N8n ldap

N8n и интеграция с LDAP: полное руководство по настройке аутентификации и управления пользователями

N8n — это мощный инструмент автоматизации рабочих процессов с открытым исходным кодом, который позволяет соединять различные приложения и сервисы. В корпоративной среде критически важным является централизованное управление учетными записями пользователей и безопасный контроль доступа. Именно здесь на первый план выходит протокол LDAP (Lightweight Directory Access Protocol). Интеграция N8n с LDAP-сервером, таким как OpenLDAP, Active Directory или FreeIPA, позволяет администраторам управлять аутентификацией пользователей, их ролями и членством в группах из единого центра, значительно повышая безопасность и упрощая администрирование.

Архитектура и принципы интеграции N8n с LDAP

Интеграция N8n с LDAP не является функцией «из коробки» в стандартном интерфейсе. Она реализуется на уровне конфигурации сервера развертывания N8n. Основной механизм заключается в использовании стратегии аутентификации Passport.js для Node.js, на котором построен N8n. Для этого необходимо напрямую редактировать файлы конфигурации N8n-сервера, добавляя настройки LDAP-соединения и соответствующие модули.

Процесс аутентификации происходит по следующей схеме: когда пользователь вводит свои учетные данные (логин и пароль) на странице входа в N8n, эти данные отправляются на сервер N8n. Сервер, используя настроенные параметры LDAP, устанавливает соединение с LDAP-сервером и пытается выполнить привязку (bind) с предоставленными реквизитами. Успешная привязка означает, что учетные данные верны, и пользователь существует в директории. После этого N8n может выполнить дополнительный поиск (search) для получения атрибутов пользователя (например, email, полное имя, членство в группах) и на основе этой информации создать или обновить локальную запись пользователя в своей базе данных, назначив ему соответствующую роль (owner, member, viewer).

Подробная пошаговая настройка LDAP в N8n

Настройка требует доступа к файловой системе сервера, где развернут N8n, и понимания структуры LDAP-директории. Предполагается, что N8n установлен через npm, Docker или как самостоятельное приложение.

Шаг 1: Установка необходимых npm-пакетов

На сервере с N8n необходимо установить пакеты Passport и стратегию для LDAP. Перейдите в директорию установки N8n и выполните команды:

• npm install passport
• npm install passport-ldapauth

Это установит необходимые библиотеки для реализации LDAP-аутентификации.

Шаг 2: Настройка конфигурационного файла N8n

Основная конфигурация осуществляется в файле .n8n/config или через переменные окружения. Необходимо отредактировать или создать файл конфигурации. Ключевые параметры для LDAP:

• N8N_AUTHENTICATION_ENABLED: Должно быть установлено в true.
• N8N_AUTHENTICATION_STRATEGY: Указывается как ldap.
• N8N_LDAP_HOST: Адрес LDAP-сервера (например, ldap://ad.corporation.com или ldaps://ad.corporation.com для защищенного соединения).
• N8N_LDAP_PORT: Порт (по умолчанию 389 для ldap, 636 для ldaps).
• N8N_LDAP_BIND_DN: Отличительное имя (DN) сервисной учетной записи для поиска пользователя. Например, CN=n8n_service,OU=Service Accounts,DC=corporation,DC=com.
• N8N_LDAP_BIND_CREDENTIALS: Пароль для сервисной учетной записи.
• N8N_LDAP_BASE_DN: Базовый DN, откуда начинается поиск пользователей. Например, OU=Users,DC=corporation,DC=com.
• N8N_LDAP_FILTER: Фильтр для поиска пользователя. Использует placeholder {{username}}. Например, (&(objectClass=user)(sAMAccountName={{username}})) для Active Directory.
• N8N_LDAP_UID: Атрибут LDAP, который соответствует логину пользователя (например, sAMAccountName, uid, cn).
• N8N_LDAP_GROUP_FILTER и N8N_LDAP_GROUP_DN: Опциональные параметры для привязки ролей в N8n к группам LDAP.

