希望生成证书，你需要安装下面的组件在你希望连接的 Windows Domain Controller 上。 Internet Information Services (IIS) 在你安装 Windows Certificate Services 之前，你需要安装这个组件。 Windows Certificate Services 这个将会按照一个证书授权 （certification authority (CA) ），如何安装这个授权，将会在下面的第一步中详细说明。 Windows 2000 Service Pack 2 如果你使用的是 Windows 2000，你将需要安装这个组件。 Windows 2000 High Encryption Pack (128-bit) 如果你使用的是 Windows 200，这个提供更高层次的加密级别（128-bit）。 https://www.cwiki.us/display/CONFLUENCEWIKI/Configuring+an+SSL+Connection+to+Active+Directory
如果你希望配置 Microsoft Active Directory 的读写权限，你需要在你的 Confluence 服务器和JVM keystore 上安装 Active Directory 服务器生成的 SSL 证书。 Confluence SSL plugin 插件有助于完成这个功能。 在 Active Directory 中更新用户，用户组和用户组成员需要你的 Atlassian 应用程序运行的 JVM 信任你连接的 Active Directory 服务器。 要达成这个目的，你需要在你的 Active Directory 服务器上生成一个证书，然后将这个证书导入到 Java 的 keystore 中。 https://www.cwiki.us/display/CONFLUENCEWIKI/Configuring+an+SSL+Connection+to+Active+Directory
初始连接池大小（Initial Pool Size） 当初始化 LDAP 连接池的时候初始化创建的 LDAP 连接数量。 1 期望的连接池大小（Preferred Pool Size） 优化连接池的大小。 当 LDAP 中的连接数量大于这个值的时候，LDAP 连接池将会从连接池中删除掉闲置的连接。当这个值设置为 0 的时候表示的是没有期望的连接大小，那么闲置连接数将不会进行限制。 10 最大连接池大小（Maximum Pool Size） LDAP 连接池中维护的最大连接数量。 当连接池中的连接数达到这个值的时候，LDAP 将会拒绝进行连接。在这种情况下，请求 LDAP 查询的应用程序将会被阻止。 当这个值设置为 0 的时候，表示连接池的最大连接数不限制。 0 连接池超时时间（秒）（Pool Timeout (seconds)） 闲置连接在连接池中删除的时间，单位为秒。意思是，当一个连接在连接池中限制了指定的额时间（单位：秒）后，将会在连接池中删除。 当一个连接池的连接完成指定操作后，连接池将会把这个连接标记为闲置等待下一次的调用。 当这个值设置为 0 的时候，表示的是闲置的连接永远不会超时。 30 连接池协议（Pool Protocol） 只有下面的协议类型被允许来连接 LDAP 目录服务器。如果你希望使用多种协议，输入你希望使用的协议并用空格分开，可以用的值如下： plain ssl plain ssl （同时使用 plain 和 ssl） 连接池授权（Pool Authentication） 只有下面的授权类型被允许连接 LDAP 服务器。如果你希望使用多种授权，输入你希望使用的授权协议并用空格分开。请参考 RFC 2829 来获得 LDAP 授权方法。可用的值如下： none simple DIGEST-MD5 simple 注意： 连接池设置为系统全局设置，系统将会为每一个配置的 LDAP 目录服务器创建一个新的连接池。 你必须通过重启应用服务器能让这些设置生效。 https://www.cwiki.us/display/CONFLUENCEWIKI/Configuring+the+LDAP+Connection+Pool
当 LDAP 连接池被启用后，LDAP 目录服务器将会维护一个连接池同时当必要的时候指派他们。当一个连接关闭后，这个连接将会放回到连接池中供以后进行使用。这种设置将会有效的提高系统性能。 希望配置 LDAP 连接池： 在屏幕的右上角单击 控制台按钮 ，然后选择 General Configuration 链接。 单击左侧边栏上的 用户目录（User Directories）。 在更多配置选项部分，单击 LDAP 连接池配置（LDAP Connection Pool Configuration）。 https://www.cwiki.us/display/CONFLUENCEWIKI/Configuring+the+LDAP+Connection+Pool
https://www.cwiki.us/display/CONFLUENCEWIKI/Connecting+to+an+LDAP+Directory
https://www.cwiki.us/display/CONFLUENCEWIKI/Connecting+to+an+LDAP+Directory
