Active Directory-Synchronisation

Das BlueMind Professional Abonnement ermöglicht den Zugang zu Werkzeugen, die die Integration von BlueMind in das Informationssystem erleichtern.

Dieser Abschnitt beschreibt die Funktionen, die das Modul für den Zugriff auf ein Active Directory bietet.

Umfang des Active Directory

Die Verwaltungskonsole von BlueMind ermöglicht es Ihnen, Benutzer, Gruppen und andere Einheiten direkt in BlueMind zu erstellen und zu verwalten.

In einem Informationssystem gibt es jedoch oft ein zentrales Verzeichnis, wie LDAP oder Active Directory, auf das man sich am besten stützt, um Benutzer und Gruppen zentral zu verwalten. In diesem Fall kann die Benutzerverwaltung an ein Active Directory delegiert werden und die Erstellung von Konten durch regelmäßige Synchronisation automatisiert werden.

Durch die Active Directory-Synchronisation ist Blue Mind in der Lage:

• seine Benutzer- und Gruppenbasis aus dem Verzeichnis in regelmäßigen Abständen auf transparente Weise zu importieren.
• die BlueMind-Benutzer direkt bei Active Directory zu authentifizieren.

Dieses Tool vermeidet die Verwaltung einer Benutzerbasis in Blue Mind und die Probleme der Passwortvervielfältigung. Das Kennwort wird zentral im AD-Verzeichnis gespeichert und ist BlueMind weder bekannt noch wird es importiert.

Authentifizierung im Active Directory

Für die aus dem Verzeichnis importierten Benutzer erfolgt die Authentifizierung bei diesem Verzeichnis, die Blue Mind-Datenbank verfügt nicht über die Active Directory-Passwörter.

Funktionsprinzip

BlueMind ermöglicht den Import und die Verwendung von Benutzern und Gruppen aus einem Active Directory System.

Der Import von Active Directory wird für jede Domäne auf der BlueMind Seite inkrementell durchgeführt.

Die Passwörter der importierten Nutzer werden direkt mit dem Active Directory validiert. BlueMind speichert keine Kennwörter.

Ein neuer Benutzer kann sich mit einem BlueMind Server verbinden, auch wenn dieser noch nicht importiert wurde. Sein BlueMind-Konto wird automatisch erstellt, wenn der Authentifizierungsprozess erfolgreich war.

Die Bereitstellung (Erstellung oder Änderung) eines Benutzers oder einer Gruppe aus dem Active Directory zu BlueMind findet also statt :

• bei Serverkonfiguration, während des ersten Imports
• regelmäßig im Laufe eines Tages über geplante Aufgaben
• oder wenn ein Nutzer sich automatisch im laufenden Betrieb anmeldet.

Installation

Um auf die Synchronisationsfunktionen mit einem AD-Verzeichnis zugreifen zu können, muss das ad-import-Plugin installiert werden.

Verbinden Sie sich dazu mit dem Server und geben Sie den folgenden Befehl ein, um die Installation des Plugins zu starten:

Debian/Ubuntu

sudo aptitude update
sudo aptitude install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import

RedHat/CentOS

yum update
yum install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import

Nach Abschluss der Installation starten Sie den bm-core-Komponenten mit dem folgenden Befehl neu:

bmctl restart

Konfiguration

Konfiguration der Active Directory-Verbindung

• Verbinden Sie sich mit dem BlueMind-Zielserver als globaler Administrator admin0

• Gehen Sie zu „Systemverwaltung“ > „Überwachte Domänen“ > wählen Sie die Domäne aus > Registerkarte „AD-Import“:

• Aktivieren Sie das Kontrollkästchen "AD-Import aktivieren".
• Füllen Sie die angeforderten Informationen mit den Active Directory-Einstellungen aus:

