ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'ldapServerId'], $ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'nom'] comme expliqué ci-dessus.

Définissez ensuite les paramètres du filtre de groupe :
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'groupbase']:''' Le DN racine à partir duquel vous souhaitez commencer la recherche d'entrées de groupe ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'groupfilter']:''' Le filtre LDAP qui sélectionnera les entrées de groupe potentielles;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'groupscope']:''' La portée de la recherche LDAP des groupes ('on', 'base' ou 'sub');
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'groupmemberattr']:''' Le nom de l'attribut LDAP dans l'entrée de groupe qui contiendra les références aux entrées des utilisateurs ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'groupmemberisdn']:''' '''VRAI'''.

A ce stade, tout est configuré pour permettre à la première recherche LDAP de trouver les utilisateurs correspondant aux groupes sélectionnés. Cependant, vous pouvez restreindre lesquels de ces « candidats utilisateurs » seront sélectionnés en leur appliquant un autre filtre. Ceci est bien sûr facultatif :
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'userbase']:''' Le DN de base pour la recherche LDAP de l'utilisateur (uniquement le candidat utilisateur correspondant à cette base) sera sélectionné ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'userscope'] :''' La portée de la recherche LDAP de l'utilisateur (seuls les candidats utilisateurs correspondant à la base utilisateur+portée) sera sélectionnée ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'userfilter']:''' C'est un filtre qui s'applique à chaque entrée utilisateur candidat (sur ses attributs) pour ajouter une autre sélection.

=== Requêtes de groupe combinées avec des membres UID ===

Voyons maintenant comment définir une requête de groupe combinée lorsque les membres du groupe sont des UID d'utilisateur et non des DN d'utilisateur.

Quant aux requêtes de groupe avec des membres DN, ces requêtes utilisent une première recherche LDAP qui recherche les entrées des groupes LDAP et récupère leurs membres. Ces valeurs de membres sont ensuite utilisées dans un filtre de recherche utilisateur pour rechercher les entrées correspondantes. Ainsi, un autre paramètre doit être configuré pour définir l'attribut utilisateur dans l'entrée de l'utilisateur qui doit correspondre à l'UID du membre trouvé dans les groupes.

<u>Passons en revue les paramètres requis :</u> 
*define $query_id, $ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'ldapServerId'], $ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'nom'] comme expliqué ci-dessus

Définissez ensuite les paramètres du filtre de groupe :
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'groupbase']:''' Le DN racine à partir duquel vous souhaitez commencer la recherche d'entrées de groupe ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'groupfilter']:''' Le filtre LDAP qui sélectionnera les entrées potentielles du groupe ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'groupscope']:''' La portée de la recherche LDAP des groupes ('on', 'base' ou 'sub');
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'groupmemberattr']:''' Le nom de l'attribut LDAP dans l'entrée de groupe qui contiendra les références aux entrées des utilisateurs ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> ''''groupmemberisdn'''']:''' '''FALSE''';
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> ''''useridattr''''] :''' nom de l'attribut utilisateur qui doit correspondre à l'UID trouvé dans les membres du groupe.

À ce stade, tout est configuré pour permettre à la première recherche LDAP de trouver les UID des utilisateurs correspondant aux groupes sélectionnés et un filtre de recherche d'utilisateurs sera automatiquement rempli.

Cependant, vous pouvez restreindre lesquels de ces « candidats utilisateurs » seront sélectionnés en complétant le filtre utilisateur automatique calculé à partir des UID des membres. Ceci est bien sûr facultatif :
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'userbase']:''' Le DN de base pour la recherche LDAP de l'utilisateur (uniquement le candidat utilisateur correspondant à cette base) sera sélectionné ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'userscope'] :''' La portée de la recherche LDAP de l'utilisateur (seuls les candidats utilisateurs correspondant à la base utilisateur+portée) sera sélectionnée ;
*'''$ldap_queries<nowiki> [</nowiki> $query_id]<nowiki> [</nowiki> 'userfilter']:''' C'est un filtre qui s'applique à chaque entrée utilisateur candidat (sur ses attributs) pour ajouter une autre sélection.

=== Qu'en est-il d'Active Directory ?===

Active Directory (AD) est un registre Microsoft qui peut être interrogé à l'aide du protocole LDAP.

