上一篇《利用飛書通訊錄同步搭建本地LDAP》方案發(fā)出后，引起不少企業(yè) IT 人員共鳴。本次，寧盾針對使用了釘釘社交應(yīng)用的企業(yè)推出基于釘釘通訊錄（組織架構(gòu)和用戶信息）同步構(gòu)建本地 LDAP 服務(wù)的方案。

釘釘已經(jīng)成為很多企業(yè)日常處理工作的必備工具，它改變了企業(yè)/組織的協(xié)作方式，讓線下辦公乃至遠(yuǎn)程辦公變得高效、便捷。HR?也會在釘釘上去管理所有員工的狀態(tài)及組織架構(gòu)。

釘釘作為事實上的主身份源，卻無法為內(nèi)部應(yīng)用系統(tǒng)提供統(tǒng)一身份認(rèn)證。企業(yè)內(nèi)的應(yīng)用系統(tǒng)，例如研發(fā)應(yīng)用?Gitlab、Github、Bitbucket，項目管理應(yīng)用?Jenkins、JIRA，知識管理?Confluence、MediaWiki，企業(yè)網(wǎng)盤、郵箱等，可能使用了不同的賬號認(rèn)證體系（應(yīng)用內(nèi)自建賬號或 OpenLDAP 賬號），當(dāng)公司內(nèi)有人事變動（入職、離職、調(diào)轉(zhuǎn)）時，都需要管理員在應(yīng)用內(nèi)手動創(chuàng)建、刪除、修改賬號和權(quán)限，既繁瑣且低效，也無法避免人為操作失誤帶來的安全風(fēng)險。

如果能整合釘釘?shù)慕M織架構(gòu)和用戶信息，同步搭建本地 LDAP 服務(wù)，且做到及時同步，就能為 LDAP 應(yīng)用提供統(tǒng)一鑒權(quán)，運維效率和訪問體驗都將得到極大提升。

實現(xiàn)思路

我們希望通過釘釘提供的 LDAP 作為統(tǒng)一身份認(rèn)證和訪問授權(quán)方式，但是釘釘沒有開放這個能力，那么我們需要根據(jù)釘釘?shù)慕M織架構(gòu)和用戶信息模擬創(chuàng)建一個 LDAP 服務(wù)。內(nèi)網(wǎng)環(huán)境中，LDAP 用戶信息的使用基本上圍繞著用戶名和密碼，因此除了同步賬號體系外，我們還需要賦予 LDAP 賬號一個初始密碼，并提供用戶自助服務(wù)界面，允許用戶本地自助修改密碼。

整體實現(xiàn)思路如下：

? 釘釘開放平臺：在釘釘開放平臺創(chuàng)建應(yīng)用，獲取到 App ID、App Secret后，開啟通訊錄權(quán)限范圍，提供給寧盾 LDAP 目錄服務(wù)進(jìn)行數(shù)據(jù)同步

??配置釘釘自建應(yīng)用：在寧盾 AM 統(tǒng)一身份管理平臺配置社交帳號，輸入釘釘自建應(yīng)用的憑證，再添加釘釘用戶源，就可以將釘釘賬號同步至 AM 中

??添加 LDAP 目錄服務(wù)：添加寧盾目錄服務(wù)用戶源后，在應(yīng)用中添加寧盾目錄服務(wù)應(yīng)用，賬戶同步中勾選釘釘用戶源，即可實現(xiàn)數(shù)據(jù)同步

配置過程

釘釘開放平臺主要配置：

1、創(chuàng)建企業(yè)自建應(yīng)用

創(chuàng)建應(yīng)用

創(chuàng)建完成進(jìn)入應(yīng)用，編輯應(yīng)用

設(shè)置服務(wù)器出口IP

開放通訊錄權(quán)限

寧盾配置：

1、寧盾目錄服務(wù)配置

登錄寧盾 AM 管理員賬號

添加用戶源，選擇寧盾目錄服務(wù)

2、添加用戶源

社交賬號添加，輸入釘釘自建應(yīng)用的憑證

添加釘釘用戶源

添加完成，就可以將釘釘?shù)挠脩敉街翆幎?AM

寧盾目錄服務(wù)同步：

添加應(yīng)用

同步賬號，就可以看到釘釘?shù)馁~號已經(jīng)同步至到寧盾目錄服務(wù)

點擊此處查看視頻演示

（本文來源于寧盾，僅供學(xué)習(xí)和參考，未經(jīng)授權(quán)禁止轉(zhuǎn)載和復(fù)制。如欲了解更多內(nèi)容，可前往寧盾官網(wǎng)博客解鎖更多干貨）