Préparation de LDAP et LDAPS

7.1 Préparer un compte de service

Créer dans Active Directory un compte dédié, par exemple :

svc_glpi_ldap

Ce compte doit uniquement disposer des droits de lecture nécessaires dans l’annuaire. Il ne doit pas être administrateur du domaine.

7.2 Installer l’autorité de certification AD

Si le certificat LDAPS est signé par une autorité interne, copier son certificat sur le serveur GLPI :

sudo cp ad-ca.crt /usr/local/share/ca-certificates/ad-ca.crt
sudo update-ca-certificates

Tester LDAPS :

openssl s_client \
  -connect dc1.snts.local:636 \
  -servername dc1.snts.local \
  -showcerts

Le nom utilisé dans GLPI doit correspondre au certificat du contrôleur de domaine.

7.3 Paramètres d’annuaire GLPI

Dans Configuration > Authentification > Annuaires LDAP, ajouter un annuaire :

Filtre utilisateur possible :

(&(objectCategory=person)(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))

Ce filtre sélectionne les utilisateurs et exclut les comptes désactivés.

7.4 Tester depuis Debian

ldapsearch -x \
  -H ldaps://dc1.snts.local:636 \
  -D "CN=svc_glpi_ldap,OU=Comptes de service,DC=snts,DC=local" \
  -W \
  -b "DC=snts,DC=local" \
  "(sAMAccountName=alexandre)"

Documentation GLPI 11 — Debian 12, Apache, PHP 8.2 et MariaDB.