Connecting Stash to an existing LDAP directory

You can connect Stash to an existing LDAP user directory, so that your existing users and groups in an enterprise directory can be used in Stash. The LDAP directory is used for both user authentication and account management.

Stash is able to connect to the following LDAP directory servers:

Microsoft Active Directory
Apache Directory Server (ApacheDS) 1.0.x and 1.5.x
Apple Open Directory (読み取り専用)
Fedora Directory Server (Read-Only Posix Schema)
Novell eDirectory サーバ
OpenDS
OpenLDAP
OpenLDAP (Read-Only Posix Schema)
Generic Posix/RFC2307 ディレクトリ (読み取り専用)
Sun Directory Server Enterprise Edition (DSEE)
Any generic LDAP directory server

See also this information about deleting users and groups in Stash.

このページの内容

Connecting Atlassian Stash to your external directory is not sufficient to allow your users to log in to Stash. You must explicitly grant them access to Stash in the global permission screen.

We recommend that you use groups instead of individual accounts when granting permissions.

License considerations

When connecting Stash to an external directory, be careful not to allow access to Stash by more users than your Stash license allows. If the license limit is exceeded, your developers will not be able to push commits to repositories, and Stash will display a warning banner. See this FAQ.

Synchronisation when Stash is first connected to the LDAP directory

When you first connect Stash to an existing LDAP directory, the Stash internal directory is synchronised with the LDAP directory. User information, including groups and group memberships, is copied across to the Stash directory.

When we performed internal testing of synchronisation with an Active Directory server on our local network with 10 000 users, 1000 groups and 200 000 memberships, we found that the initial synchronisation took about 5 minutes. Subsequent synchronisations with 100 modifications on the AD server took a couple of seconds to complete. See the option below.

Note that when Stash is connected to an LDAP directory, you cannot update user details in Stash. Updates must be done directly on the LDAP directory, perhaps using a LDAP browser tool such as Apache Directory Studio.

Option - Use LDAP filters to restrict the number of users and groups that are synchronised

You can use LDAP filters to restrict the users and groups that are synchronised with the Stash internal directory. You may wish to do this in order to limit the users or groups that can access Stash, or if you are concerned that synchronisation performance may be poor.

For example, to limit synchronisation to just the groups named "stash_user" or "red_team", enter the following into the Group Object Filter field (see Group Schema Settings below):

(&(objectClass=group)(|(cn=stash_user)(cn=red_team)))

For further discussion about filters, with examples, please see How to write LDAP search filters. Note that you need to know the names for the various containers, attributes and object classes in your particular directory tree, rather than simply copying these examples. You can discover these container names by using a tool such as Apache Directory Studio.

Authentication when a user attempts to log in

When a user attempts to log in to Stash, once synchronisation has completed, Stash confirms that the user exists in it's internal directory and then passes the user's password to the LDAP directory for confirmation. If the password matches that stored for the user, LDAP passes a confirmation back to Stash, and Stash logs in the user. During the user's session, all authorisations (i.e. access to Stash resources such as repositories, pull requests and administration screens) are handled by Stash, based on permissions maintained by Stash in its internal directory.

LDAP_external

Connecting Stash

To connect Stash to an LDAP directory:

Log in as a user with 'Admin' permission.
In the Stash administration area, click User Directories (under 'Accounts').
Click Add Directory and select either Microsoft Active Directory or LDAP as the directory type.
Configure the directory settings, as described in the tables below.
Save the directory settings.
Define the directory order by clicking the arrows next to each directory on the 'User Directories' screen. The directory order has the following effects:
- ディレクトリの順序は、ユーザーおよびグループの検索順序です。
- ユーザーおよびグループへの変更は、アプリケーションが変更権限を持つ最初のディレクトリに対してのみ行われます。

