LDAP, SAML, Entra ID a NFC: nastavení

LDAP
Microsoft Entra ID (Azure AD)
SAML 2.0
NFC
Apache Kerberos a Foreign (stručně)
SMTP OAuth autentizace

Článek Autentizace popisuje obrazovku, na které administrátor moduly přihlášení přidává, testuje a maže. Tahle kapitola doplňuje přesné nastavení jednotlivých typů modulu – LDAP, Microsoft Entra ID, SAML a NFC – a SMTP OAuth, což je samostatné nastavení odesílání pošty, ne modul přihlášení.

Formulář se řídí typem modulu
Pole nastavení modulu se na obrazovce Autentizace generují podle typu modulu – proto se u SAML v nastavení objevují technické záložky „anyOf-0“/„anyOf-1“: jde o dvě varianty pole pro certifikát IdP (jeden certifikát, nebo víc certifikátů najednou), ne o chybu.

LDAP

Pole	Význam
Server	Adresa LDAP serveru, např. `192.168.0.10`. Pro šifrované spojení použijte adresu s prefixem `ldaps://`.
Port	Port LDAP serveru (výchozí 389).
RDN	Základní rozlišující jméno (base DN) adresáře.
People	Rozlišující jméno větve, ve které se hledají uživatelé.
Skupina pro hledání (groupSearchBase)	Základna, ze které se dohledává členství ve skupinách. Nechte prázdné, pokud skupiny nepoužíváte.
Přihlašovací uživatel	DN účtu, kterým se TAS k adresáři připojuje (bind DN).
Heslo přihlašovacího uživatele	Heslo bind účtu. Použijte účet, který má k adresáři jen právo čtení.
Přípona přihlášení	Doplní se za zadané uživatelské jméno, např. `@firma.cz`.
Filtr uživatele	Doplňující LDAP filtr, kterým lze zúžit okruh platných uživatelů.
Přihlašovací atribut	Atribut adresáře, proti kterému se porovnává zadané jméno (výchozí `sAMAccountName`).
Externí ID	Atribut, podle kterého TAS pozná stejného uživatele při opakované synchronizaci (výchozí `objectGUID`).
Časový limit	Časový limit spojení v milisekundách (výchozí 10 000).
Synchronizovat fotografii	Při synchronizaci stáhne i fotografii uživatele.
Vytvářet uživatele	Neexistující uživatel se při prvním přihlášení / synchronizaci založí automaticky.
Aktualizovat při přihlášení	Údaje uživatele se aktualizují z adresáře při každém přihlášení, ne jen při synchronizaci.
Skript po vytvoření/aktualizaci	Vlastní skript spuštěný po založení nebo aktualizaci uživatele.
Middleware záznamu	Skript, kterým lze syrový záznam z adresáře upravit ještě před namapováním na uživatele TAS.
Použít kompetenční pravidla	Členství ve skupinách (`memberOf`) lze využít v kompetenčních pravidlech pro přidělování rolí – viz článek Role a kompetence.
Rekurzivní členství	Při vyhodnocování skupin zohlední i vnořené skupiny, ne jen přímé členství.

Mapování e-mailu a jména
LDAP modul nemá samostatná pole pro mapování e-mailu nebo zobrazovaného jména – řeší se ve skriptu Middleware záznamu nebo Skript po vytvoření/aktualizaci.

Microsoft Entra ID (Azure AD)

Pole	Význam
Tenant ID	ID tenantu Entra ID.
Client ID	ID aplikace registrované v Entra ID.
Typ odpovědi	`id_token` nebo `id_token token` (výchozí). Druhá varianta je nutná, má-li TAS stahovat i profilovou fotografii uživatele.
Režim odpovědi	Jen `form_post` je podporovaný.
Rozsah (scope)	Seznam požadovaných oprávnění, výchozí `profile`, `email`, `openid`, `User.Read`.
Přesměrovací URL	Vlastní přesměrovací adresa; když necháte prázdné, použije se výchozí `/auth/azure-ad/callback/<id modulu>`.
Nápověda doménou / přihlášením / promptem	Volitelné parametry předané přímo do přihlašovací stránky Entra ID (např. předvyplnění domény).
Stahovat profilovou fotografii	Vyžaduje Typ odpovědi `id_token token` a rozsah `User.Read`.
Povolit http pro přesměrovací URL	Povolí nešifrované `http://` jako přesměrovací adresu (jen pro testování).
Skript po přihlášení	Skript, který z přihlašovacích údajů (claims) tokenu najde nebo založí uživatele TAS.

