LMS Moodle और Microsoft सक्रिय निर्देशिका का एकीकरण। भाग 1

खैर, यह हैबर समुदाय में मेरी पहली पोस्ट है। भविष्य में, यह लेख Moodle , BigBlueButton , Microsoft सक्रिय निर्देशिका और Kaspersky Security Center के आधार पर एक शैक्षिक संस्थान के सूचना बुनियादी ढांचे के निर्माण के बारे में कहानियों की श्रृंखला में लेखों में से एक बन जाना चाहिए।
जो लोग नहीं जानते हैं, उनके लिए Moodle एक दूरस्थ शिक्षा प्रणाली है , जैसे कि CMS, शिक्षा पर ध्यान देने के साथ, हब पर इसके बारे में पहले से ही बहुत कुछ लिखा जा चुका है। इस लेख में मैं आपको बताऊंगा कि Microsoft सक्रिय निर्देशिका में बनाए गए उपयोगकर्ता डेटाबेस के साथ इसे पूरी तरह से कैसे जोड़ा जाए।

यह किस लिए है?

• खैर, सबसे पहले, प्रशासक के काम को आसान बनाने के लिए, उपयोगकर्ताओं को एक डेटाबेस में रखना आसान है, और दो में नहीं।
• दूसरे, उपयोगकर्ताओं की सूची को अन्य कर्मचारियों को प्रबंधित करने के लिए कार्यों को सौंपने की संभावना के लिए। तथ्य यह है कि Moodle में सभी उपयोगकर्ताओं को एक संरचना में विभाजित किए बिना एक सूची में "झूठ", और, परिणामस्वरूप, किसी को इस सूची का हिस्सा संपादित करने की अनुमति देना असंभव है। सक्रिय निर्देशिका स्तर पर, संपादन अधिकारों को सौंपना काफी संभव है: इस संकाय के छात्रों के लिए एक विशेष डीन के कार्यालय के कर्मचारियों के लिए, और कक्षा के शिक्षकों को उनकी कक्षा के छात्रों के लिए।
• तीसरा, इस तरह के बंडल का उपयोग आपको एसएसओ को व्यवस्थित करने की अनुमति देता है - उसी उपयोगकर्ता नाम और पासवर्ड के साथ साइट तक पहुंच जिसके साथ उपयोगकर्ता ने विंडोज में लॉग इन किया। एक तिपहिया, लेकिन अच्छा - आपको फिर से पासवर्ड दर्ज करने की आवश्यकता नहीं है।

कहाँ से शुरू करें?

ठीक है, हम मान लेंगे कि निम्नलिखित पहले ही किया जा चुका है:

• Microsoft Windows के सर्वर संस्करण वाला कंप्यूटर कॉन्फ़िगर किया गया है। कोई भी संस्करण, आप 2003 में, आप 2008 में (स्क्रीनशॉट 2012 में होंगे) कर सकते हैं। इस सर्वर पर डोमेन नियंत्रक भूमिका पहले ही उठाई जा चुकी है। कई मशीनों को पहले ही डोमेन में दर्ज किया जा चुका है। डोमेन को ad.liceum.ru कहा जाता है, इसका NetBIOS नाम ad_liceum_ru है , और डोमेन नियंत्रक pdc.ad.liceum.ru है
• Moodle के साथ कॉन्फ़िगर किया गया वेब सर्वर। मेरे पास उबंटू 12.04 पर आधारित है। बेशक, आप उसी मशीन पर IIS और Moodle स्थापित कर सकते हैं जहां डोमेन नियंत्रक है, लेकिन यह एक और कहानी है। सर्वर को moodle.liceum.ru कहा जाता है। स्क्रीनशॉट Moodle 2.5 होगा, लेकिन संस्करण 1.9 के बाद से तर्क मौलिक रूप से नहीं बदला गया है। मेल भेजने के लिए Moodle पहले से कॉन्फ़िगर किया गया है
• डोमेन नियंत्रक, वेब सर्वर और डोमेन में शामिल मशीनें एक दूसरे के साथ बातचीत करने की क्षमता रखती हैं। सबसे सरल मामले में, आप उन्हें एक ही नेटवर्क पर रख सकते हैं, लेकिन आप ट्रिकी रूटिंग और सभी अनावश्यक पोर्ट को बंद करने के साथ अधिक जटिल कॉन्फ़िगरेशन का उपयोग कर सकते हैं।

