GLPI + Active Directory: como configurar a autenticação LDAP e importar usuários

Autor: Pedro Tebaldi PM do KeepGreen

Publicado ago/2026

O chamado de admissão chega, o analista cria o login na mão, escolhe um perfil olhando o que o colega do mesmo setor tem. Meses depois a pessoa sai da empresa, o RH avisa a equipe de infraestrutura, a conta some do diretório. No GLPI, aquele login continua funcionando.

Ligar o GLPI ao Active Directory por LDAP resolve os dois lados. O login passa a valer o que o diretório responder. A base de usuários chega importada em vez de digitada. A configuração leva vinte minutos. As decisões em volta dela é que definem se a integração sobrevive ao primeiro desligamento.

Credenciais comprometidas foram o vetor de acesso inicial em 22% das violações levantadas no relatório anual da Verizon sobre vazamento de dados. Conta ativa de quem já saiu é exatamente esse tipo de porta.

Este guia percorre a implantação na ordem que evita retrabalho: cadastro do diretório, teste do canal, regra de autorização, importação, sincronização agendada, política de desligamento. Vale para qualquer versão recente da plataforma open source de ITSM, incluindo o GLPI 11.

O que muda quando o GLPI passa a autenticar no diretório

Com o diretório ligado, o GLPI deixa de guardar a senha do usuário. Ele recebe o login, pergunta ao Active Directory se aquela credencial é válida, aceita ou recusa. A conta continua existindo no banco do GLPI com perfil, entidade e histórico de chamados. Apenas a verificação da senha sai da aplicação.

Na prática, o usuário digita a mesma senha da estação. Some o cadastro manual, some o reset de senha no service desk. Some também a divergência entre o nome do crachá e o nome que aparece no chamado.

Em contrapartida, o GLPI passa a depender de um serviço externo para deixar alguém entrar. Se o controlador de domínio cair, ninguém autentica. Por isso, mantenha pelo menos uma conta local com perfil de super-admin fora do diretório. Além disso, trate o próprio serviço de diretório como item monitorado, não como infraestrutura invisível.

Antes de começar: os quatro dados que você precisa ter em mãos

Reúna estas informações antes de abrir a tela de configuração. Metade das implantações trava por falta de uma delas, quase sempre a última.

• Endereço do controlador de domínio que responde LDAP
• BaseDN do domínio, no formato dc=empresa,dc=local
• Conta de serviço com permissão de leitura no diretório
• Extensão php-ldap habilitada no servidor do GLPI

A conta de serviço merece atenção. Vários tutoriais pedem um usuário do grupo Domain Admins, o que é desnecessário: o GLPI só lê atributos. Uma conta comum com permissão de leitura resolve, com senha longa e sem expiração programada.

Passo 1: cadastrar o diretório LDAP no GLPI

O cadastro fica em Configurar, Autenticação, Diretórios LDAP. Clique no ícone de adicionar e preencha os campos abaixo, que são os que determinam se a busca traz os usuários certos:

• Servidor e porta: 389 ou 636 com TLS
• BaseDN: dc=empresa,dc=local
• RootDN: conta de serviço só de leitura
• Filtro de conexão: exclui contas desativadas
• Campo de login: samaccountname

Cada campo carrega uma decisão que o tutorial de tela costuma omitir. A tabela abaixo traz o valor típico em um Active Directory e o efeito de errar cada um:

Na aba de usuários, mapeie os atributos que alimentam o cadastro: sn para sobrenome, givenname para nome, mail para e-mail, memberof para grupos. Sem o mail preenchido, o GLPI importa o usuário e nenhuma notificação de chamado chega até ele.

A tela abaixo mostra esse cadastro preenchido em um GLPI 11 ligado a um Active Directory, com o filtro de conexão e o campo de login nos valores da tabela.

Passo 2: testar a conexão e fechar o canal

Volte à lista de diretórios, abra o que você criou, clique em Testar conexão. Um retorno positivo prova apenas que o GLPI alcançou o servidor com aquele RootDN. Ele não prova que o filtro está certo, nem que a busca vai trazer alguém.