Шаг 3: Создание и настройка кастомной стратегии аутентификации

Необходимо создать файл, который инициализирует стратегию LDAP. Примерный код (например, в файле ldap-auth.js в корне N8n) может выглядеть так:

const LdapStrategy = require('passport-ldapauth');
const { Server } = require('ldapjs');

passport.use(new LdapStrategy({
  server: {
    url: process.env.N8N_LDAP_HOST,
    bindDN: process.env.N8N_LDAP_BIND_DN,
    bindCredentials: process.env.N8N_LDAP_BIND_CREDENTIALS,
    searchBase: process.env.N8N_LDAP_BASE_DN,
    searchFilter: process.env.N8N_LDAP_FILTER,
    searchAttributes: ['displayName', 'mail', 'memberOf']
  },
  usernameField: 'email',
  passwordField: 'password'
}, (user, done) => {
  // Функция, вызываемая после успешной аутентификации
  // Здесь можно сопоставить группы LDAP с ролями N8n
  let role = 'member'; // Роль по умолчанию
  if (user.memberOf && user.memberOf.includes('CN=n8n_admins,OU=Groups,DC=corporation,DC=com')) {
    role = 'owner';
  }
  return done(null, {
    id: user.uid || user.sAMAccountName,
    email: user.mail,
    firstName: user.givenName,
    lastName: user.sn,
    role: role
  });
}));

Затем необходимо модифицировать точку входа N8n (обычно index.js или аналогичный), чтобы импортировать и использовать эту стратегию.

Шаг 4: Сопоставление групп LDAP с ролями N8n

Это наиболее важная часть для управления доступом. В функции обратного вызова (callback) стратегии анализируется атрибут членства в группах LDAP (например, memberOf). На основе этого атрибута пользователю назначается одна из трех ролей в N8n:

• owner: Полный доступ ко всем функциям, включая управление пользователями и настройками.
• member: Может создавать и выполнять рабочие процессы, но не имеет доступа к административным разделам.
• viewer: Только просмотр рабочих процессов и их выполнения, без возможности редактирования.

Для этого необходимо заранее создать соответствующие группы в LDAP (например, n8n_owners, n8n_members, n8n_viewers) и настроить логику их проверки в коде стратегии.

Таблица: Сопоставление параметров конфигурации и их описания

Параметр N8n / Переменная окружения	Описание	Пример значения для Active Directory
N8N_AUTHENTICATION_STRATEGY	Тип стратегии аутентификации.	ldap
N8N_LDAP_HOST	URL LDAP-сервера.	ldap://dc01.corp.local
N8N_LDAP_PORT	Порт подключения.	389
N8N_LDAP_BIND_DN	DN учетной записи для поиска.	CN=svc_n8n,CN=Users,DC=corp,DC=local
N8N_LDAP_BIND_CREDENTIALS	Пароль учетной записи для поиска.	StrongPassword123
N8N_LDAP_BASE_DN	Базовый DN для поиска пользователей.	CN=Users,DC=corp,DC=local
N8N_LDAP_FILTER	LDAP-фильтр. {{username}} заменяется на введенный логин.	(&(objectClass=user)(sAMAccountName={{username}}))
N8N_LDAP_UID	Атрибут, используемый как логин.	sAMAccountName
N8N_LDAP_GROUP_DN	DN группы для проверки членства.	CN=n8n_owners,CN=Users,DC=corp,DC=local

Особенности для различных LDAP-серверов

Конфигурация может отличаться в зависимости от используемого сервера каталогов.

Active Directory (Microsoft)

• Основной атрибут логина: sAMAccountName или userPrincipalName.
• Объектный класс пользователя: user.
• Атрибут групп: memberOf (список DN групп).
• Фильтр: (&(objectClass=user)(sAMAccountName={{username}})).

OpenLDAP / 389 Directory Server

• Основной атрибут логина: uid.
• Объектный класс пользователя: inetOrgPerson.
• Атрибут групп: может быть memberOf (если настроена) или определяться через группу, хранящую список членов в атрибуте uniqueMember или member.
• Фильтр: (&(objectClass=inetOrgPerson)(uid={{username}})).

Безопасность и лучшие практики

• Используйте LDAPS (LDAP over SSL/TLS): Всегда настраивайте шифрованное соединение (порт 636) для защиты учетных данных при передаче. Для этого потребуется доверенный сертификат на LDAP-сервере.
• Создайте выделенную сервисную учетную запись: Учетная запись для привязки (bind) должна иметь минимально необходимые права — только на чтение (search) в определенном поддереве для пользователей и групп.
• Ограничьте базовый DN: Указывайте максимально конкретный Base DN, чтобы ограничить область поиска и повысить производительность.
• Регулярно обновляйте пароль сервисной учетной записи и храните его в безопасном месте (например, в секретах Kubernetes или HashiCorp Vault, если используется).
• Резервное копирование конфигурации: Все изменения в файлах конфигурации и кастомный код стратегии должны храниться в системе контроля версий.
• Тестирование в изолированной среде: Перед развертыванием в production протестируйте всю конфигурацию на staging-сервере с тестовой LDAP-директорией.

