JenkinsのLDAP(ActiveDirectory)認証設定

JenkinsのLDAP(ActiveDirectory)認証設定

Jenkinsのデフォルトでは、ユーザ認証なしでアクセスができてしまう。 ユーザ認証を行うためには、jenkinsで独自のユーザ管理で行うことは可能ではあるが、ユーザ数が増え、システム数が増えることで、個別にユーザ管理をするのは、管理が大変になります。 そこでJenkinsもActiveDirectory/LDAPを利用してユーザ認証ができる手順を紹介します。

Jenkins連携設定

LDAP(Kerberos)認証関連プラグインとして、「ActiveDirectoryプラグイン」や「LDAP Plugin」がありが、Apacheの基本認証の アカウントをそのまま利用できるプラグイン「Reverse Proxy Auth Plugin」を利用したAD連携方法を説明します。

■プラグインのインストール
プラグイン「Reverse Proxy Auth Plugin」をインストールする。
管理画面を利用してプラグインをインストールする方法が一般的です。
・サイドメニュー - 「Jenkinsの管理」- 「プラグインの管理」- プラグインマネージャー画面を表示。
・「利用可能」タブ表示 - 右上のfilter欄に「Reverse Proxy」を入力 - 検索
・「Reverse Proxy Auth Plugin」選択 - 画面最下部にスクロールすると「再起動せずにインストール」または「ダウンロードして再起動後にインストール」ボタンをクリック。
　※前者が再起動無しでインストールするモードで、後者が再起動後にインストールをするモード。

■「Reverse Proxy Auth Plugin」設定
・サイドメニュー -「Jenkinsの管理」- 「グローバルセキュリティの設定」
・「グローバルセキュリティの設定」画面 - 「セキュリティを有効化」チェック
・「ユーザー情報」- 「HTTP Header by reverse proxy」- 下記情報を確認 - 「保存」
　

Header User Name	X-Forwarded-User
Header Groups Name	X-Forwarded-Groups

Apache連携設定

■Apache設定変更
AlminiumでJenkinsをインストールした場合、すでにMysqlに登録されたユーザで認証する設定がされているので、 コメントアウトし、LDAP連携認証設定を追加する

# vi /etc/httpd/conf.d/jenkins.conf

<Location /jenkins>
  Order allow,deny
  Allow from all

  BrowserMatch "MSIE" AuthDigestEnableQueryStringHack=On

  ProxyPass        http://127.0.0.1:8080/jenkins
  ProxyPassReverse http://127.0.0.1:8080/jenkins

  RewriteEngine On
  RewriteCond %{LA-U:REMOTE_USER} (.+)
  RewriteRule . - [E=RU:%1,NS]
  RequestHeader set X-Forwarded-User %{RU}e
  
#  AuthMySQLNoPasswd      Off
#  AuthMYSQLEnable        On
#  AuthMySQLHost          localhost
#  AuthMySQLDB            alminium
#  AuthMySQLUser          alminium
#  AuthMySQLPassword      alminium
#  AuthMySQLUserTable     users
#  AuthMySQLNameField     login
# AuthMySQLPasswordField hashed_password
# AuthMySQLPwEncryption  sha1-rm
# AuthMySQLSaltField     salt
# AuthMySQLGroupField    groups

#  AuthName "Redmine User"
#  AuthType Basic
#  require  valid-user


    #基本認証（AD連携）
    AuthType Basic
    AuthName "ActiveDirectory Auth"
    AuthBasicProvider ldap
    AuthLDAPURL "ldap://172.20.1.203:389/OU=web-clients,DC=ad,DC=hogehoge,DC=com?sAMAccountName?sub?(objectClass=*)"
    AuthLDAPBindDN "ad\ldapuser01"
    AuthLDAPBindPassword "Password"
    AuthzLDAPAuthoritative off
    Require valid-user
</Location>

Apacheの基本認証でアクセスしたユーザをそのままJenkinsに引き渡される。

入門LDAP/OpenLDAP―ディレクトリサービス導入・運用ガイド 著者：デージーネット 出版日：2012-05 出版社：秀和システム

グループポリシー逆引きリファレンス厳選92 著者：横山 哲也 出版日：2013-08-08 出版社：日経BP社