हम सक्रिय निर्देशिका में उपयोगकर्ताओं का प्रबंधन करते हैं

सबसे पहले, डोमेन में शामिल किसी भी मशीन पर, आपको सक्रिय निर्देशिका उपयोगकर्ता और कंप्यूटर MMC स्नैप-इन चलाने की आवश्यकता होती है। बेशक, आप आरडीपी के माध्यम से सर्वर पर जा सकते हैं और इसे वहां चला सकते हैं, जैसे कि कई व्यवस्थापक। लेकिन अगर आप अपने काम को और सरल बनाने की योजना बनाते हैं, तो उपयोगकर्ता आधार को दूसरों के लिए बनाए रखने के लिए जिम्मेदारियों को स्थानांतरित करते हुए, मैं सुझाव देता हूं कि आप इस स्नैप-इन को अब क्लाइंट मशीनों पर स्थापित करना सीखें। यह विंडोज के विभिन्न संस्करणों में अलग तरीके से किया जाता है। आरंभ करने के लिए, डाउनलोड करें: XP के लिए , 7 SP1 के लिए और 8 के लिए । XP में, स्नैप-इन तुरंत नियंत्रण कक्ष> प्रशासनिक उपकरण के तहत दिखाई देगा। डाउनलोड किए गए अपडेट को स्थापित करने के बाद 7 और 8 में, आपको कंट्रोल पैनल> प्रोग्राम> विंडोज घटकों को चालू या बंद करने की आवश्यकता होगी । वहां, दूरस्थ सर्वर व्यवस्थापन उपकरण> भूमिका प्रशासन उपकरण> सक्रिय निर्देशिका डोमेन सेवा उपकरण और ...> सक्रिय निर्देशिका डोमेन सेवा उपकरण> स्नैप-इन उपकरण और कमांड-लाइन उपकरण ... और स्थापना के लिए उत्तर नोट करें।



उल्लेखित स्नैप-इन का उपयोग करते हुए, हम उपयोगकर्ताओं के लिए एक अलग इकाई बनाएंगे। इसमें हम सभी उपयोगकर्ताओं के खातों को संग्रहीत करेंगे, संरचना को हमारे लिए सुविधाजनक तरीके से स्थापित करेंगे। ट्राइट, लेकिन मैं इस इकाई को "उपयोगकर्ता" कहूंगा।


Moodle प्रणाली सक्रिय निर्देशिका से उपयोगकर्ताओं के बारे में जानकारी का अनुरोध करने में सक्षम होने के लिए, हम संचार के लिए एक विशेष उपयोगकर्ता बनाएंगे। इसे मनोदशा_लिसुम_रू कहा जाता है। हम इसे "उपयोगकर्ता" कंटेनर में नहीं बनाएंगे, जिसे हमने बनाया था, लेकिन शुरू में मौजूद "उपयोगकर्ता" कंटेनर ताकि वास्तविक उपयोगकर्ताओं के खातों और सिस्टम के बीच संचार के लिए बनाए गए सेवा खाते के बीच कोई भ्रम न हो।

हम बनाए गए खाते को डोमेन एडम्स ग्रुप में जोड़ देंगे।

बेशक, व्यवस्थापकों के समूह में एक सेवा खाता जोड़ना एक अच्छा विचार नहीं है, क्योंकि Moodle व्यवस्थापक पासवर्ड चुरा लेने या Moodle डेटाबेस तक पहुंच प्राप्त करने के बाद, आप डोमेन तक भी पहुंच प्राप्त कर सकते हैं, क्योंकि Moodle में संचार के लिए उपयोगकर्ता पासवर्ड स्पष्ट पाठ में संग्रहीत किया जाता है। वास्तव में, यह खाता "उपयोगकर्ता" उपखंड में उपयोगकर्ताओं को संपादित करने का अधिकार देने के लिए पर्याप्त है। यह कैसे करना है, मैं बाद में वर्णन करूंगा। लेकिन, जैसा कि वे कहते हैं, एक चेतावनी है । यदि उपयोगकर्ता डोमेन व्यवस्थापक समूह का सदस्य है, तो इस स्थिति में, उपयोगकर्ता को Moodle से नहीं बदला जा सकता है। जिस इकाई में उपयोगकर्ता स्थित है, उसके संपादन अधिकार के बावजूद, केवल अन्य डोमेन व्यवस्थापक ही डोमेन व्यवस्थापक के लिए पासवर्ड बदल सकता है। ऐसी है विंडोज की रहस्यमयी आत्मा।

