GLPI + Active Directory

Objectif

Intégrer GLPI avec Active Directory pour permettre aux utilisateurs du domaine de se connecter avec leurs identifiants Windows et importer automatiquement les utilisateurs et groupes de l'annuaire.

Prérequis

• GLPI installé et fonctionnel
• Active Directory opérationnel (ex: grp3.local)
• Compte de service AD avec droits de lecture
• Module PHP LDAP installé : apt install php-ldap -y
• Connectivité réseau entre GLPI et le contrôleur de domaine

Procédure Complète (Interface GLPI)

Étape 1 : Activer l'authentification externe

1. Se connecter en tant qu'administrateur GLPI
2. Aller dans Configuration → Authentification
3. Onglet Configuration
4. Cocher "Activer l'authentification externe"
5. Sauvegarder

Étape 2 : Ajouter un annuaire LDAP

1. Configuration → Authentification → Annuaires LDAP
2. Cliquer sur "+" (ajouter)

Nom : Active Directory grp3.local

Serveur par défaut : Oui
Actif : Oui

Serveur : grp3.local (ou IP : 192.168.1.10)
Port : 389 (LDAP) ou 636 (LDAPS)

Filtre de connexion : (&(objectClass=user)(objectCategory=person))
BaseDN : DC=grp3,DC=local
RootDN (DN de connexion) : CN=glpi,OU=ServiceAccounts,DC=grp3,DC=local
Mot de passe : [mot de passe du compte glpi]

Champ de l'identifiant : samaccountname
Champ de synchronisation : objectguid

Champ du nom : sn
Champ du prénom : givenname
Champ de l'email : mail
Champ du téléphone : telephonenumber
Champ du téléphone 2 : mobile

Étape 3 : Tester la connexion

Cliquer sur "Tester" en bas du formulaire

Étape 4 : Import des utilisateurs

1. Administration → Utilisateurs
2. Onglet "Liaison annuaire LDAP"
3. Sélectionner l'annuaire configuré : Active Directory grp3.local
4. Choisir le mode d'import :
   • Filtre de recherche LDAP : (memberOf=CN=Utilisateurs_GLPI,OU=Groups,DC=grp3,DC=local)
   • Ou laisser vide pour importer tous les utilisateurs
5. Cliquer sur "Rechercher"
6. Sélectionner les utilisateurs à importer
7. Cliquer sur "Importer"

Étape 5 : Synchronisation automatique

Configuration → Authentification → Annuaires LDAP

Éditer l'annuaire créé :

Actions automatiques :
 Synchroniser les utilisateurs déjà importés depuis un annuaire LDAP
 Importer les nouveaux utilisateurs depuis un annuaire LDAP
 Restaurer les utilisateurs supprimés de GLPI

Fréquence de synchronisation : Toutes les heures

Étape 6 : Configuration des groupes

Configuration → Authentification → Annuaires LDAP → Groupes

Filtre de recherche de groupes : (objectClass=group)
Condition de recherche de groupes : memberOf
Utiliser DN : Oui

Rechercher dans les groupes : OU=Groups,DC=grp3,DC=local

Import des groupes :

1. Administration → Groupes → Liaison annuaire LDAP
2. Sélectionner l'annuaire
3. Rechercher et importer les groupes souhaités

Vérifications

Test de connexion avec compte AD

1. Se déconnecter du compte admin GLPI
2. Se connecter avec un compte AD importé (ex: jdupont / motdepasseAD)
3. Vérifier l'accès à GLPI

Vérification de la synchronisation

Administration → Utilisateurs : les utilisateurs AD doivent apparaître avec l'icône LDAP

Logs LDAP

Configuration → Authentification → Annuaires LDAP → Logs

Configuration avancée

Attribution automatique de profils par groupe

1. Administration → Profils
2. Sélectionner un profil (ex: Technicien)
3. Onglet "Utilisateurs"
4. Associer un groupe LDAP importé

Tous les membres de ce groupe AD auront automatiquement le profil "Technicien"

Restriction par OU

Pour importer uniquement une OU spécifique :

BaseDN : OU=Informatique,DC=grp3,DC=local

LDAPS (connexion sécurisée)

Serveur : ldaps://grp3.local
Port : 636

Dépannage

Test de connectivité LDAP depuis le serveur GLPI

ldapsearch -x -H ldap://grp3.local:389 \
-D "CN=glpi,OU=ServiceAccounts,DC=grp3,DC=local" \
-W \
-b "DC=grp3,DC=local" \
"(samaccountname=jdupont)"

Erreur "Connexion impossible"

• Vérifier le pare-feu (port 389/636 ouvert)
• Vérifier le DN du compte de service
• Vérifier le mot de passe
• Tester avec telnet : telnet grp3.local 389

Aucun utilisateur trouvé

• Vérifier le BaseDN
• Vérifier le filtre de connexion
• Vérifier que les utilisateurs existent dans l'AD

Points Clés pour l'Oral BTS

• Avantages : authentification centralisée, gestion unifiée, SSO partiel
• Attributs LDAP : samaccountname (login), sn (nom), givenname (prénom), mail
• Compte de service : droits minimaux (lecture seule sur l'annuaire)
• Synchronisation : unidirectionnelle (AD → GLPI)
• Groupes AD : permet attribution automatique de profils GLPI
• Sécurité : privilégier LDAPS (port 636) pour chiffrement
• Alternative : authentification SSO via CAS, SAML, OAuth2