Frappe Framework
Configurer LDAP
Serveur, liaison, chemins de recherche, attributs et groupes se règlent avant de cocher l’activation. Un annuaire Custom demande la classe d’objet des groupes.
Rôle
LDAP centralise l’authentification. Frappe a été essayé avec OpenLDAP et Active Directory. Un annuaire conforme peut servir. Une fois activé, l’écran de connexion montre Login Via LDAP. Chemin : Home, Integrations, LDAP Settings. Tant que Enabled est coché, un champ invalide empêche l’enregistrement.
Serveur et liaison
LDAP Directory Server : Active Directory, OpenLDAP, ou Custom si les groupes ne sont pas le schéma par défaut (groupofnames, uniquegroupofnames). LDAP Server URL : ldap://yourserver:port ou ldaps://.
Base Distinguished Name est l’utilisateur qui se lie et doit voir les chemins de recherche. Password for Base DN est son mot de passe. L’écriture est exigée pour que les utilisateurs réinitialisent leur mot de passe.
Recherche
Les chemins sont des FDN, par exemple ou=my frappe objects,dc=example,dc=com. LDAP search path for Users et for Group limitent qui peut se connecter. LDAP Search String rapproche la saisie de l’écran. Le filtre, entre parenthèses, contient {0}. Tout filtre accepté par ldap3 et par l’annuaire convient : (uid={0}), (SamAccountName={0}) pour Active Directory. Deux exemples combinés sont publiés avec l’esperluette échappée. Le filtre OpenLDAP sur description=*ACCESS:Frappe* et uid={0} n’a pas de parenthèse fermante dans le texte. L’exemple Active Directory ajoute memberof=cn=Domain Users,ou=Groups,DC=example,dc=com.
Utilisateur
LDAP Email Field, souvent mail. LDAP Username Field : sAMAccountName en Active Directory, uid en OpenLDAP. LDAP First Name Field : givenName ou sn. Middle Name, Phone et Mobile sont facultatifs.
Attention
mail comme identifiant n’est pas unique dans LDAP. La page ne dit pas comment l’autoriser : c’est la documentation de l’annuaire.
Sécurité
Facultatif. SSL/TLS Mode à StartTLS. Si le serveur ne le supporte pas, l’erreur est StartTLS is not supported. Require Trusted Certificate à Yes exige un certificat de confiance. No n’est pas recommandé : il ne vérifie plus l’autorité. Pour un certificat auto-signé avec StartTLS, la page dit de mettre No. Sans StartTLS, ce réglage est ignoré. Chemins absolus sur le serveur Frappe : Path to private Key File, Path to Server Certificate, Path to CA Certs File. Ajouter une autorité maison au magasin du système se fait selon l’OS.
Groupes
Si le serveur est Custom, la section est obligatoire. Le texte dit « seulement deux options », puis en liste trois : Group Object Class, Group Member Attribute (le CN de l’utilisateur), Custom Group Search.
À chaque connexion, les rôles sont ajoutés ou retirés selon les groupes. Default Role on Creation est le rôle à la création. La table mappe le cn du groupe, par exemple Domain Users, pas le FDN complet. L’exemple : Domain Users vers Guest, Domain Administrators vers Administrator. Le texte écrit « mutiple ».
LDAP Group Field est déprécié. Le texte écrit « depreciation ». Si le reste est configuré, il n’a plus d’effet. Il reste pour les installations antérieures et sera retiré.
Point d’attention
Enabled se coche seulement quand les champs obligatoires sont valides. Le compte de liaison doit pouvoir écrire. No sur le certificat de confiance contourne la vérification.