サーバー設定

設定	説明
名前	LDAP ディレクトリサーバーを識別するのに役立つわかりやすい名前を入力します。例： `Example Company Staff Directory` `Example Company Corporate LDAP`
ディレクトリタイプ	接続する LDAP ディレクトリのタイプを選択します。新しい LDAP 接続を追加する場合、ここで選択した値によって、画面の残りのオプションの多くのデフォルト値が決定します。例： `Microsoft Active Directory` `OpenDS` その他
ホスト名	ディレクトリサーバのホスト名。例： `ad.example.com` `ldap.example.com` `opends.example.com`
ポート	ディレクトリサーバーがリスンするポート。例： `389` `10389` `636` (例: SSL 用)
SSL を使用する	ディレクトリサーバーへの接続が SSL (Secure Sockets Layer) 接続の場合は、オンにします。この設定を使用するには、SSL 証明書を設定する必要があります。
ユーザ名	ディレクトリサーバーに接続する際にアプリケーションが使用するユーザーの識別名。例： `cn=administrator,cn=users,dc=ad,dc=example,dc=com` `cn=user,dc=domain,dc=name` `user@domain.name` デフォルトでは、すべてのユーザーが uSNChanged 属性を読み取ることができます。ただし、管理者または関連する権限を持つユーザーのみが削除済みオブジェクトコンテナにアクセスすることができます。ユーザーが LDAP に接続するのに必要な特定の権限は、「バインド」および「読み取り」（ユーザー情報、グループ情報、グループメンバーシップ、更新シーケンス番号、削除済みオブジェクト）です。これらは、Active Directory の組み込みの管理者グループのメンバーであるユーザーが取得することができます。 Note that the incremental sync will fail silently if the Active Directory is accessed by a user without these privileges. This has been reported as CWD-3093.
パスワード	上記で指定したユーザーのパスワード。注： LDAP サーバーへの接続では、このアプリケーションがここで設定されたユーザー名とパスワードでサーバーにログインする必要があります。結果として、このパスワードは一方向にハッシュ化することができません。このアプリケーションのコンテキストで回復可能である必要があります。パスワードは現在、難読化されていないプレーンテキストでデータベースに保存されています。セキュリティを保証するには、他のプロセスがこのアプリケーションのデータベースまたは設定ファイルに対する OS レベルの読み取り権限を持っていないことを確認する必要があります。

LDAP schema

設定

説明

ベース DN

ディレクトリサーバーに対してクエリを実行する場合に使用するルート識別名（DN）。例：

o=example,c=com
cn=users,dc=ad,dc=example,dc=com
Microsoft Active Directory の場合、ベース DN を dc=domain1,dc=local の形式で指定します。domain1 と local を自身の設定で置き換える必要があります。Microsoft Server では ldp.exe というツールが提供されています。これは、サーバーの LDAP 構造を検出および設定するのに役立ちます。

追加のユーザー DN

この値は、ユーザーの検索および読み込み時に、ベース DN に加えて使用されます。値が提供されない場合、サブツリー検索はベース DN から開始されます。例：

ou=Users

追加のグループ DN

この値は、グループの検索および読み込み時に、ベース DN に加えて使用されます。値が提供されない場合、サブツリー検索はベース DN から開始されます。例：

ou=Groups

追加のユーザー DN または追加のグループ DN に値が指定されていない場合、サブツリー検索がベース DN から始まります。ディレクトリ構造が巨大な場合、ログインおよび実施されるログインに依存する操作について、パフォーマンスの問題が生じる可能性があります。

LDAP permission

設定

説明

読み取り専用

LDAP ユーザー、グループ、メンバーシップは、ディレクトリサーバーから取得され、ディレクトリサーバーを介してのみ変更することができます。アプリケーション管理画面から LDAP ユーザー、グループ、またはメンバーシップを変更することはできません。

ローカルグループでの読み取り専用

LDAP ユーザー、グループ、メンバーシップは、ディレクトリサーバーから取得され、ディレクトリサーバーを介してのみ変更することができます。アプリケーション管理画面から LDAP ユーザー、グループ、またはメンバーシップを変更することはできません。ただし、内部ディレクトリにグループを追加したり、そのグループに LDAP ユーザーを追加することができます。

