Autenticação de operadores via LDAP

O plugin LDAP permite que operadores do ACCELERO façam login validando suas credenciais em um servidor LDAP externo (por exemplo, OpenLDAP ou Active Directory), em vez de depender exclusivamente das senhas armazenadas localmente no ACCELERO. A autenticação é feita por bind LDAP: o ACCELERO conecta ao diretório e tenta autenticar o usuário com as credenciais informadas no login.

Disponibilidade

Esta integração é disponibilizada como plugin (ldap) e precisa ser instalada e habilitada pela equipe técnica da IONGRADE. Consulte o suporte para verificar compatibilidade com a sua versão do ACCELERO.

Compatibilidade

Versão atual do plugin: 0.0.1 — compatível com ACCELERO 2.16.0 ou superior (conforme manifest.json).

Plugin em estágio inicial

Esta é a versão 0.0.1 do plugin. O código atual fornece o mecanismo de conexão e autenticação LDAP (biblioteca interna), mas não inclui tela de configuração própria, rotas, itens de menu ou migrações no pacote do plugin. A parametrização do servidor LDAP é feita pela equipe técnica da IONGRADE durante a instalação. Os caminhos de tela citados abaixo dependem dessa integração e podem variar conforme o ambiente — confirme com o suporte.

O que o plugin faz

Funcionalidade	O que acontece no ACCELERO
Autenticação de operador via LDAP	No login, o ACCELERO conecta ao servidor LDAP e tenta um bind com o usuário e a senha informados. Se o bind for bem-sucedido, a autenticação é aceita
Consulta de usuário no diretório	O plugin pode consultar o diretório (busca por `uid`) usando uma conta administrativa, retornando os atributos do usuário cadastrado no LDAP

Benefício principal

Centraliza a autenticação dos operadores no diretório corporativo (LDAP/Active Directory), evitando senhas isoladas no ACCELERO e aproveitando as políticas de senha já existentes na organização.

Escopo: operadores, não pessoas

A autenticação LDAP aplica-se a operadores (usuários que acessam o sistema ACCELERO). Ela não trata do cadastro de pessoas nem do controle de acesso físico — apenas do login no software.

Configuração

A configuração do servidor LDAP é definida pela equipe técnica da IONGRADE no momento da instalação do plugin. Os parâmetros usados pelo mecanismo de autenticação (classe LdapConfiguration) são:

Parâmetro	Descrição
Servidor (`server`)	Endereço do servidor LDAP ao qual o ACCELERO se conecta
Usuário administrador (`adminUser`)	Conta administrativa (root) usada para consultar o diretório (campo `cn` da conta admin)
Senha do administrador (`adminPassword`)	Senha da conta administrativa
Componentes de domínio (`dc`)	Lista de componentes de domínio (`dc`) que formam a base do diretório. Ex.: `["empresa", "com"]` resulta na base `dc=empresa,dc=com`

TODO: Adicionar Screenshot

Tela/local onde os parâmetros do servidor LDAP (servidor, usuário administrador, senha e componentes de domínio) são informados. Confirmar com a equipe técnica se há uma tela de configuração no painel ou se a parametrização é feita apenas no ambiente.

TODO: Implementar

Documentar o caminho de acesso exato da configuração LDAP e o fluxo de habilitação assim que houver uma tela dedicada no painel. A versão 0.0.1 do plugin não traz views, routes nem interceptors/configuracao.php próprios — a parametrização é externa.

Como a autenticação funciona

O mecanismo (classe LdapFacade) opera em cima das funções LDAP padrão, usando o protocolo LDAP versão 3.

Conexão

O ACCELERO conecta ao endereço configurado em Servidor e fixa o protocolo na versão 3 (LDAP_OPT_PROTOCOL_VERSION = 3).

Ao autenticar um operador, o plugin monta o DN do usuário no formato:

cn=<usuário>,ou=users,<base do domínio>

onde <base do domínio> é derivada dos componentes dc configurados (ex.: dc=empresa,dc=com). Em seguida, executa um bind com esse DN e a senha informada:

Bind bem-sucedido → autenticação aceita.
Bind recusado → autenticação negada.

Estrutura esperada do diretório

A versão atual monta o DN do usuário com a unidade organizacional fixa ou=users. O diretório LDAP precisa expor os usuários sob essa OU para que o bind funcione no formato esperado.

