Authentifier les utilisateurs Centreon avec Active Directory en LDAP

Un compte par administrateur dans Centreon, c'est un mot de passe de plus à gérer et à révoquer. Brancher l'interface sur l'annuaire règle le problème, à condition de soigner la liaison et les droits.

Par la rédaction de Pixelabs · 12 octobre 2026

Centreon peut déléguer l'authentification de son interface web à un annuaire LDAP, dont Active Directory. Les utilisateurs se connectent alors avec leurs identifiants de domaine. Cette page décrit la configuration dans Centreon 25.10, version courante en octobre 2026, le test préalable de la liaison et les journaux à lire quand la connexion échoue.

Deux précisions de la documentation Centreon cadrent le sujet : connecter un annuaire ne crée pas d'utilisateurs automatiquement, et les droits ne viennent pas de l'annuaire mais des groupes de contacts et des groupes d'accès de Centreon. Faites l'essai sur une plateforme de test et gardez un compte administrateur local fonctionnel tant que la connexion LDAP n'est pas validée.

Préparer l'annuaire

Côté Active Directory, prévoyez :

• un compte de liaison (bind user) dédié, sans droits d'administration, qui sert à Centreon pour chercher les utilisateurs ;
• un groupe contenant les utilisateurs autorisés, pour filtrer l'import ;
• une connexion chiffrée : Microsoft liste LDAP sur le port 389 et LDAP SSL sur le port 636.

Le chiffrement n'est pas un détail. Microsoft explique qu'un contrôleur de domaine peut être configuré pour rejeter les liaisons LDAP simples effectuées en texte clair, et recommande d'éviter ces liaisons. Un Centreon configuré en LDAP simple sur le port 389 sans TLS cessera alors de fonctionner. Le contrôleur enregistre l'événement 2887 une fois par 24 heures pour signaler ces liaisons, et l'événement 2889, avec l'adresse IP du client, si la journalisation de diagnostic correspondante est activée.

Tester la liaison avant Centreon

Testez la recherche depuis le serveur Centreon lui-même : c'est lui qui interrogera l'annuaire. Sur Debian, ldapsearch est fourni par le paquet ldap-utils :

apt install ldap-utils
ldapsearch -x -H ldaps://dc01.lab.local -D "CN=svc-centreon,OU=Services,DC=lab,DC=local" -W -b "DC=lab,DC=local" "<filtre>"

D'après la page de manuel, -x demande une authentification simple, -D donne le DN de liaison, -W demande le mot de passe sans l'écrire sur la ligne de commande, -H l'URI du serveur et -b la base de recherche. Si cette commande échoue, Centreon échouera aussi : corrigez d'abord le certificat, le DN ou le pare-feu.

Et depuis Windows ?

ldapsearch n'est pas un outil Windows. Côté contrôleur de domaine, Microsoft utilise l'outil d'administration Ldp.exe dans ses procédures pour tester une connexion LDAP ou LDAPS : menu Connexion, puis Connecter. C'est le bon outil pour vérifier qu'un certificat LDAPS est accepté avant de chercher la cause côté Centreon.

Configurer l'annuaire dans Centreon

Allez dans Administration > Parameters > LDAP et cliquez sur Add. Les paramètres importants :

Dans LDAP servers, ajoutez le contrôleur : adresse, port, et cochez SSL ou TLS selon la méthode choisie. Renseignez le Bind user et son mot de passe, puis choisissez le modèle (Template) « MS Active Directory » : il préremplit les filtres de recherche des utilisateurs et des groupes. Centreon recommande de vérifier ces valeurs avant tout import ; c'est aussi là que vous pouvez restreindre la recherche à votre groupe.

Choisir entre import automatique et manuel

Dans les deux cas, donnez les droits par le groupe de contacts par défaut, lui-même rattaché à un groupe d'accès. Un utilisateur LDAP sans groupe peut se connecter mais ne voit rien d'utile.

Lire les journaux en cas d'échec

Centreon 25.10 a regroupé ses journaux. L'ancien fichier /var/log/centreon/ldap.log est remplacé par /var/log/centreon/prod.access.log, qui enregistre connexions, déconnexions, échecs d'authentification et accès refusés, avec l'utilisateur, l'adresse IP source, le mode d'authentification et le résultat. Les erreurs d'import d'utilisateurs LDAP se lisent dans /var/log/centreon/ldapsearch.log.

tail -f /var/log/centreon/prod.access.log

Le fichier login.log existe encore mais il est déprécié : Centreon annonce sa suppression en version 27.10 et conseille de faire basculer fail2ban ou un SIEM vers prod.access.log.

Pour aller plus loin

Une fois les comptes branchés sur l'annuaire, chaque utilisateur peut disposer de ses propres tableaux de bord Centreon. Si la plateforme n'existe pas encore, commencez par l'installation de Centreon sur Debian. Pour le fonctionnement des sondes, voyez les plugins Nagios, et pour le choix d'outil, la comparaison Zabbix vs Centreon. La rubrique Centreon rassemble le reste.

Questions fréquentes