用户组成员属性（Group Members Attribute） 这个属性字段将在载入用户组成员的时候使用。例如： member 用户成员属性（User Membership Attribute） 这个属性字段将在载入用户组的时候使用。例如： memberOf 当找到用户组成员的时候，使用用户成员属性（Use the User Membership Attribute, when finding the user's group membership） 如果你的目录服务器为用户支持组成员属性的话，你可以选择这个（在默认的情况下，这个是 'memberOf' 属性）。 如果这个选择框选择的话，你的应用程序在 retrieving the list of groups to which a given user belongs 操作的时候会为用户使用用户组成员的属性。这个会带来更高效的检索效率。 如果这个选择框没有选择的话，你的应用程在查找的时候为用户组使用成员属性（默认是 'member' ）。 如果 启用嵌套用户组（Enable Nested Groups ）选择框被选择的话，你的应用程序将会忽略 使用用户成员属性（Use the User Membership Attribute）选项，而在组成员查找的时候使用成员属性。 当找到一个用户组成员的时候，使用用户成员属性（Use the User Membership Attribute, when finding the members of a group） 如果你的目录服务器在用户组中支持用户成员属性的话，你可以选择这个（在默认的情况下，这个是 'member' 属性）。 如果这个选择框被选择的话，你的应用程序在使用 retrieving the members of a given group 的时候，将会使用组成员属性。这个会带来更高效的检索效率。 如果这个选择框没有被选择的话，你的应用程序在查找的时候将会使用在用户组中使用成员属性（默认是 'member' ）。 https://www.cwiki.us/display/CONFLUENCEWIKI/Connecting+to+an+LDAP+Directory
用户组对象类（Group Object Class） 这是在 LDAP 用户组对象中使用的类的名字。例如： groupOfUniqueNames group 用户组对象过滤器（Group Object Filter） 这个过滤器将会在查找用户组对象的时候被使用。例如： (&(objectClass=group)(cn=*)) 用户组名字属性（Group Name Attribute） 当载入用户组名字的时候，这个字段将会被使用。例如： cn 用户组描述属性（Group Description Attribute） 当载入用户组描述的时候，这个字段将会被使用。例如： description https://www.cwiki.us/display/CONFLUENCEWIKI/Connecting+to+an+LDAP+Directory
用户对象类（User Object Class） 这个是在 LDAP 用户对象中对用户分类的名字。例如： user 用户对象过滤器（User Object Filter） 当对用户对象进行搜索的时候使用的过滤器。例如： (&(objectCategory=Person)(sAMAccountName=*)) 有关更多的示例可以在知识库上找到。请查看 How to write LDAP search filters。 用户全名属性（User Name Attribute） 当载入用户名的时候使用的属性字段。例如： cn sAMAccountName NB: 在 Active Directory 中，'sAMAccountName' 是 'User Logon Name （Windows 2000 之前的版本）(pre-Windows 2000)' 字段。用户登录名字段参考为 'cn'。 用户全名 RDN 属性（User Name RDN Attribute） RDN（相对区分的名字）在载入用户名的时候会被使用。针对每一个 LDAP 实例，DN 将会被区分为2 个部分：RDN 和 LDAP 目录服务器记录的位置。RDN 是你 DN 的一部分，这部分将不会关联到目录树结构。例如： cn 用户名属性（User First Name Attribute） 这个特性将会在用户名载入的时候被使用。例如： givenName 用户姓属性（User Last Name Attribute） 这个特性将会在用户姓载入的时候被使用。例如： sn 用户显示名属性（User Display Name Attribute） 这个特性将会在用户全名载入的时候被使用。例如： displayName 用户邮件属性（User Email Attribute） 这个特性将会在用户电子邮件地址载入的时候被使用。例如： mail 用户密码属性（User Password Attribute） 这个特性将会在用户密码载入的时候被使用。例如： unicodePwd 用户唯一 ID 属性（User Unique ID Attribute） 这个属性将会被用来唯一识别用户对象。这个设置通常被用来跟踪用户名的修改，这个选项是可选的。 如果这个属性没有被设置的话（或设置的值不正确），用户重命名将不会被系统访问到 — 当你进行用户重命名操作的话，系统将会解释为删除再添加一个新用户的操作。 这个字段通常被指定为 UUID 值。标准的 LDAP 服务器将会实践这个字段配置为 'entryUUID'，请参考 RFC 4530 的说明。这个字段存在的意思是针对不同的目录服务器，同一个用户名也能被识别。例如在 Microsoft Active Directory 中的 'objectGUID' 字段。 https://www.cwiki.us/display/CONFLUENCEWIKI/Connecting+to+an+LDAP+Directory