Il est alors possible d'utiliser son contenu pour des requêtes de tokens LimeSurvey, mais cela nécessite de connaître l'organisation d'AD.
* La base racine LDAP est dc=my_windows_domain_name,dc=dns_suffix2,dc=dns_suffix1

==> For instance, if your company owns the DNS domain 'my-company.com' and your Windows domain is 'employees', then your root base is dc=employees,dc=my-company,dc=com
* Users and users-groups are stored below the cn=Users,dc=my_windows_domain_name,dc=dns_suffix2,dc=dns_suffix1 (please note this is not ou=users);
* Active Directory Groups:
** Groups objects contain DN of members in their 'member' attribute;
** Group memberships are also stored in the memberOf attribute of each user entry. This attribute contains DNs of groups the user belongs to;
** some groups are in CN=Builtin,dc=my_windows_domain_name,dc=dns_suffix2,dc=dns_suffix1:
*** For instance: cn=Administrator,CN=Builtin,dc=my_windows_domain_name,dc=dns_suffix2,dc=dns_suffix1;

In some cases it is not as easy to query an active directory so here is a sample configuration for getting some infomations of an active directory:

<syntaxhighlight lang="php">
//Connection to the active directory Server:
$serverId=0;
$ldap_server[$serverId]['server'] = "10.10.10.10";
$ldap_server[$serverId]['port'] = "389";
$ldap_server[$serverId]['protoversion'] = "ldapv2";
$ldap_server[$serverId]['encrypt'] = "none"; // Most AD LDAP servers will not have encryption set by default
$ldap_server[$serverId]['referrals'] = false;
$ldap_server[$serverId]['binddn'] = "domain\\user";
$ldap_server[$serverId]['bindpw'] = "userpassword";
//$ldap_server[$serverId]['binddn'] = "CN=user,OU=user_group,DC=xxx,DC=yyy"; this one will not work with active directory, that´s why you need to use "domain\\user"
//Here is a sample query for getting all active users of an active directory:
$query_id=0;
$ldap_queries[$query_id]['ldapServerId'] = 0;
$ldap_queries[$query_id]['name'] = 'Staff with an enabled account';
$ldap_queries[$query_id]['userbase'] = 'OU=USER_GROUP,DC=xxx,DC=yyy';
$ldap_queries[$query_id]['userfilter'] = '(&(objectClass=user)(!(userAccountControl=514)))';
//(!(userAccountControl=514)) you are not able to ask active directory for an active user but you are able to ask for a non inactive user
$ldap_queries[$query_id]['userscope'] = 'sub';
$ldap_queries[$query_id]['firstname_attr'] = 'givenname';
$ldap_queries[$query_id]['lastname_attr'] = 'sn';
$ldap_queries[$query_id]['email_attr'] = 'mail';
$ldap_queries[$query_id]['token_attr'] = ''; // Leave empty for Auto Token generation by phpsv
$ldap_queries[$query_id]['language'] = '';
$ldap_queries[$query_id]['attr1'] = '';
$ldap_queries[$query_id]['attr2'] = '';
//Group filtering was not possible in active directory, you need to add the memberOf attribute of an user. Here is a sample query for getting all active users that are member of the group "samplegroup" in active directory:
$query_id++;
$ldap_queries[$query_id]['ldapServerId'] = 0;
$ldap_queries[$query_id]['name'] = 'All members of samplegroup';
$ldap_queries[$query_id]['userbase'] = 'OU=USER_GROUP,DC=xxx,DC=yyy';
$ldap_queries[$query_id]['userfilter'] = '(&(objectClass=user)(memberOf=CN=samplegroup,OU=Group Global,OU=USER_GROUP,DC=xxx,DC=yyy)(!(userAccountControl=514)))';
$ldap_queries[$query_id]['userscope'] = 'sub';
$ldap_queries[$query_id]['firstname_attr'] = 'givenname';
$ldap_queries[$query_id]['lastname_attr'] = 'sn';
$ldap_queries[$query_id]['email_attr'] = 'mail';
$ldap_queries[$query_id]['token_attr'] = ''; // Leave empty for Auto Token generation by phpsv
$ldap_queries[$query_id]['language'] = '';
$ldap_queries[$query_id]['attr1'] = '';
$ldap_queries[$query_id]['attr2'] = '';
</syntaxhighlight>

Another example User query:
<syntaxhighlight lang="php">
$ldap_queries[$query_id]['userfilter'] = '(&('''objectCategory=Person''')(objectClass='''user''')(!('''userAccountControl=514''')))'; // AD doesn't recognise enabled accounts in the normal way, so instead, we check users are not disabled
</syntaxhighlight>
* As suggested in the config file, consider adding (!(email=*)) to your user filters to ignore users with no email address.

Example group query:

<syntaxhighlight lang="php">
$ldap_queries[$query_id]['groupfilter'] = '(&(objectClass='''group''')(cn=Domain Admins))'; // AD doesn't use the standard attribute name for groups, so use this example instead.
</syntaxhighlight>

Find more information about the Active Directory LDAP structure on [https://technet.microsoft.com/en-us/library/bb727030.aspx Active Directory Architecture] and [https://msdn.microsoft.com/en-us/library/cc223122.aspx Active Directory Technical Specification].