Forum GLPI-Project

Ouini

Member

Registered: 2007-06-20

Posts: 18

Connexion GLPI refusée sur certains utilisateurs

Bonjour,

J'utilise GLPi avec une connexion LDAP à une serveur Windows 2019.

Les utilisateurs qui peuvent se connecter à tous les PC du réseau peuvent se connecter à GLPI sans aucun problème.

Par contre, les comptes qui n'ont l'autorisation de se connecter qu'à certains ordinateurs ont un accès refusé lors de la connexion à GLPI, même s'ils se connectent depuis un PC autorisé.

Le message d'erreur est :
Erreur
Identifiant ou mot de passe incorrect

Si je leur autorise la connexion depuis tous les PC dans l'AD, ça fonctionne parfaitement, mais je ne peux pas effectuer cette modification pour des raisons de sécurité.

Est-ce un bug GLPI ou y a t'il une configuration spécifique à activer ?

Merci d'avance pour votre aide précieuse.

Christian.

cconard96

Moderator

Registered: 2018-07-31

Posts: 2,429

Website

Re: Connexion GLPI refusée sur certains utilisateurs

Cela concerne la manière dont GLPI authentifie l'utilisateur avec le domaine. Il devrait être possible d'ajouter le(s) contrôleur(s) de domaine utilisé(s) avec GLPI à la liste des postes de travail de connexion, mais également d'ajouter une stratégie de groupe pour vos contrôleurs de domaine afin de restreindre les connexions interactives pour les utilisateurs de domaine normaux. Cela permettra à la connexion réseau de fonctionner mais pas aux connexions régulières.

D'autres applications qui authentifient les utilisateurs via LDAP ont le même problème, ce n'est donc pas vraiment un problème avec GLPI.

---

GLPI Collaborator and Plugin Developer.
My non-English comments are automated translations. Sorry for any confusion that causes.
Mes commentaires non anglais sont des traductions automatiques. Désolé pour toute confusion qui cause.
Mis comentarios que no están en inglés son traducciones automáticas. Perdón por cualquier confusión que cause.

Ouini

Member

Registered: 2007-06-20

Posts: 18

Re: Connexion GLPI refusée sur certains utilisateurs

Merci pour votre réponse.

J'ai ajouté le contrôleur de domaine à la liste des postes de travail de connexion pour les utilisateurs restreints et ça a fonctionné. J'avais en fait ajouté le serveur GLPI et pas le contrôleur de domaine ! En lisant votre réponse, mon erreur m'a tout à coup parue évidente...

Merci beaucoup !

Par contre, je ne comprends pas ce que vous voulez dire par "ajouter une stratégie de groupe pour vos contrôleurs de domaine afin de restreindre les connexions interactives pour les utilisateurs de domaine normaux".
Pouvez-vous m'éclairer sur le sujet ?

cconard96

Moderator

Registered: 2018-07-31

Posts: 2,429

Website

Re: Connexion GLPI refusée sur certains utilisateurs

En anglais puisque je ne sais pas comment on nomme quelque chose en français :
Computer Configuration > Policies > Window Settings > Security Settings > Local Policies > User Rights Assignment > Allow log on locally

Au moins dans les domaines les plus récents, la stratégie par défaut pour les contrôleurs de domaine inclut déjà cette stratégie et inclut :
Account Operators
Administrators
Backup Operators
ENTERPRISE DOMAIN CONTROLLERS
Print Operators
Server Operators

Cette politique par défaut refuserait les connexions locales/interactives pour les utilisateurs de domaine réguliers s'ils parvenaient d'une manière ou d'une autre à accéder à distance ou à accéder physiquement à un contrôleur de domaine. C'est l'effet recherché.

---

GLPI Collaborator and Plugin Developer.
My non-English comments are automated translations. Sorry for any confusion that causes.
Mes commentaires non anglais sont des traductions automatiques. Désolé pour toute confusion qui cause.
Mis comentarios que no están en inglés son traducciones automáticas. Perdón por cualquier confusión que cause.

Ouini

Member

Registered: 2007-06-20

Posts: 18

Re: Connexion GLPI refusée sur certains utilisateurs

OK, merci pour le détail.

Je ne trouve pas "Allow Log on locally" dans "Computer Configuration > Policies > Window Settings > Security Settings > Local Policies > User Rights Assignment".

Ce n'est pas grave, le contrôleur de domaine est un serveur virtuel dont le serveur physique est dans une salle à accès restreint.
La restriction de connexion locale est donc déjà active physiquement.

De plus, j'ai déjà une stratégie "Interdire l'ouverture de session locale" à tous les utilisateurs du domaine sur les contrôleurs de domaine. Le but est donc déjà atteint.

Au cas où ça pourrait servir à d'autres personnes, en Français c'est dans :
Configuration Ordinateur > Stratégies > Paramètres Windows > Paramètres de Sécurité > Attribution des droits utilisateur > Interdire l'ouverture de session locale

Merci.
Christian.

Last edited by Ouini (2024-01-31 19:46:28)