Configurer la connexion LDAP et Active Directory à Nextcloud

Pour utiliser des comptes LDAP ou Active Directory dans Nextcloud, activez l'application « Gestion des utilisateurs et groupes LDAP », configurez une connexion à l'annuaire, puis testez les filtres d'utilisateurs, de connexion et de groupes avant d'autoriser leur utilisation par vos collaborateurs. L'intégration LDAP de Nextcloud authentifie les utilisateurs auprès de l'annuaire ; elle ne crée ni ne gère les comptes d'annuaire. Commencez par un compte de service en lecture seule et un petit groupe de test clairement identifié afin de vérifier précisément qui apparaîtra et qui pourra se connecter.

Ces étapes suivent le manuel d'administration de Nextcloud 35. Les intitulés des menus et l'interface peuvent varier selon la version ; veuillez consulter le manuel de votre version installée si nécessaire.

Préparer la connexion au répertoire

Avant d'accéder aux paramètres de Nextcloud, demandez à votre administrateur LDAP ou AD le nom d'hôte de l'annuaire, la méthode de connexion chiffrée, le port, le DN de base et un compte de liaison permettant de parcourir les arborescences d'utilisateurs et de groupes requises. Ce compte de liaison est utilisé par Nextcloud pour interroger l'annuaire ; il est distinct des identifiants de connexion de chaque utilisateur. Nextcloud recommande l'utilisation d'un compte de recherche dédié.

Utilisez une connexion chiffrée avec vérification de certificat. Nextcloud indique que le port 636 est le port LDAPS par défaut. L'environnement PHP du serveur Nextcloud doit faire confiance au certificat de l'annuaire ; ne désactivez pas la vérification comme solution de dépannage courante. Confirmez tout protocole de transport ou port non standard auprès de votre administrateur d'annuaire.

Vérifiez que le module LDAP PHP est installé (souvent fourni sous le nom `php-ldap` php-ldap) et que le serveur Nextcloud peut accéder au répertoire sur le port sélectionné. Les déploiements conteneurisés et gérés peuvent avoir leur propre méthode d'installation.

Activez le backend LDAP et connectez-vous au serveur.

1. Connectez-vous à Nextcloud en tant qu'administrateur. Ouvrez Applications et activez le backend LDAP pour les utilisateurs et les groupes s'il n'est pas déjà activé. L'identifiant de l'application utilisé occestuser_ldap : .
2. Ouvrez les paramètres d'administration pour l'intégration LDAP/AD et configurez un nouveau serveur. Commencez par remplir l' onglet Serveur ; Nextcloud l'utilise pour tester la connexion à l'annuaire et détecter les paramètres des autres onglets.
3. Saisissez l'hôte du répertoire ou une ldaps://URI, le port s'il n'est pas détecté, le nom distinctif complet (DN) du compte de liaison, son mot de passe et le DN de base. Le DN de base identifie la partie de l'arborescence du répertoire que Nextcloud parcourt. Par exemple, dc=example,dc=comil s'agit d'un format, et non d'une valeur à copier sauf si elle correspond à votre répertoire.
4. Lancez le test de connexion. Si la découverte ne trouve pas le DN de base ou le port, saisissez les valeurs fournies par votre administrateur d'annuaire. N'élargissez pas le DN de base uniquement pour réussir le test ; utilisez le plus petit sous-arbre d'annuaire contenant les utilisateurs et groupes souhaités.

Un indicateur de serveur vert signifie que Nextcloud peut communiquer avec l'annuaire en utilisant ces paramètres de connexion. Cela ne garantit pas que les utilisateurs autorisés peuvent se connecter ni que l'appartenance aux groupes est correctement configurée. Veuillez poursuivre la configuration des utilisateurs, des identifiants et des groupes avant de considérer l'intégration comme terminée.

Limiter les comptes autorisés à se connecter

Utilisez l' onglet Utilisateurs pour définir les enregistrements LDAP que Nextcloud doit répertorier. Utilisez les attributs de connexion pour déterminer les attributs qu'un utilisateur peut saisir sur l'écran de connexion. Ces deux options sont indépendantes : un utilisateur peut être référencé dans l'annuaire sans pouvoir se connecter, et un filtre de connexion peut limiter les utilisateurs autorisés.

