本文檔介紹如何使用LDAP策略在Intersight SaaS例項中配置域LDAP身份驗證。
瞭解以下主題:
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除(預設)的組態來啟動。如果您的網路運作中,請確保您瞭解任何指令可能造成的影響。
LDAP是一種公知的協定,用於通過網路從目錄訪問資源。這些目錄儲存有關使用者、組織和資源的資訊。LDAP提供標準流程,用於訪問和管理可用於身份驗證和授權流程的資訊。
本文檔介紹在Intersight管理模式下通過安全LDAP對對等交換矩陣互聯的裝置控制檯或CLI(分別為HTTP或SSH)進行遠端身份驗證的配置過程。
要配置LDAP策略,請登入到Intersight SaaS例項。
導航到Configure部分>單擊Policies。
定位至「策略」視窗>選擇建立策略。

在搜尋欄中,搜尋「LDAP」。
選擇LDAP單選按鈕>單擊開始。

在「建立」視窗>選擇所需的組織>命名LDAP策略>單擊下一步:

在Policy Details部分> Select the Enable LDAP slider > Populate the Base DN, Domain and Timeout values。
設定在0到29之間的超時值會自動預設為30秒。對於此演示,「xxxxxxxxx.com」是已在LDAP伺服器上配置的所需域,並且已指定30秒超時值。

要配置安全LDAP,請啟用Enable Encryption單選按鈕。
附註:通常的LDAP配置可以利用IP地址或FQDN,但簽名證書不是必需的。因此,在配置「標準」LDAP時,可以忽略Enable Encryption選項、DNS伺服器網路連線策略和證書管理策略配置中的證書。安全LDAP需要為LDAP伺服器名稱解析配置的DNS伺服器和根證書。

在Binding Parameters部分下,預設設定為LoginCredentials,它利用個人對使用者LDAP憑據進行繫結操作。這樣就無需配置專用繫結使用者。
在本演示中,配置了Bind使用者。因此,「繫結方法」更改為「ConfiguredCredentials」。

接下來,新增繫結DN(繫結使用者)和繫結使用者密碼。這可以是在Windows Active Directory上配置的任何使用者。在本演示中,使用Administrator使用者。
'cn=Administrator,cn=Users,dc=xxxxxxxxx,dc=com'。
在「搜尋引數」部分的「篩選器」下,輸入「sAMAccountName=$userid」。
對於Group Attributes,新增"memberOf",並在Attribute欄位中新增"CiscoAvPair"。根據您的LDAP伺服器配置,您可以啟用組授權和巢狀組搜尋。對於此演示,使用預設巢狀組搜尋深度128。

在「配置LDAP伺服器」部分>輸入LDAP伺服器IP地址或FQDN(對於安全LDAP是必需的)和埠號(389)。
UCS中的安全LDAP使用STARTTLS啟用使用埠389的加密通訊。
請注意,將埠從389更改為636可能會導致身份驗證錯誤。Cisco UCS在埠636上為SSL執行TLS協商;但是,初始連線始終在埠389上建立時未加密。
選擇LDAP伺服器供應商。可用的供應商選項包括OpenLDAP和MSAD(Microsoft Active Directory)。 在本演示中,由於使用的LDAP伺服器是Windows Server 2019,因此使用了MSAD。
關閉「啟用DNS」按鈕,因為此選項不適用於UCS域中的LDAP配置。
通過按一下已配置LDAP伺服器最右側的「+」圖示,可以配置多個LDAP伺服器。

附註:您可以保留「使用者搜尋優先順序」作為「本地使用者資料庫」,也可以將其更改為「LDAP使用者資料庫」,具體取決於您的使用案例。
接下來,通過按一下Add New LDAP Group按鈕,繼續新增與LDAP伺服器中配置的組對應的組DN。

命名組,新增從LDAP伺服器接收的組DN,並選擇所需的終端角色。

點選Add > Select Create以建立LDAP策略
附註:對於域LDAP策略配置,截至此文檔建立時,唯一支援的終端角色為「admin」。
通過建立網路連線策略為UCS域配置DNS伺服器。

選擇適當的組織>輸入策略名稱>按一下下一步。

定義首選DNS伺服器IPv4地址,然後按一下Create儲存策略。

確保配置了DNS伺服器IP地址並且可以訪問以進行名稱解析。確保域名解析對域中的LDAP伺服器和交換矩陣互聯有效。在本演示中,DNS伺服器與LDAP伺服器位於同一個Windows電腦例項上。
接下來,配置證書管理策略。這是LDAP加密正常運行所必需的。

選擇適當的組織,命名策略>按一下下一步

點選Add Certificates。

為證書命名,然後從Microsoft Active Directory證書服務貼上到根證書。
按一下「建立」。

建立LDAP、網路連線和證書管理策略後,請參閱所需域配置檔案中「UCS域配置」部分的新建立策略,如圖所示。

點選Next, Save and Deploy the domain profile。
成功部署域配置檔案後,IMM域的安全LDAP配置完成。
要驗證,請嘗試使用配置的LDAP/Active Directory使用者之一登入到裝置控制檯GUI和交換矩陣互聯CLI。

Testuser1裝置控制檯登入成功。

Testuser1 SSH登入成功。

| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
11-May-2026
|
初始版本 |