LDAP Authentication Configuration

このページは、まだ日本語ではご利用いただけません。翻訳中です。

古いプラグインバージョンのドキュメントを閲覧しています。

構成

このプラグインはDBレスモードに対応しています。

互換性のあるプロトコル

LDAP Authenticationプラグインは以下のプロトコルに対応しています：

grpc, grpcs, http, https, ws, wss

パラメータ

このプラグインの設定で使用できるすべてのパラメータのリストは次のとおりです。

• name or plugin

  string required

  プラグイン名。この場合は ldap-auth 。

  • Kong Admin API、Kong Konnect API、宣言型構成、または decK ファイルを使用する場合、フィールドはnameです。
  • Kubernetes で KongPlugin オブジェクトを使用する場合、フィールドはpluginです。

• service.name or service.id

  string

  プラグインが対象とするサービス名または ID。最上位の /plugins エンドポイント. からプラグインをサービスに追加する場合は、これらのパラメータのいずれかを設定してください /services/{serviceName|Id}/plugins を使用する場合は必要ありません。

• route.name or route.id

  string

  プラグインがターゲットとするルート名または ID。最上位の /plugins エンドポイント. を通るルートにプラグインを追加する場合は、これらのパラメータのいずれかを設定してください /routes/{routeName|Id}/plugins を使用する場合は必要ありません。

• enabled

  boolean default: true

  このプラグインが適用されるかどうか。

• config

  record required
  • ldap_host

    string required

    Host on which the LDAP server is running.

  • ldap_port

    integer required default: 389 between: 0 65535

    TCP port where the LDAP server is listening. 389 is the default port for non-SSL LDAP and AD. 636 is the port required for SSL LDAP and AD. If ldaps is configured, you must use port 636.

  • ldaps

    boolean required default: false

    Set to true to connect using the LDAPS protocol (LDAP over TLS). When ldaps is configured, you must use port 636. If the ldap setting is enabled, ensure the start_tls setting is disabled.

  • start_tls

    boolean required default: false

    Set it to true to issue StartTLS (Transport Layer Security) extended operation over ldap connection. If the start_tls setting is enabled, ensure the ldaps setting is disabled.

  • verify_ldap_host

    boolean required default: false

    Set to true to authenticate LDAP server. The server certificate will be verified according to the CA certificates specified by the lua_ssl_trusted_certificate directive.

  • base_dn

    string required

    Base DN as the starting point for the search; e.g., “dc=example,dc=com”.

  • attribute

    string required

    Attribute to be used to search the user; e.g., “cn”.

  • cache_ttl

    number required default: 60

    Cache expiry time in seconds.

  • hide_credentials

    boolean required default: false

    An optional boolean value telling the plugin to hide the credential to the upstream server. It will be removed by Kong before proxying the request.

  • timeout

    number default: 10000

    An optional timeout in milliseconds when waiting for connection with LDAP server.

  • keepalive

    number default: 60000

    An optional value in milliseconds that defines how long an idle connection to LDAP server will live before being closed.

  • anonymous

    string

    An optional string (consumer UUID or username) value to use as an “anonymous” consumer if authentication fails. If empty (default null), the request fails with an authentication failure 4xx. Note that this value must refer to the consumer id or username attribute, and not its custom_id.

  • header_type

    string default: ldap

    An optional string to use as part of the Authorization header. By default, a valid Authorization header looks like this: Authorization: ldap base64(username:password). If header_type is set to “basic”, then the Authorization header would be Authorization: basic base64(username:password). Note that header_type can take any string, not just "ldap" and "basic".