启用嵌套组（Enable Nested Groups） 为嵌套组启用或禁用支持。 一些目录服务器能够允许你在一个组中定义另外一个组。在这种结构下的用户组称为用户组嵌套。嵌套组的配置能够让子用户组继承上级用户组的权限，是系统的权限配置变得简单。 管理本地用户状态（Manage User Status Locally） 如果设置为 True，你可以在 Crowd 中激活或者取消激活用户。这个配置基于你目录服务器的状态。 过滤过期的用户（Filter out expired users） 如果设置为 True，用户账号可以在 ActiveDirectory 中被标记为过期的将会被系统自动移除。针对缓存的用户目录，用户的删除将会在用户过期日期后的第一次同步中完成。 注意：这个功能在嵌入的 Crowd 2.0.0 及后续版本中可用，但是在 2.0.0 m04 release 版本中不可用。 结果分页（Use Paged Results） 启用或者禁用使用 LDAP 为查询结果进行简单的分页。如果分页功能被启用，查询功能将会返回一部分查询的结果而不是所有的查询结果 输入希望分页的页面大小——这样将会返回在一次查询中最大允许返回的记录数量，默认这个值为 1000。 转移引荐（Follow Referrals） 选择启用这个功能的话，将会运行目录服务器将请求转移到其他的服务器上。这个选项使用的是节点转移（JNDI lookup java.naming.referral）配置设置。 这个配置通常需要 Active Directory 配置正确的 DNS 来避免在操作的时候出现 'javax.naming.PartialResultException: Unprocessed Continuation Reference(s)' 异常。 Naive DN 匹配（Naive DN Matching） 如果你的目录服务器总是返回一个 DN，你可以选择启用 Naive DN 匹配。选择使用 Naive DN 匹配将会让你的系统性能得到显著的提升。我们建议在你目录服务器可用的情况下启用这个配置。 这个设置决定了你的应用程序在 DN 相同的情况如何进行 DN 比较。 如果选择框选择的话，应用程序将会进行目录，大小写敏感的字符串比较。这个是默认推荐使用的 Active Directory 设置，因为 Active Directory 能够保证 DN 的格式。 如果这个选择框没有选择的话，应用程序将会对 DN 进行处理，然后检查处理的版本。 启用增量同步（Enable Incremental Synchronization） 如果你希望在对目录进行同步的时候，仅仅些对上次同步以后进行的变化进行同步的话，请启用增量同步。 在使用这个选项希望对系统 DN 进行增量同步的时候请注意，系统配置的 LDAP 账户应该具有下面的可读权限： 针对在目录中所有用户和用户组的 uSNChanged 属性，因为这个属性需要被同步。 Active Directory 删除的对象容器中的对象和属性。 如果在上面的 2 个条没有一条是满足的，那么你可能在进行增量同步的时候出现错误。用户在目录中被添加或删除将不能在应用程序中同样的被添加和删除。 这个功能仅仅在用户目录类型被设置为 "Microsoft Active Directory" 时可用。 同步时间间隔（分钟）（Synchronization Interval (minutes)） 同步指的是处理应用内部存储的用户信息针对目录服务器上存储的用户进行进行比较和更新。应用服务器将会每隔 X 分钟向目录服务器发送同步的请求。 这个 X 指定的时间就在这里进行设置。默认的值是 60 分钟。 读取超时（秒）（Read Timeout (seconds)） 等待目录服务器返回结果的时间。如果等待目录服务器返回结果的时间超过了这里设置的值的话，这次同步请求将会被取消。设置为 0 的话，表示永远不超时，默认值为 120 秒。 查找超时（秒）（Search Timeout (seconds)） 在对目录服务器进行查找操作时，等待目录服务器返回数据的时间。设置为 0 的话，表示永远不超时，默认值为 60秒。 连接超时（秒）（Connection Timeout (seconds)） 这个设置将会影响下面 2 个操作。默认值为 0。 等待从连接池中获得连接的时间。设置为 0 的话表示没有限制，意思是一直等待。 打开一个新服务器连接的等待时间（单位是秒）。设置为 0 的话，表示的是 TCP 网络超时将会被使用，这里可能有会有几分钟的等待。 https://www.cwiki.us/display/CONFLUENCEWIKI/Connecting+to+an+LDAP+Directory