Bez Client secret
Modul Entra ID se přihlašuje přes prohlížeč (OIDC implicit flow), proto nemá pole pro Client secret ani certifikát – ty u tohoto typu modulu TAS nepoužívá.

SAML 2.0

Pole	Význam
Vstupní bod (entryPoint)	Přihlašovací URL identity providera (IdP).
Issuer	Identifikátor TAS jako poskytovatele služby (SP entity ID).
Callback URL	Adresa, na kterou IdP po přihlášení pošle odpověď (ACS URL); skutečná cesta je vždy `/auth/saml2/callback`.
Formát identifikátoru	Volitelně požadovaný formát NameID.
Certifikát IdP (anyOf-0 / anyOf-1)	Certifikát(y) identity providera pro ověření podpisu – buď jeden certifikát, nebo víc najednou. V praxi se obvykle nevyplňuje ručně: TAS si ho dohledá sám z metadat (pole Cert) nebo ze souboru (Cesta k certifikátu).
Cert (metadata URL nebo certifikát)	Adresa XML metadat IdP (nebo přímo certifikát), ze kterých TAS certifikát načte.
Cesta k certifikátu	Alternativa k poli Cert – cesta k souboru s certifikátem na serveru.
Vyžadovat podepsanou odpověď	Odmítne odpověď IdP bez platného podpisu.
Vyžadovat podepsaná tvrzení	Odmítne jednotlivá tvrzení (assertions) bez platného podpisu.
Skript po přihlášení	Skript, který z profilu SAML najde nebo založí uživatele TAS.

NFC

Pole	Význam
Instrukce	Text (česky, anglicky, německy), který se uživateli zobrazí u čtečky.
Skript po přihlášení	Výchozí skript přečte sériové číslo karty z požadavku a najde nebo založí odpovídajícího uživatele; lze upravit, aby karta mapovala na jiný atribut uživatele.

Vyžaduje zapnutou čtečku NFC
Modul NFC jde přidat a uložit, jen když je v Konfiguraci zapnutý přepínač čtečky NFC (featureFlag.nfcReaderEnabled, výchozí vypnuto). Bez něj TAS uložení modulu odmítne.

Apache Kerberos a Foreign (stručně)

Apache Kerberos má jen tři pole: adresu ověřovacího endpointu (výchozí <adresa serveru>/kerberos), příponu přihlášení odstraňovanou z hlavičky vzdáleného uživatele a skript po přihlášení.

Foreign (přesměrování na libovolnou externí přihlašovací stránku) má jediné pole – cílovou URL, na kterou se přihlášení přesměruje.

Password (přihlášení jménem a heslem uloženým v TAS) žádné nastavení nemá.

SMTP OAuth autentizace

Toto nastavení se netýká přihlašovacích modulů výše – jde o to, jak TAS autentizuje odesílání pošty přes SMTP server, který vyžaduje OAuth2 token místo hesla. Nastavuje se v Konfiguraci, ne na obrazovce Autentizace:

Klíč	Význam
`integrations.mail.type`	`oauth2` zapne tento způsob (vedle `basic`, `sendmail`, `msgraph`).
`integrations.mail.host`, `.port`	Adresa a port SMTP serveru.
`integrations.mail.basicAuth.user`	Schránka, za kterou se maily odesílají.
`integrations.mail.oauth2.host`	Adresa, kde TAS získá OAuth2 token.
`integrations.mail.oauth2.clientId`, `.clientSecret`	Přihlašovací údaje aplikace pro token endpoint.
`integrations.mail.oauth2.grantType`	Typ OAuth2 grantu (typicky `client_credentials`).
`integrations.mail.oauth2.scope`	Požadovaný rozsah oprávnění.

Napojení na Microsoft Graph (odesílání přes integrations.mail.type: "msgraph", čtení schránek) popisuje samostatně článek MS Graph (e-mail) – nejde o totéž jako SMTP OAuth, byť obě cesty mohou mířit na stejnou schránku Microsoft 365.

Související: Autentizace, Role a kompetence, MS Graph (e-mail), Trezor.

SMTP OAuth autentizace

Konfigurace autentizačních modulů

(opens in a new tab)