Consulta de usuário (busca no diretório)

Para consultar os dados de um usuário, o plugin faz um bind administrativo (usando o Usuário administrador e a Senha do administrador) e então executa uma busca:

Base da busca: ou=users,<base do domínio>
Filtro: (uid=<usuário>)
Resultado: o primeiro registro encontrado é retornado como um usuário do diretório, com seu DN e os atributos preenchidos (cada atributo recebe o primeiro valor disponível).

Se o bind administrativo falhar, a busca não retornar resultado ou ocorrer erro, o evento é registrado no log de erros e nenhum usuário é retornado.

TODO: Adicionar Diagrama

Diagrama do fluxo de login: operador informa credenciais → ACCELERO conecta ao LDAP → bind cn=usuário,ou=users,<dc> → resultado (aceito/negado).

Casos de uso

Habilitar autenticação LDAP para os operadores

Solicitar à IONGRADE a instalação do plugin ldap.
Fornecer à equipe técnica os dados do diretório: endereço do servidor, conta administrador e senha, e os componentes de domínio (dc).
Garantir que os operadores estejam cadastrados no LDAP sob a OU ou=users, com o cn/uid correspondente ao usuário de login.
Validar o login de um operador de teste antes de liberar para todos.

TODO: Implementar

Detalhar a correspondência entre o usuário de login do operador no ACCELERO e o cn/uid no LDAP (como o sistema associa o operador local ao registro do diretório). Confirmar com a equipe técnica.

Boas práticas

Conta administrativa dedicada: use uma conta de serviço com permissão apenas de leitura do diretório para as consultas, em vez de uma conta administrativa ampla.
Comunicação segura: prefira LDAP sobre TLS (LDAPS) entre o servidor ACCELERO e o diretório, para não trafegar credenciais em texto claro. Confirme o suporte ao TLS com a equipe técnica.
Operador de teste: mantenha um operador de teste no diretório para validar a integração após mudanças no LDAP.
Estrutura do diretório: mantenha os operadores sob a OU ou=users esperada pelo plugin.

Troubleshooting

Possíveis causas:

DN do usuário não corresponde ao formato esperado (cn=<usuário>,ou=users,<dc>).
Usuário não está sob a OU ou=users no diretório.
Senha incorreta ou conta bloqueada no LDAP.
Servidor LDAP inacessível a partir do servidor ACCELERO.

Solução:

Confirme o endereço do servidor e a conectividade de rede (porta LDAP/LDAPS) entre o ACCELERO e o diretório.
Verifique se o usuário existe sob ou=users e se o cn/uid bate com o usuário de login.
Teste as credenciais diretamente no diretório.

Consulta de usuário não retorna dados

Possíveis causas:

Bind administrativo falhou (usuário/senha do administrador incorretos).
Filtro (uid=<usuário>) não encontra o registro.
Base de busca (ou=users,<dc>) incorreta.

Solução:

Verifique o Usuário administrador e a Senha do administrador configurados.
Confirme os componentes de domínio (dc) — a base precisa refletir a estrutura real do diretório.
Consulte o log de erros do ACCELERO, onde as mensagens de erro do LDAP são registradas.

Integração com outros módulos

Operadores

A autenticação LDAP atua sobre o login de Operadores — usuários que acessam o sistema ACCELERO. Confira como os operadores são cadastrados e como suas permissões são definidas.

Outras integrações de autenticação

Se a organização usa Microsoft Entra ID (Azure AD), avalie também a integração Azure OAuth como alternativa de autenticação de operadores.

Próximos Passos

Operadores — Entenda o cadastro e as permissões dos operadores
Azure OAuth — Alternativa de autenticação de operadores via Microsoft Entra ID
Plugins — Saiba mais sobre o sistema de plugins do ACCELERO

O que o plugin faz​

Configuração​

Como a autenticação funciona​

Conexão​

Bind de autenticação (login do operador)​

Consulta de usuário (busca no diretório)​

Casos de uso​

Habilitar autenticação LDAP para os operadores​

Boas práticas​

Troubleshooting​

Operador não consegue fazer login via LDAP​

Consulta de usuário não retorna dados​

Integração com outros módulos​

Operadores​

Próximos Passos​