高度な設定

設定	説明
Enable Nested Groups	入れ子グループのサポートを有効または無効にします。いくつかのディレクトリサーバーは、グループを別のグループのメンバーとして定義することを許可します。このような構造のグループは入れ子グループと呼ばれます。入れ子グループは、1 つの親グループからそのサブグループへの権限の継承を許可し、権限をシンプルにします。
ユーザーステータスをローカルで管理する	true の場合、ディレクトリサーバー内のステータスに関係なく、Crowd でユーザーをアクティブ化/非アクティブ化できます。
期限切れのユーザーを除外する	true の場合、ActiveDirectory で期限切れとしてマークされたユーザーアカウントが自動的に削除されます。キャッシュされたディレクトリの場合、ユーザーの削除は、アカウントの有効期限日後の最初の同期中に行われます。注：これは組み込み Crowd 2.0.0 以上で利用可能であり、2.0.0 m04 リリースでは利用できません。
ページングされた結果を使用	検索結果をシンプルにページングする LDAP 制御拡張機能の使用を有効または無効にします。ページングが有効になっている場合、検索によって一度にすべての検索結果が取得されるのではなく、データのセットが取得されます。必要なページサイズ、つまり、ページングされた結果が有効である場合、ページごとに返される検索結果の最大数を入力します。既定は 1000 です。
照会に従う	ディレクトリサーバーがリクエストを別のサーバーにリダイレクトすることを許可するかどうかを選択します。このオプションは、ノード照会 (JNDI ルックアップ `java.naming.referral`) 設定を使用します。これは通常、適切な DNS を使用せずに設定した Active Directory サーバーで "javax.naming.PartialResultException: Unprocessed Continuation Reference(s)" エラーを発生させないようにするために必要です。
ネイティブ DN マッチング	ディレクトリサーバーが返す DN の文字列表現が一貫している場合、ネイティブ DN マッチングを有効化できます。ネイティブ DN マッチングはパフォーマンスを大幅に改善させます。そのため、可能な場合は有効化することをお勧めします。この設定により、アプリケーションが DN を比較して同じかどうかを判断する方法が決まります。このチェックボックスがオンの場合、アプリケーションは直接、大文字小文字を区別しない文字列比較を実施します。Active Directory はDN の形式を保証するため、これは Active Directory のデフォルトかつ推奨の設定です。このチェックボックスがオフの場合、アプリケーションは DN を解析し、解析されたバージョンを確認します。
Enable Incremental Synchronization	ディレクトリの同期時に、前回の同期が照会されてからの変更のみが必要な場合、インクリメンタル同期を有効化します。このオプションを使用する場合、同期するように設定されたユーザーアカウントは以下への読み取り権限を持っている必要があることに注意してください。同期する必要があるディレクトリ内のすべてのユーザーおよびグループの `uSNChanged` 属性。 Active Directory の削除されたオブジェクトコンテナ内のオブジェクトと属性これらの条件の少なくとも1つが満たされない場合、Active Directory に追加された（または削除された）ユーザーは、アプリケーション内でそれぞれ追加（または削除）されずに終わります。この設定は、ディレクトリのタイプが「Microsoft Active Directory」に設定されている場合に利用できます。
グループメンバーシップをログイン時に更新する	この設定によって、グループメンバーシップを認証中に更新できるようになります。次のようなオプションを設定できます。ユーザーがログインするたび: 認証中、ユーザーの直接のグループメンバーシップは、リモートディレクトリの内容と一致するように更新されます。リモートディレクトリで、ユーザーがもう属していないすべてのグループからそのユーザーを削除します。リモートディレクトリのユーザーが属するすべてのグループにユーザーを追加します。名前と説明が一致する新しいグループは、必要に応じてローカルに作成されます。グループには現在のユーザーのみが含まれて、同じグループに属するユーザーがログインするか同期が行われると、他のメンバーシップが入力されます。新しく追加されたユーザーのみ: 新しいユーザーが初めてログインすると、そのユーザーの直接のグループメンバーシップは、リモートディレクトリの内容と一致するように更新されます。ユーザーのグループメンバーシップは、ユーザーが認証中に作成された場合にのみ更新されることを考慮してください。しない: 認証中、ローカルとリモートの状態が一致しなくても、ユーザーのグループメンバーシップは変更されません。
Synchronization Interval (minutes)	同期とは、アプリケーションがユーザーデータの内部ストアをディレクトリサーバ上のデータで更新するプロセスです。アプリケーションは x 分ごとにディレクトリサーバーにリクエストを送信します。x はここで指定する数値です。既定値は60分です。
読み込みタイムアウト（秒）	The time, in seconds, to wait for a response to be received. If there is no response within the specified time period, the read attempt will be aborted. A value of 0 (zero) means there is no limit. The default value is 120 seconds.
検索タイムアウト（秒）	検索操作からのレスポンスを受信するまでに待機する時間 (秒)。値を 0 (ゼロ) にすると、無制限になります。既定値は 60 秒です。
接続タイムアウト（秒）	この設定は2つの操作に影響します。デフォルト値は10です。コネクションプールからコネクションを取得する際に待機する時間。値を0（ゼロ）にすると、無制限となり、いつまでも待機します。新しいサーバー接続を開くまで待つ時間 (秒単位)。値が 0 (ゼロ) の場合は、TCP ネットワークタイムアウトが使用されることを示しますが、これには数分かかる場合があります。