Feito o teste, resolva o transporte. Na porta 389 sem TLS, a senha do usuário atravessa a rede legível por qualquer captura. Ative LDAPS na porta 636 ou marque TLS na aba de informações avançadas, conforme a documentação oficial de autenticação.

Quando o GLPI está hospedado fora e o domínio fica no datacenter, a resposta é a mesma em uma frase: túnel ou LDAPS. Publicar a porta 389 na internet para o GLPI enxergar o controlador entrega o diretório inteiro a quem varrer a faixa.

No GLPI 11 o teste é quebrado em cinco etapas, e só a última prova que a busca encontra alguém.

Passo 3: criar a regra de autorização antes de importar

Esta é a inversão de ordem que gera a dúvida mais comum do fórum em português. Importar primeiro e configurar autorização depois produz dezenas de usuários que autenticam corretamente e recebem a mensagem de que não têm permissão para se conectar.

O GLPI separa duas coisas: autenticar responde quem é você, autorizar responde o que você pode. A autorização vem de Administração, Regras, Regras de atribuição de autorizações a um usuário. Cada regra casa um critério do diretório com um perfil e uma entidade.

O critério mais usado é o memberof. Uma regra que procura o grupo TI-Suporte no memberof e atribui o perfil Technician resolve o time inteiro sem cadastro individual. É o mesmo motor de regras de negócio que já despacha chamados por categoria.

Defina também uma regra final sem critério, atribuindo o perfil Self-Service a quem não casou com nenhuma outra. Sem esse fallback, todo usuário fora dos grupos mapeados entra sem perfil algum.

Uma regra pronta fica com um critério de diretório e as ações que ele dispara, como na tela abaixo.

Passo 4: importar os usuários do Active Directory

Com a regra pronta, vá em Administração, Usuários, Vínculo com diretório LDAP, Importar novos usuários. O modo avançado aceita um filtro de busca próprio, útil para importar por lotes em vez de trazer o domínio inteiro de uma vez.

Importe primeiro um grupo pequeno e conhecido, cinco ou dez pessoas do próprio time de TI. Confira perfil, entidade, e-mail e grupo de cada uma antes de liberar a carga completa. Corrigir a regra com dez usuários importados é trivial; com mil, vira projeto.

A lista de candidatos identifica cada conta pelo objectGUID e, por causa do filtro do Passo 1, não traz a conta desativada do ex-funcionário.

Vale lembrar que o mesmo Active Directory que autentica também distribui software por GPO. É por esse caminho que o pacote do agente chega às estações quando você monta o inventário automatizado do parque. A distribuição aproveita a mesma estrutura de OUs que você acabou de mapear.

Passo 5: agendar a sincronização automática

Importação é evento único. Sem agendamento, o GLPI congela a foto do diretório no dia da carga. Quem entrou depois não aparece; quem mudou de nome continua com o antigo. A sincronização recorrente roda pela linha de comando do GLPI.

# atualiza quem ja foi importado
php bin/console glpi:ldap:synchronize_users --only-update-existing

# traz apenas quem entrou no diretorio depois da ultima carga
php bin/console glpi:ldap:synchronize_users --only-create-new

# no crontab do usuario do web server, de hora em hora
0 * * * * php /var/www/glpi/bin/console glpi:ldap:synchronize_users

A FAQ oficial do projeto registra um detalhe que os tutoriais ignoram. Sem o parâmetro de filtro explícito, o comando usa o campo de sincronização somado ao filtro de conexão. Quando os dois divergem, usuários entram e saem da lixeira a cada execução.

Passo 6: decidir o que acontece quando o usuário sai da empresa

Aqui mora a diferença entre uma integração que funciona e uma que apenas parece funcionar. O comportamento padrão do GLPI preserva o usuário quando ele desaparece do diretório, ou seja, a conta do ex-funcionário permanece ativa. A opção fica em Configurar, Autenticação, Configuração.