अब सक्रिय निर्देशिका में एक वास्तविक उपयोगकर्ता बनाएँ।

मध्य नाम, यदि आप इसे प्रदर्शित करना चाहते हैं, तो नाम के समान फ़ील्ड में तुरंत दर्ज करना बेहतर है। तथ्य यह है कि डिफ़ॉल्ट रूप से न तो सक्रिय निर्देशिका और न ही मूडल इंटरफ़ेस में मध्य नाम फ़ील्ड प्रदान करते हैं। तुरंत यह "पूर्ण नाम" फ़ील्ड में नाम और उपनाम के क्रम को बदलने के लायक है। यह आपको उपयोगकर्ताओं को सामान्य तरीके से सूची में नाम से देखने की अनुमति देगा।

उपयोगकर्ता बनाने और उसका पासवर्ड सेट करने के बाद, हम गुणों को कॉल करते हैं। ई-मेल, देश और शहर के साथ खेतों में भरें। यह किस लिए है? तथ्य यह है कि सावधानीपूर्वक कामचोर प्रणाली का मानना ​​है कि फ़ील्ड ईमेल, देश और शहर को अपवाद के बिना सभी उपयोगकर्ताओं द्वारा भरना आवश्यक है। और, यदि उन्हें सक्रिय निर्देशिका से प्राप्त नहीं किया जा सकता है, तो उपयोगकर्ता इस डेटा को दर्ज करने तक काम करना जारी नहीं रख सकेगा। ठीक है, यह शहर और देश के साथ स्पष्ट है, लेकिन क्या होगा यदि उपयोगकर्ता के पास ई-मेल नहीं है, या व्यवस्थापक इसे नहीं जानते हैं? इस मामले में, आप एक काल्पनिक ईमेल के साथ आ सकते हैं। यदि वांछित है, तो उपयोगकर्ता इसे बदलने में सक्षम होगा, जबकि एक पुष्टिकरण पत्र एक नए पते पर भेजा जाएगा, जिसका अर्थ है कि उपयोगकर्ता के पास हमारे द्वारा आविष्कार किए गए मेल तक पहुंच नहीं है।

मूड को कस्टमाइज़ करें

प्रशासन में प्लग इन करें> प्लगइन्स> प्रमाणीकरण> प्रमाणीकरण सेटिंग्स , "LDAP सर्वर" प्लगइन सक्षम करें

क्यों LDAP? खैर, LDAP एक पदानुक्रमित डेटाबेस के साथ काम करने के लिए एक प्रोटोकॉल है। इसलिए, आप इस प्रोटोकॉल का उपयोग करके सक्रिय निर्देशिका से जुड़ सकते हैं।

ठीक है, चलो प्रमाणीकरण प्लगइन स्थापित करना शुरू करें। हम अपने सर्वर का नाम "सर्वर URL" फ़ील्ड में दर्शाते हैं, इसमें ldap: // उपसर्ग जोड़ते हैं। याद रखें, वेब सर्वर IP पते के लिए LDAP सर्वर नाम को सही ढंग से हल करने में सक्षम होना चाहिए। ऐसा करने के लिए, आप डोमेन नियंत्रक को DNS सर्वर के रूप में निर्दिष्ट कर सकते हैं, आप DNS को अधिक चतुराई से कॉन्फ़िगर कर सकते हैं, आप बस वेब सर्वर के साथ मशीन पर होस्ट्स फ़ाइल में सही आईपी दर्ज कर सकते हैं। ठीक है, आप निश्चित रूप से, मूडल सेटिंग्स में एक नाम के बजाय आईपी निर्दिष्ट कर सकते हैं। वैसे, जो नहीं जानता है, आप जांच सकते हैं कि पिंग और nslookup कमांड का उपयोग करके क्या नाम हल किया गया है।

बेशक, यदि आप भविष्य के बारे में सोच रहे हैं, तो आपके पास एक बैकअप डोमेन नियंत्रक है। इस मामले में, यह भी यहाँ ध्यान देने योग्य है। इस खंड के अन्य मापदंडों को डिफ़ॉल्ट रूप से छोड़ा जाना चाहिए।

अब आपको सर्वर से कनेक्ट करने के लिए डेटा निर्दिष्ट करने की आवश्यकता है। हालांकि, यह सिर्फ एक उपयोगकर्ता नाम और पासवर्ड नहीं है, लॉगिन के बजाय किसी प्रकार के विशिष्ट नाम की आवश्यकता होती है, यह एक विशिष्ट नाम या निरंतर डीएन भी है। यह क्या है? तथ्य यह है कि एक पदानुक्रमित डेटाबेस में, एक फ़ाइल सिस्टम के रूप में, एक ही नाम के साथ कई ऑब्जेक्ट हो सकते हैं। तो, फ़ाइल सिस्टम में फ़ाइल नाम को आम तौर पर एलडीएपी में सामान्य नाम या सीएन कहा जाता है, और जिसे पूर्ण फ़ाइल नाम कहा जाता है, अर्थात, फ़ाइल का नाम और इसके पथ को, विशिष्ट नाम या डीएन कहा जाता है। खैर, अब इस डीएन का पता लगाने के तरीके पर एक छोटा सा विषयांतर।