Pour Active Directory, la configuration de Nextcloud détecte automatiquement les paramètres courants, notamment l'attribut « nom d'utilisateur ». La valeur par défaut de cet attribut est généralement présente sAMAccountNamedans Active Directory et uiddans de nombreux annuaires LDAP. Vérifiez la valeur détectée à l'aide d'un compte de test. Si l'authentification par adresse e-mail est requise, sélectionnez l'attribut « e-mail » uniquement après avoir vérifié qu'il est renseigné et unique pour chaque compte autorisé.

Dans la mesure du possible, limitez l'accès à un groupe Nextcloud dédié. Utilisez le sélecteur de groupe ou un filtre testé avec votre propre classe d'objets, DN de groupe et attributs. Ne copiez pas les exemples de filtres tels quels : un filtre mal conçu peut ne renvoyer aucun utilisateur ou un ensemble plus large que prévu.

Dans la section Groupes , choisissez la classe d'objet groupe du répertoire et les groupes à exposer ; aucun n'est disponible par défaut. Pour les groupes AD imbriqués, Nextcloud indique que l'option « Groupes imbriqués » seule peut ne pas suffire : les filtres d'utilisateurs et de connexion peuvent également nécessiter une règle de correspondance AD. Confirmez ce comportement avec votre administrateur de répertoire et testez un membre imbriqué.

Tester les identités avant la production

1. Examinez les paramètres avancés sans modifier les options que vous ne comprenez pas. En particulier, choisissez le champ qui servira à afficher le nom d'affichage et laissez la règle du nom d'utilisateur interne inchangée.
2. Vérifiez l' état de la configuration . Nextcloud signale qu'une configuration désactivée peut entraîner un échec d'authentification avec un message d'erreur « mot de passe incorrect » ; un test réussi l'active normalement automatiquement.
3. Utilisez le bouton « Tester la configuration » , puis enregistrez. Ce bouton teste les valeurs actuellement saisies dans les champs ; il n’est donc pas nécessaire d’enregistrer avant le test.
4. Ouvrez la page Utilisateurs de Nextcloud et vérifiez que les utilisateurs et groupes attendus apparaissent bien. Testez ensuite la connexion avec un compte autorisé et un compte à exclure.
5. Vérifiez que le compte autorisé possède le nom d'affichage, l'appartenance au groupe et le comportement de quota corrects. Si un attribut de profil ou un quota LDAP est configuré, testez-le avec un utilisateur de test avant le déploiement à grande échelle.

Pour les vérifications en ligne de commande, commencez par trouver l'ID de configuration avec occ ldap:show-config. Ensuite, exécutez la commande de test documentée en remplaçant cet ID :

sudo -E -u www-data php occ ldap:test-config s01
sudo -E -u www-data php occ ldap:test-user-settings "USER_DN"

Adaptez le chemin d'accès aux commandes et le compte du serveur web à votre installation ; les utilisateurs de conteneurs doivent suivre la procédure de leur image occ. La première commande teste la liaison, tandis que la seconde examine le mappage d'un utilisateur.

Sachez ce que l'intégration ne change pas.

Le serveur LDAP lit les comptes d'annuaire ; il ne les crée, ne les modifie ni ne les supprime. La modification des mots de passe depuis Nextcloud est facultative et dépend de la prise en charge et de la configuration de l'annuaire. Dans le cas contraire, les utilisateurs doivent suivre la procédure de réinitialisation de mot de passe habituelle de l'organisation.

Nextcloud stocke des correspondances internes, et les noms d'utilisateur internes sont immuables ; ils peuvent apparaître dans les chemins des dossiers personnels et les URL DAV. Choisissez un identifiant stable avant d'intégrer des utilisateurs. Ne supprimez jamais les correspondances LDAP sur une instance de production pour résoudre un problème rapidement, car cela peut laisser des références et affecter toutes les configurations LDAP.

Si le test échoue, vérifiez les journaux Nextcloud, le DNS, l'accès aux ports, les identifiants de liaison, le DN de base et la confiance du certificat. Si aucun utilisateur n'apparaît, examinez les filtres d'utilisateurs et les classes d'objets ; si des utilisateurs apparaissent mais ne peuvent pas se connecter, vérifiez les attributs de connexion et leur statut actif. Pour confirmer, connectez-vous avec un compte autorisé et vérifiez qu'un compte exclu est bien rejeté.

Références : Documentation d'authentification LDAP de Nextcloud 35 , commandes occ LDAP de Nextcloud 35 et exigences du module PHP de Nextcloud .