Sandstorm与Active Directory集成配置指南

Sandstorm与Active Directory集成配置指南

sandstorm Sandstorm is a self-hostable web productivity suite. It's implemented as a security-hardened web app package manager. 项目地址: https://gitcode.com/gh_mirrors/sa/sandstorm

前言

在企业环境中，统一身份认证是IT基础设施的重要组成部分。本文将详细介绍如何将Sandstorm平台与Microsoft Active Directory（AD）进行集成，实现企业级单点登录（SSO）功能。通过这种集成，企业员工可以使用现有的AD账户直接登录Sandstorm，无需额外创建和管理账号。

集成方案概述

Sandstorm支持两种主要的AD集成方式：

1. SAML 2.0集成（推荐）

   • 支持Windows Azure AD和Windows Server AD
   • 提供完整的单点登录体验
   • Sandstorm不会接触用户密码，安全性更高
   • 支持多因素认证

2. LDAP绑定认证

   • 仅作为备选方案
   • 安全性低于SAML方案
   • 配置相对简单但功能有限

Windows Azure AD集成配置

前置条件

• 有效的Windows Azure AD订阅
• 管理员权限
• Sandstorm服务器已配置HTTPS

详细步骤

1. 创建应用程序

1. 登录Azure经典门户(manage.windowsazure.com)
2. 在侧边栏选择"Active Directory"
3. 选择要使用的目录
4. 点击顶部导航栏的"应用程序"
5. 选择底部工具栏的"添加"(不是"+新建")

2. 配置自定义应用

1. 选择"从应用库添加应用程序"
2. 在侧边栏选择"自定义"
3. 选择"添加我的组织正在使用的未列出的应用程序"
4. 输入名称"Sandstorm"并确认

3. 配置单点登录

1. 选择"配置单点登录"
2. 选择"Microsoft Azure AD单点登录"
3. 在Sandstorm的SAML配置中：
   • 将"实体ID"设置为完整的服务器URL(如https://example.sandcats.io)
   • 复制"服务URL"(如https://example.sandcats.io/_saml/validate/default)

4. 证书配置

1. 在Azure AD页面下载Base64编码的证书
2. 用文本编辑器打开证书文件
3. 将内容粘贴到Sandstorm的"SAML证书"配置项中

5. 完成配置

1. 复制Azure AD中的"单点登录服务URL"到Sandstorm配置
2. 确认配置并完成向导
3. 分配用户访问权限

验证测试

配置完成后，建议：

1. 使用测试账户尝试登录
2. 检查用户属性是否正确传递
3. 验证会话超时行为是否符合预期

Windows Server AD集成配置

前置条件

• 已安装并配置AD FS服务
• 服务器证书有效
• 网络连通性良好

详细步骤

1. 配置AD FS

1. 打开AD FS管理控制台
2. 导航至"信任关系 > 信赖方信任"
3. 添加新的信赖方信任
4. 选择"在线或本地网络发布的数据"
5. 输入Sandstorm的元数据URL(如https://example.sandcats.io/_saml/config/default)

2. 配置声明规则

1. 添加规则"发送LDAP属性作为声明"
   • 属性存储：Active Directory
   • LDAP属性：E-Mail Addresses
   • 传出声明类型：E-Mail Address
2. 添加规则"转换传入声明"
   • 传入声明类型：E-Mail Address
   • 传出声明类型：Name ID
   • 传出名称ID格式：Persistent Identifier

3. 导出证书

1. 导航至"服务 > 证书"
2. 选择令牌签名证书
3. 导出为Base-64编码X.509(.CER)格式

4. 配置Sandstorm

1. 在SAML配置中：
   • 入口点URL：https://ad.example.com/adfs/ls
   • 粘贴导出的证书内容
   • 保持默认实体ID

高级配置建议

1. 多因素认证：可在AD FS中配置额外的认证因素
2. 属性映射：可根据需要映射更多用户属性
3. 群组策略：通过AD群组控制Sandstorm访问权限

常见问题解答

Q: 为什么推荐SAML而不是LDAP？ A: SAML提供更好的安全性和用户体验，支持单点登录和现代认证方式。

Q: 集成后用户如何首次登录？ A: 用户首次登录时会自动在Sandstorm中创建账户，邮箱作为唯一标识。

Q: 如何限制特定用户访问？ A: 在Azure AD或AD FS中配置访问控制策略即可。

最佳实践

1. 在生产环境前进行充分测试
2. 定期轮换SAML签名证书
3. 建立监控机制，及时发现认证问题
4. 为用户提供清晰的登录指引

结语

通过本文的详细指导，您应该能够顺利完成Sandstorm与Active Directory的集成配置。这种集成不仅提高了安全性，还简化了用户管理，是企业部署Sandstorm的理想选择。如在配置过程中遇到任何问题，建议查阅官方文档或寻求专业支持。

sandstorm Sandstorm is a self-hostable web productivity suite. It's implemented as a security-hardened web app package manager. 项目地址: https://gitcode.com/gh_mirrors/sa/sandstorm