हम LDAP में आवश्यक जानकारी की तलाश करते हैं

सक्रिय निर्देशिका उपयोगकर्ता और कंप्यूटर स्नैप-इन पर लौटते हैं। दृश्य मेनू में, अतिरिक्त घटकों के विकल्प को सक्षम करें

अब, जब हम विभिन्न वस्तुओं के गुणों को कॉल करेंगे, तो टैब के बीच एक विशेषता संपादक होगा

विशेषता संपादक में, आप किसी ऑब्जेक्ट के सभी गुण देख सकते हैं। यह वहाँ होगा और विशिष्ट नाम हमें चाहिए।


वैसे, यह उन क्षेत्रों के नामों को देखने का समय है जो सभी प्रकार के उपयोगकर्ता डेटा को संग्रहीत करते हैं। हमने उपयोगकर्ता के कार्ड में जो दर्ज किया और जो हम विशेषता संपादक में देखते हैं, उसकी तुलना करके, हम एक टैबलेट बनाएंगे।

मूल्य	गुण
उपनाम	एस.एन.
पहला नाम	givenName
विंडोज लॉगिन	sAMAccountName
ई-मेल	मेल
शहर	एल
देश	साथ

पर्यवेक्षकों का मानना ​​है कि देश दो बार संग्रहीत किया जाता है - सह विशेषता में पूरा नाम और सी विशेषता में कोड। मूडल को दो अक्षर वाले कोड की आवश्यकता होगी।

हम Moodle को अनुकूलित करना जारी रखते हैं

Moodle में, सक्रिय निर्देशिका में प्रदर्शित विशिष्ट उपयोगकर्ता नाम और पासवर्ड दर्ज करें। मेरे उदाहरण में, प्रतिष्ठित नाम CN = moodle_liceum_ru, CN = उपयोगकर्ता, DC = विज्ञापन, DC = liceum, DC = ru होगा । "उपयोगकर्ता प्रकार" फ़ील्ड में, "MS ActiveDirectory" निर्दिष्ट करें।

डिफ़ॉल्ट रूप से, Moodle अपने डेटाबेस में पासवर्ड हैश को संग्रहीत करता है। यह अच्छी तरह से संग्रहीत करता है - हाल के संस्करणों में, bcrypt एल्गोरिथ्म का उपयोग किया जाता है, इसलिए md5 डेटाबेस को खोजकर ऐसे पासवर्ड को डिक्रिप्ट नहीं किया जा सकता है। सच है, यह बहुत कम उपयोग है, क्योंकि यदि सक्रिय निर्देशिका के साथ कनेक्शन अचानक गायब हो जाता है, तो उपयोगकर्ता पासवर्ड की जानकारी उपलब्ध होने के बावजूद सिस्टम में लॉग इन नहीं कर पाएंगे। सहेजे गए पासवर्ड का उपयोग करने का एकमात्र तरीका यह है कि व्यवस्थापक मैन्युअल रूप से उपयोगकर्ता खाते के लिए प्रमाणीकरण प्रकार को मैन्युअल पंजीकरण पर स्विच करे। लेकिन आप डोंट स्टोर पासवर्ड मोड को सक्रिय करके इसे बंद कर सकते हैं।

कंटेनर फ़ील्ड में, उस विभाग का विशिष्ट नाम निर्दिष्ट करें जिसमें उपयोगकर्ता संग्रहीत हैं। इसे ऊपर वर्णित तरीके से पहचाना जा सकता है। हमारे मामले में, यह OU = उपयोगकर्ता, DC = ad, DC = liceum, DC = ru होगा । चूंकि उपयोगकर्ता हमारी सहायक कंपनियों में संग्रहीत हैं, इसलिए हम खोज को बाल कंटेनरों में सक्षम करते हैं।

उपयोगकर्ता विशेषता फ़ील्ड में , sAMAccountName निर्दिष्ट करें। आप निश्चित रूप से, इस पैरामीटर के साथ प्रयोग कर सकते हैं। यदि आप यहां मेल निर्दिष्ट करते हैं, तो आपको सिस्टम में प्रवेश करते समय ईमेल पते को लॉगिन के रूप में निर्दिष्ट करना होगा, यदि आप टेलीफोन नंबर निर्दिष्ट करते हैं, तो फोन नंबर। हालांकि, सभी विकल्पों के साथ, हम बाद में डोमेन से किसी खाते के साथ स्वचालित लॉगिन को कॉन्फ़िगर करने में सक्षम नहीं होंगे।

