Configurar el inicio de sesión de Nextcloud mediante LDAP y Active Directory

Para usar cuentas LDAP o Active Directory en Nextcloud, habilite la aplicación "Backend de usuarios y grupos LDAP", configure una conexión de directorio y, a continuación, pruebe los filtros de usuario, inicio de sesión y grupo antes de permitir que el personal los utilice. La integración LDAP de Nextcloud se autentica con el directorio; no crea ni gestiona cuentas de directorio. Comience con una cuenta de servicio de solo lectura y un pequeño grupo de prueba conocido para confirmar quién aparecerá y quién podrá iniciar sesión.

Estos pasos se basan en el Manual de administración de Nextcloud 35. Las etiquetas del menú y el empaquetado pueden variar según la versión, así que consulte el manual de la versión instalada si hay diferencias.

Prepare la conexión del directorio

Antes de abrir la configuración de Nextcloud, solicite a su administrador de LDAP o AD el nombre de host del directorio, el método de conexión cifrada, el puerto, el DN base y una cuenta de enlace que pueda buscar en los árboles de usuarios y grupos necesarios. Nextcloud utiliza la cuenta de enlace para consultar los registros del directorio; esta cuenta es independiente de las credenciales de inicio de sesión de cada usuario. Nextcloud recomienda utilizar una cuenta de búsqueda dedicada.

Utilice una conexión cifrada con verificación de certificado. Nextcloud documenta el puerto 636 como el predeterminado para LDAPS. El entorno PHP del servidor Nextcloud debe confiar en el certificado del directorio; no desactive la verificación como solución rutinaria. Confirme cualquier protocolo de transporte o puerto no estándar con el administrador del directorio.

Confirme que el módulo PHP LDAP esté instalado (a menudo empaquetado como php-ldap) y que el servidor Nextcloud pueda acceder al directorio en el puerto seleccionado. Las implementaciones en contenedores y gestionadas pueden tener su propio método de instalación compatible.

Habilite el backend LDAP y conéctese al servidor.

1. Inicie sesión en Nextcloud como administrador. Abra Aplicaciones y habilite el backend de usuarios y grupos LDAP si aún no está habilitado. El ID de la aplicación utilizado occes user_ldap.
2. Abra la configuración de administración para la integración LDAP/AD e inicie una nueva configuración de servidor. Complete primero la pestaña Servidor ; Nextcloud la utiliza para probar la conexión de directorio y detectar la configuración de las demás pestañas.
3. Introduzca el host del directorio o una ldaps://URI, el puerto si no se detecta, el nombre distinguido (DN) completo de la cuenta de enlace, su contraseña y el DN base. Un DN base identifica la parte del árbol de directorios que Nextcloud busca. Por ejemplo, dc=example,dc=comes un formato, no un valor para copiar a menos que coincida con su directorio.
4. Ejecute la prueba de conexión. Si la detección no encuentra el DN base o el puerto, introduzca los valores proporcionados por el administrador del directorio. No amplíe el DN base solo para que la prueba sea exitosa; utilice el subárbol de directorio más pequeño que contenga los usuarios y grupos previstos.

Un indicador de servidor verde significa que Nextcloud puede comunicarse con el directorio utilizando esa configuración de conexión. Esto no garantiza que los usuarios correctos puedan iniciar sesión ni que la pertenencia a grupos esté asignada correctamente. Continúe con la configuración de usuarios, inicio de sesión y grupos antes de considerar que la integración está lista.

Limitar qué cuentas pueden iniciar sesión

Utilice la pestaña Usuarios para definir qué registros LDAP lista Nextcloud. Utilice Atributos de inicio de sesión para decidir qué atributo puede introducir una persona en la pantalla de inicio de sesión. Se trata de controles independientes: un usuario puede aparecer en el directorio sin tener permiso para iniciar sesión, y un filtro de inicio de sesión puede afectar a los usuarios que se aceptan.

