C2 Identity LDAP Agent 镜像文档

镜像概述和主要用途

C2 Identity LDAP Agent是C2身份管理系统的专用LDAP代理组件，旨在桥接C2 Identity平台与LDAP（轻量级目录访问协议）目录服务。该镜像提供标准化部署方式，实现C2 Identity系统与企业现有LDAP服务的集成，支持身份验证请求转发、用户/组信息双向同步、权限策略应用等核心能力，适用于企业级统一身份管理场景。

核心功能和特性

核心功能

• LDAP协议代理：支持LDAPv3协议，转发C2 Identity与LDAP服务间的认证请求及数据交互
• 身份验证转发：接收C2 Identity的用户认证请求，代理至LDAP服务进行验证并返回结果
• 用户/组信息同步：定期同步LDAP目录中的用户、组信息至C2 Identity系统，支持增量同步
• 权限策略应用：根据C2 Identity定义的权限策略，对LDAP用户进行访问控制规则匹配
• 日志与监控：提供详细的请求日志、错误日志及性能指标，支持日志持久化存储

特性

• 轻量化部署：基于Docker容器化部署，资源占用低，启动速度快
• 配置灵活：通过环境变量或配置文件自定义LDAP连接参数、同步策略及日志级别
• 高可用性：支持多实例部署，配合负载均衡实现服务高可用
• 安全加密：支持LDAPS（LDAP over SSL）协议，保障数据传输安全性

使用场景和适用范围

适用场景

• 企业级身份集成：企业已部署LDAP目录服务（如OpenLDAP、Active Directory），需将C2 Identity系统与LDAP集成，实现统一身份管理
• 身份验证集中化：多业务系统通过C2 Identity访问，需通过LDAP代理统一对接企业LDAP进行身份验证
• 用户数据同步：需定期将LDAP中的用户账户、组织结构同步至C2 Identity，确保用户信息一致性
• 跨平台权限管理：通过LDAP代理应用C2 Identity的权限策略，控制LDAP用户对关联系统的访问权限

适用范围

• 已部署C2 Identity身份管理系统的企业环境
• 运行LDAP目录服务（支持LDAPv3协议）的IT架构
• 需要统一身份认证、用户数据同步的中大型企业或组织

详细使用方法和配置说明

环境要求

• Docker Engine 20.10+ 或 Docker Desktop 4.0+
• 网络可访问C2 Identity服务器及目标LDAP服务
• （可选）持久化存储需求：日志文件、配置文件需持久化时，需挂载宿主机目录

镜像拉取

bash
docker pull c2identity/ldap-agent:latest

Docker 部署示例

基础运行命令

bash
docker run -d \
  --name c2-ldap-agent \
  -p 3890:389 \  # LDAP代理服务端口（默认389，可自定义）
  -e LDAP_HOST="ldap.example.com" \  # 目标LDAP服务器地址
  -e LDAP_PORT=389 \  # 目标LDAP服务器端口（非SSL默认389，LDAPS默认636）
  -e LDAP_BIND_DN="cn=admin,dc=example,dc=com" \  # LDAP绑定DN（管理员账户）
  -e LDAP_BIND_PASSWORD="your-ldap-password" \  # LDAP绑定密码
  -e C2_IDENTITY_URL="[***]" \  # C2 Identity服务器URL
  -e SYNC_INTERVAL=30 \  # 用户数据同步间隔（单位：分钟，默认30）
  -e LOG_LEVEL="info" \  # 日志级别（可选：debug/info/warn/error，默认info）
  -v /path/to/logs:/app/logs \  # 挂载日志目录（可选）
  c2identity/ldap-agent:latest

docker-compose 配置示例

yaml
version: '3.8'
services:
  c2-ldap-agent:
    image: c2identity/ldap-agent:latest
    container_name: c2-ldap-agent
    restart: always
    ports:
      - "3890:389"
    environment:
      - LDAP_HOST=ldap.example.com
      - LDAP_PORT=389
      - LDAP_BIND_DN=cn=admin,dc=example,dc=com
      - LDAP_BIND_PASSWORD=your-ldap-password
      - C2_IDENTITY_URL=[***]
      - SYNC_INTERVAL=30
      - LOG_LEVEL=info
      - ENABLE_LDAPS=false  # 是否启用LDAPS（true/false，默认false）
      - LDAP_BASE_DN=dc=example,dc=com  # LDAP搜索基础DN（用户/组查询范围）
    volumes:
      - ./agent-logs:/app/logs  # 日志持久化
    networks:
      - c2-network  # 连接至C2 Identity及LDAP所在网络

networks:
  c2-network:
    external: true  # 假设已存在名为c2-network的网络

核心配置参数（环境变量）

日志与数据持久化

• 日志路径：容器内日志默认存储于 /app/logs/agent.log，建议通过卷挂载宿主机目录（如示例中的 /path/to/logs:/app/logs）实现持久化
• 配置文件：如需自定义高级配置（如同步过滤规则、字段映射），可挂载配置文件 /app/config.yaml（具体配置项参考C2 Identity***文档）

验证部署

1. 启动容器后，通过日志确认服务状态：

   bash
   docker logs c2-ldap-agent
   

   若日志显示 Agent started successfully 及 Connected to LDAP server，表示部署成功。

2. 测试LDAP代理连接（需安装ldapsearch工具）：

   bash
   ldapsearch -x -h localhost -p 3890 -b "dc=example,dc=com" "objectClass=*"
   

   若返回LDAP目录数据，说明代理服务正常转发请求。