Escolha também o comportamento inverso, para quando a conta volta a aparecer no diretório. O GLPI oferece reativar, restaurar da lixeira ou não fazer nada. Afastamentos longos e licenças ficam bem servidos pela reativação automática.

Perfis e entidades: quem enxerga o quê depois da importação

Autenticar é a parte simples. A pergunta que sobra depois é de governança: quem abre, quem vê, quem fecha, quem enxerga a unidade do lado. No GLPI, perfil responde o que a pessoa pode fazer, entidade responde sobre qual pedaço da organização ela pode fazer.

Depois da importação a lista de usuários mostra o efeito da regra: o perfil Technician aparece só em quem estava no grupo mapeado.

Na Velonet, MSP de fibra ótica com operação no Brasil e em Angola, o mesmo GLPI atende dezenas de clientes finais. Estruturamos entidades por cliente, com painéis de link exclusivo para cada um consultar o próprio saldo de contrato. Entregamos também formulários com campos que o GLPI padrão não oferece.

O projeto com a Velonet deixou clara a ordem de dificuldade. Autenticar todo mundo levou uma tarde. Decidir o que cada perfil enxerga depois de autenticar foi o trabalho de verdade. Essa decisão define o que o cliente do cliente pode ver.

Vale desenhar esse mapa antes de importar, usando os mesmos modelos de controle de acesso que a empresa já aplica em outros sistemas. Quem responde pela fila de chamados do service desk costuma ser a pessoa certa para validar o desenho.

No vídeo O cérebro do GLPI, a equipe mostra como essas regras decidem sem uma linha de código.

Erros comuns e o que cada mensagem quer dizer

Quatro sintomas respondem pela maioria dos chamados abertos durante a implantação. Todos têm diagnóstico rápido quando você sabe qual camada olhar.

Você não tem permissão para se conectar. O usuário existe, o AD valida a senha, o login para na porta. Falta autorização: ou a regra do Passo 3 não casou, ou existe um homônimo criado localmente antes da importação. Confira duplicidade de login antes de mexer na regra.

O teste passa, a busca não traz ninguém. O canal está aberto, o filtro é que está fechado demais. Reveja o BaseDN e depois teste o filtro sem a cláusula que descarta contas desativadas. Se os usuários aparecerem, o problema está naquele trecho.

A tela de diretórios LDAP não abre. Falta a extensão php-ldap no servidor. Instale o pacote, reinicie o PHP-FPM, recarregue a página.

A sincronização apaga e restaura o mesmo usuário. O filtro do agendamento diverge do filtro do diretório, ou o campo de sincronização mudou depois da primeira carga. Rode o comando com o filtro explícito e compare o resultado com a busca da interface.

Ambientes com múltiplos domínios, florestas ou histórico grande de usuários locais pedem mais cuidado nessa fase. Uma implantação assistida do GLPI encurta o caminho quando o parque já tem anos de cadastro manual acumulado.

O que checar antes do próximo desligamento

A integração entre GLPI e Active Directory costuma ser tratada como tarefa de tela. Preencheu os campos, testou a conexão, importou a base, encerrou o chamado. O problema aparece semanas depois, quando alguém sai da empresa e a conta continua respondendo.

Antes de considerar a implantação concluída, confira três pontos. Primeiro, a ação configurada para usuário removido do diretório não pode ser Preservar. Segundo, a sincronização precisa estar no crontab, com o mesmo filtro usado na importação. Terceiro, cada perfil atribuído por regra deve ter dono conhecido, alguém que responda por aquela decisão.

Feito isso, o ciclo de vida da conta passa a acompanhar o ciclo de vida da pessoa, sem planilha de conferência no meio. Talvez a sua operação tenha múltiplas entidades, domínios herdados de aquisições ou uma base grande de usuários criados na mão. Nesse caso, fale com um especialista da OpServices antes da carga.