अन्य मापदंडों को डिफ़ॉल्ट रूप से छोड़ दिया जाएगा।

सदस्य लॉग इन

खैर, यह सक्रिय निर्देशिका से एक खाते के साथ मूडल में प्रवेश करने की कोशिश करने का समय है।


अगर इससे पहले कि सब कुछ सही ढंग से किया गया था, तो आप Moodle में प्रवेश करने में सक्षम होंगे। हालांकि, सिस्टम हमें एक खाली फॉर्म भरने की पेशकश करेगा - Moodle में कोई उपयोगकर्ता डेटा नहीं होगा।


कारण सरल है - हमने अभी तक मूडल नहीं बताया है कि वास्तव में डेटा कहां से लिया जाना चाहिए। "डेटा मैपिंग" पैरामीटर समूह इसके लिए जिम्मेदार है। पहले प्राप्त प्लेट का उपयोग करके फ़ील्ड भरें।


खैर, फिर से लॉग इन करने का प्रयास करें। इस बार, यदि सब कुछ सही ढंग से किया जाता है, तो लापता फ़ील्ड को भरने का कोई अनुरोध नहीं होगा। उपयोगकर्ता डेटा ऊपरी दाएं कोने में इंगित किया जाएगा।


यदि आप उपयोगकर्ता प्रोफ़ाइल को लागू करते हैं, तो आप सत्यापित कर सकते हैं कि डेटा LDAP से जानकारी से मेल खाता है।

डेटा अपडेट के लिए जाँच करें

और डेटा का मिलान करते समय अपडेट स्थानीय खाते , अपडेट बाहरी खाते और लॉक मान का उपयोग कैसे करें?

इस तरह के डेटा, उदाहरण के लिए, पहला और अंतिम नाम विशेष रूप से सक्रिय निर्देशिका से प्रबंधित करने के लिए वांछनीय होगा। यह आवश्यक है, उदाहरण के लिए, ताकि छात्र नाम और उपनाम के बजाय सभी प्रकार की बकवास न लिखें। और जब AD में डेटा बदलते हैं, तो मैं उन्हें Moodle में जल्दी से जल्दी अपडेट करना चाहूंगा। इन विकल्पों के लिए, प्रत्येक प्रविष्टि पर , कभी नहीं , अवरुद्ध का एक संयोजन उपयुक्त है ।

मेरे उदाहरण में, उपयोगकर्ताओं के ईमेल पते अज्ञात हैं, इसलिए काल्पनिक लोगों का आविष्कार किया गया था। यह दृष्टिकोण उपयोगकर्ताओं को तुरंत सिस्टम में काम करना शुरू करने की अनुमति देता है, और फिर, यदि वांछित हो, तो ईमेल पते को वास्तविक के साथ बदलें, उदाहरण के लिए, सूचनाएं प्राप्त करना शुरू करना। यदि आप चाहते हैं कि उपयोगकर्ता आवश्यक रूप से पहले लॉगिन पर ई-मेल दर्ज करें, तो इस क्षेत्र को सक्रिय निर्देशिका में नहीं भरा जाना चाहिए। ईमेल के लिए, मैं हर बार लॉग इन करते समय , अपडेट करते समय , अनलॉक किए जाने पर विकल्प का उपयोग करता हूं । यह आपको Moodle में अपडेट करने के दौरान AD में डेटा अपडेट करने की अनुमति देता है, और इसके विपरीत।

ठीक है, अब आइए देखें कि डेटा अपडेट है या नहीं। Moodle से बाहर निकलें, सक्रिय निर्देशिका में उपयोगकर्ता के ईमेल को ठीक करें, और Moodle पर वापस जाएं। उपयोगकर्ता को प्रोफ़ाइल में नया मेल प्रदर्शित करना चाहिए।
अब Moodle से ईमेल बदलें। एक पुष्टिकरण ईमेल भेजा जाएगा। Moodle और सक्रिय निर्देशिका में पता नए पते की पुष्टि के तुरंत बाद बदलना होगा।

खैर, Moodle से सक्रिय निर्देशिका में पासवर्ड समाप्ति को कॉन्फ़िगर करने के तरीके के बारे में, उपयोगकर्ताओं को स्वयं खाते बनाने की अनुमति कैसे दें, और निश्चित रूप से, पासवर्ड दर्ज किए बिना Moodle में प्रवेश कैसे करें - मुझे उम्मीद है कि अगले खंडों में इस सब के बारे में बताएं। जब तक, ज़ाहिर है, कोई व्यक्ति एक निमंत्रण भेजता है।