Альтернативные подходы и смежные технологии

Если прямая интеграция N8n с LDAP кажется слишком сложной, можно рассмотреть альтернативные варианты:

• Аутентификация через SAML или OIDC: Многие корпоративные IdP (Identity Provider), такие как Keycloak, Okta, Azure AD, поддерживают протоколы SAML 2.0 или OpenID Connect. Эти провайдеры, в свою очередь, могут использовать LDAP как бэкенд-хранилище пользователей. Настройка SAML/OIDC в N8n может быть более стандартизированной.
• Использование Reverse Proxy с аутентификацией: Можно вынести аутентификацию на уровень обратного прокси (например, nginx, Traefik, Apache), который может поддерживать LDAP-аутентификацию через модули (ngx_http_auth_ldap_module). После успешной аутентификации прокси передает заголовки с именем пользователя в N8n, где должна быть включена аутентификация по заголовкам (header authentication).
• Ожидание нативной реализации: Сообщество N8n активно развивается, и в будущих версиях может появиться официальная поддержка LDAP через интерфейс администратора.

Заключение

Интеграция N8n с LDAP-сервером — это мощное решение для предприятий, требующее глубокого понимания как архитектуры N8n, так и структуры LDAP-директории. Несмотря на отсутствие графического интерфейса для настройки, процесс хорошо документирован на уровне кода и конфигурации. Успешная реализация обеспечивает единый вход (SSO) для пользователей, централизованное управление учетными записями и ролями, а также соответствие корпоративным стандартам безопасности. Ключом к успеху является тщательное планирование структуры групп LDAP, безопасная настройка сервисной учетной записи и обязательное использование шифрованного соединения LDAPS. Для организаций, где такая низкоуровневая настройка неприемлема, рассмотрение альтернатив через корпоративные IdP или обратный прокси является разумным компромиссом.

Ответы на часто задаваемые вопросы (FAQ)

Поддерживает ли N8n LDAP «из коробки»?

Нет, на данный момент (по состоянию на конец 2023 года) N8n не имеет встроенного графического интерфейса или простых настроек для подключения LDAP. Интеграция требует ручного редактирования конфигурационных файлов сервера, установки дополнительных npm-пакетов и написания кастомного кода для стратегии аутентификации.

Можно ли использовать Azure Active Directory с N8n через LDAP?

Да, но с оговорками. «Классическое» Azure AD не предоставляет конечную точку LDAP. Однако Azure AD Domain Services (AAD DS) или гибридная среда с локальным AD, синхронизированным через Azure AD Connect, предоставляют стандартный LDAP-интерфейс. Для «облачного» Azure AD предпочтительнее использовать аутентификацию через OpenID Connect (OIDC), если такая возможность будет добавлена в N8n, либо настраивать его как SAML-провайдера.

Что происходит, когда пользователь удаляется из LDAP?

При текущей типовой реализации N8n не проводит периодическую синхронизацию или проверку существования пользователя в LDAP. Удаленный из LDAP пользователь останется в локальной базе данных N8n, но не сможет войти в систему, так как аутентификация против LDAP будет неудачной. Для полной очистки необходимо вручную удалять таких пользователей через интерфейс N8n (если вы владелец) или напрямую в базе данных SQLite/PostgreSQL.

Как настроить несколько разных ролей из LDAP-групп?

В функции обратного вызова (callback) стратегии LDAP необходимо реализовать логику проверки членства пользователя в нескольких группах. Проверка обычно осуществляется путем анализа массива memberOf. Логика может быть приоритетной: например, если пользователь в группе «n8n_admins», назначить роль «owner», иначе если в группе «n8n_users», то «member», иначе «viewer». Важно предусмотреть роль по умолчанию на случай, если пользователь не входит ни в одну из известных групп.

Можно ли комбинировать локальных пользователей N8n и LDAP-аутентификацию?

При использовании кастомной стратегии LDAP стандартный механизм аутентификации по email/паролю N8n обычно отключается. Реализовать параллельную работу двух стратегий (local и ldap) сложно и требует значительной модификации кода. Рекомендуется полностью перейти на LDAP для единообразия или использовать альтернативный метод (например, proxy-аутентификацию), который может работать параллельно с локальной.

Где хранятся настройки LDAP в Docker-развертывании N8n?

При использовании Docker-образа N8n переменные окружения для LDAP необходимо передать в команде запуска контейнера через флаги -e или в Docker Compose файле в секции environment:. Также необходимо смонтировать volume с кастомным файлом стратегии аутентификации внутрь контейнера и убедиться, что внутри контейнера установлены необходимые npm-пакеты (это может потребовать создания собственного Dockerfile на основе официального образа).