Para Active Directory, la configuración de Nextcloud puede detectar automáticamente ajustes comunes, incluido el atributo de nombre de usuario. El atributo de nombre de usuario predeterminado documentado suele encontrarse sAMAccountNameen AD y uiden muchos directorios LDAP. Compruebe el valor detectado con una cuenta de prueba real. Si los usuarios deben iniciar sesión con direcciones de correo electrónico, seleccione el atributo de correo electrónico solo después de confirmar que esté completo y sea único para cada cuenta permitida.

Siempre que sea posible, restrinja el acceso a un grupo específico de Nextcloud. Utilice el selector de grupos o un filtro probado con su propia clase de objeto, DN de grupo y atributos. No copie filtros de ejemplo sin modificar: un filtro incorrecto podría no devolver ningún usuario o mostrar un conjunto de resultados no deseado.

En Grupos , seleccione la clase de objeto de grupo del directorio y los grupos que desea mostrar; ninguno está disponible por defecto hasta que se configure. Para grupos de AD anidados, Nextcloud indica que la opción "Grupos anidados" por sí sola podría no ser suficiente: los filtros de usuario e inicio de sesión también podrían necesitar la regla de coincidencia de AD. Confirme este comportamiento con el administrador del directorio y pruebe con un miembro anidado.

Prueba las identidades antes de la producción.

1. Revise la configuración avanzada sin modificar las opciones que no comprenda. En particular, decida qué campo proporciona el nombre para mostrar y mantenga sin cambios la regla de nombre de usuario interno.
2. Compruebe el estado de la configuración activa . Nextcloud advierte que una configuración desactivada puede provocar un fallo en la autenticación con un mensaje engañoso de "contraseña incorrecta"; una prueba exitosa normalmente la activa automáticamente.
3. Utilice la opción "Probar configuración" y, a continuación, guarde. El botón comprueba los valores que aparecen actualmente en los campos, por lo que no es necesario guardar antes de la prueba.
4. Abre la página de Usuarios de Nextcloud y confirma que aparecen los usuarios y grupos de ejemplo esperados. A continuación, prueba a iniciar sesión con una cuenta de directorio permitida y otra que deba estar excluida.
5. Confirme que la cuenta autorizada tenga el nombre para mostrar, la pertenencia a grupos y el comportamiento de cuota correctos. Si se ha configurado un atributo de perfil o una cuota LDAP, verifíquelo con un usuario de prueba antes de la implementación general.

Para realizar comprobaciones desde la línea de comandos, primero busque el ID de configuración con occ ldap:show-config. A continuación, ejecute el comando de prueba documentado, sustituyendo ese ID:

sudo -E -u www-data php occ ldap:test-config s01
sudo -E -u www-data php occ ldap:test-user-settings "USER_DN"

Ajusta la ruta de comandos y la cuenta del servidor web para tu instalación; los usuarios de contenedores deben seguir el occprocedimiento de su imagen. El primer comando prueba la vinculación, mientras que el segundo inspecciona la asignación de un usuario.

Sepa qué no cambia la integración

El servidor LDAP lee las cuentas del directorio; no las crea, edita ni elimina. Los cambios de contraseña desde Nextcloud son opcionales y dependen de la compatibilidad y configuración del directorio. De lo contrario, los usuarios deben seguir el proceso habitual de restablecimiento de contraseña de la organización.

Nextcloud almacena asignaciones internas, y los nombres de usuario internos son prácticamente inmutables; pueden aparecer en las rutas de las carpetas de inicio y en las URL DAV. Elija un identificador estable antes de incorporar usuarios. Nunca borre las asignaciones LDAP en una instancia de producción como atajo para solucionar problemas, ya que puede dejar referencias residuales y afectar a todas las configuraciones LDAP.

Si la prueba falla, revise los registros de Nextcloud, el DNS, el acceso a puertos, las credenciales de enlace, el DN base y la confianza del certificado. Si no aparecen usuarios, revise los filtros de usuario y las clases de objetos; si aparecen usuarios pero no pueden iniciar sesión, revise los atributos de inicio de sesión y el estado activo. Verifique iniciando sesión con una cuenta permitida y confirmando que se rechaza una cuenta excluida.

Referencias: Documentación de autenticación LDAP de Nextcloud 35 , comandos occ LDAP de Nextcloud 35 y requisitos del módulo PHP de Nextcloud .