ユーザースキーマ設定

設定	説明
ユーザーオブジェクトクラス	これは LDAP ユーザーオブジェクトに使用されるクラス名です。例： `user`
ユーザーオブジェクトフィルタ	ユーザーオブジェクトを検索するときに使用するフィルター。例： `(&(objectCategory=Person)(sAMAccountName=*))` More examples can be found in our knowledge base. See How to write LDAP search filters.
ユーザー名属性	ユーザー名を読み込むときに使用する属性フィールド。例： `cn` `sAMAccountName` 備考： Active Directory では、「sAMAccountName」が「ユーザーログイン名（Windows 2000 以前）」フィールドです。ユーザーログイン名フィールドは「cn」で参照されます。
ユーザー名 RDN 属性	ユーザー名をロードするときに使用する RDN (相対識別名)。各 LDAP エントリの DN は 2 つの部分 (記録が格納される RDN および LDAP ディレクトリ内の場所) で構成されます。RDN はディレクトリツリー構造と関係ない DN の一部です。例: `cn`
ユーザの名属性	ユーザーの名を読み込むときに使用する属性フィールド。例： `givenName`
ユーザーの姓属性	ユーザーの姓を読み込むときに使用する属性フィールド。例： `sn`
ユーザーの表示名属性	ユーザーの氏名を読み込むときに使用する属性フィールド。例： `displayName`
ユーザーのメール属性	ユーザーのメールアドレスを読み込むときに使用する属性フィールド。例： `mail`
ユーザーのパスワード属性	ユーザーのパスワードを読み込むときに使用する属性フィールド。例： `unicodePwd`
User Unique ID Attribute	属性は、ユーザーオブジェクトに対する一意かつ不変の ID として使用されます。これは、オプションであり、ユーザー名の変更の追跡に使用されます。この属性が設定されていない場合 (または無効な値に設定されている場合)、ユーザー名は検出されません。ユーアーの削除後の新しいユーザーの追加として解釈されます。 This should normally point to a UUID value. Standards-compliant LDAP servers will implement this as 'entryUUID' according to RFC 4530. This setting exists because it is known under different names on some servers, e.g. 'objectGUID' in Microsoft Active Directory.

グループスキーマ設定

設定	説明
グループオブジェクトクラス	これは LDAP グループオブジェクトに使用されるクラス名です。例： `groupOfUniqueNames` `group`
グループオブジェクトフィルター	グループオブジェクトを検索するときに使用するフィルター。例： (&(objectClass=group)(cn=*))
グループ名属性	グループ名を読み込むときに使用する属性フィールド。例： `cn`
グループ説明属性	グループ名を読み込むときに使用する属性フィールド。例: `description`

メンバーシップスキーマ設定

設定	説明
グループメンバー属性	グループのメンバーを読み込むときに使用する属性フィールド。例： `member`
ユーザーメンバーシップ属性	ユーザーのグループを読み込むときに使用する属性フィールド。例： `memberOf`
ユーザーのグループメンバーシップを検索する際に、ユーザーメンバーシップ属性を使用する	ディレクトリサーバーがユーザーのグループメンバーシップをサポートしている場合に、このボックスを選択します (既定では、これが "`memberOf`" 属性です)。このチェックボックスがオンの場合、アプリケーションは指定されたユーザーが所属するグループのリストの取得時に、ユーザーのグループメンバーシップ属性を使用します。これによって、より効率的に取得することができます。このチェックボックスが選択されていない場合、アプリケーションはグループのメンバー属性 (既定では `member`) を検索に使用します。 [ネストされたグループを有効化] チェックボックスがオンの場合、アプリは[ユーザーメンバーシップ属性を使用] オプションを無視し、グループのメンバー属性を検索に使用します。
グループのメンバーを検索する際に、ユーザーメンバーシップ属性を使用する	ディレクトリサーバーがユーザーのグループメンバーシップをサポートしている場合に、このボックスを選択します (既定では、これが "`member`" 属性です)。このチェックボックスがオンの場合、アプリケーションは指定されたグループのメンバーの取得時に、ユーザーのグループメンバーシップ属性を使用します。これによって、より効率的に検索することができます。このチェックボックスが選択されていない場合、アプリケーションはグループのメンバー属性 (既定では `member`) を検索に使用します。

ページツリー