Angeforderte Parameter	Active Directory-Wert
AD-Benutzername	Login, das verwendet wird, um Anfragen an den Active Directory Server zu stellen. Sie können jedes Benutzerkonto verwenden, das die Rechte hat, den Active Directory-Baum im schreibgeschützten Modus zu durchlaufen. Der Login hat die Form login@DOMAIN, z.B. admin@ad-domain.ltd.
Kennwort des AD-Benutzers	Passwort, das dem Konto im Feld AD-Benutzeranmeldung zugeordnet ist
Name oder IP des AD-Servers	IP-Adresse oder FQDN des Active Directory-Servers. Das TLS-Protokoll wird vorrangig verwendet, wenn das Verzeichnis dies zulässt. Dieses Feld kann leer sein, wenn es möglich ist, den Standort des Servers unter Verwendung des DNS-Eintrags vom Typ SRV zu bestimmen. _ldap._tcp.dc._msdcs.DOMAIN zum Beispiel _ldap._tcp.dc._msdcs.ad-domain.tld Weitere Informationen zum DNS-Eintrag finden Sie unter diesem Technet-Artikel
Wurzel des AD-Verzeichnisses	Wurzel für die Active Directory-Suche. Wenn leer, werden Suchanfragen unter Verwendung des Wurzel-DN durchgeführt. Wird verwendet, um die Suche auf einen Teilbereich des Active Directory-Baums zu beschränken.
AD-Benutzerfilter	Filter für die Suche nach Benutzereinträgen im AD. Nur die Nutzer, die dem angewandten Filter entsprechen, werden importiert. Die LDAP-Syntax für Filter, die in RFC 4515 beschrieben ist, kann verwendet werden. Siehe die Beispiele zu den LDAP-Benutzerfiltern und den Technet-Artikel „Active Directory: LDAP-Syntaxfilter“
AD-Gruppenfilter	Filter für die Suche nach Gruppeneinträgen im AD. Es werden nur die Gruppen importiert, die dem angewandten Filter entsprechen. Die LDAP-Syntax der Filter, beschrieben in RFC 4515, kann verwendet werden. Siehe Beispiele aus LDAP-Gruppenfiltern und den Technet-Artikel Active Directory: LDAP-Syntaxfilter
Segmentierungsgruppe des Bereichs	Dieses Feld kann leer sein. Dieses Feld wird ignoriert, wenn die Funktion zur Segmentierung von Domänen nicht für BlueMind konfiguriert ist. E-Mails, die an Benutzer gerichtet sind, die Mitglieder dieser Gruppe sind, werden an einen anderen Mailserver in derselben Domäne (konfiguriert über die Domänensegmentierung) weitergeleitet.
Änderung des AD-Passworts zulassen	Erlaubt es den Benutzern, ihr AD-Kennwort von BlueMind aus zu ändern. Es gelten die in AD festgelegten Passwortrichtlinien.
Erfolgreiche letzte Hinrichtung	Datum des letzten Imports, der ohne Fehler durchgeführt wurde. Der inkrementelle Modus des Imports berücksichtigt die Änderungen, die seit diesem Datum in AD vorgenommen wurden.
Status des letzten Imports	Datum und Status der letzten Ausführung des AD-Imports. Sollten Fehler auftreten, finden Sie weitere Informationen in den Protokollen der geplanten Aufgabe für den AD-Import dieser Domäne
Start inkrementelle Synchronisation	Erzwingt die Ausführung des AD-Imports im inkrementellen Modus. In AD werden nur die Änderungen berücksichtigt, die seit dem Datum der letzten erfolgreichen Ausführung vorgenommen wurden. Dieser Vorgang entspricht der Ausführung der geplanten Aufgabe zum Import von AD-Daten aus dieser Domäne.
Globale Synchronisation starten	Erzwingen Sie eine Ausführung des AD-Imports im globalen Modus. In diesem Modus wird das Datum der Letzten erfolgreichen Ausführung nicht berücksichtigt. Alle Eingaben, die den Parametern des Imports entsprechen, werden verarbeitet. Dies kann je nach Anzahl der zu verarbeitenden AD-Einträge lange dauern.

Konfiguration von Benutzerrollen

Wenn BlueMind so konfiguriert ist, dass es seine Benutzerdatenbank aus einem Active Directory importiert, kontrolliert BlueMind nicht mehr die Regeln für die Kennwortverwaltung. BlueMind kann nicht in das Active Directory schreiben und kann daher das Active Directory-Kennwort nicht ändern.

Aus diesem Grund ist es notwendig, importierten Benutzern des Active Directory den Zugriff auf die Schnittstellen zur Passwortänderung zu entziehen (die nur auf das BlueMind-Passwort wirkt).

Der Zugriff auf die Benutzeroberfläche für die Passwortverwaltung erfolgt über die Rolle: Allgemein → Passwort ändern (siehe  Les rôles : droits d'accès et d'administration)

:::info Rollen und Gruppen

Innerhalb eines BlueMind-Bereichs können Benutzer aus einem Active Directory und lokale BlueMind-Benutzer nebeneinander existieren. Der Zugang zu den Schnittstellen für die Passwortänderung sollte daher vom Benutzertyp abhängen. Gruppen können verwendet werden, um unterschiedlichen Nutzertypen unterschiedliche Rollen zuzuweisen.

Siehe die Dokumentation zu Gruppen und Rollen (Gruppenverwaltung und -administration → Rollen).

:::

Verbindungsmethode

Das BlueMind Plugin für Active Directory stellt keine besonderen Anforderungen oder Schemata. Geben Sie einfach die folgenden Informationen an:

• den Hostnamen (oder die IP-Adresse) des Active Directory Servers
• ein "Benutzername"/"Passwort"-Paar im AD-Verzeichnis, um Verbindungen herzustellen.

Standardmäßig werden alle Benutzer und Gruppen aus dem Active Directory abgerufen. Filter für die Abfrage eines Teils des Verzeichnisses können konfiguriert werden, indem die folgenden Informationen konfiguriert werden:

• die Wurzel des Verzeichnisses
• Filter, die bei der Synchronisation von Benutzern und Gruppen verwendet werden sollen, um die importierten Daten einzuschränken.

Ein letzter Parameter ermöglicht es Ihnen, die Segmentierungsgruppe der Domain anzugeben.

Das Tool ermöglicht eine direkte Überprüfung, ob das Verzeichnis zugänglich ist und der Zugang richtig konfiguriert ist.

So funktioniert das Synchronisationswerkzeug

Benutzerkonten

Das Plugin für Active Directory funktioniert auf drei komplementäre Arten:

• globaler Import aller Nutzer
• inkrementeller Import
• Echtzeit-Import zur Authentifizierung

Der globale Import durchsucht alle Benutzer und Gruppen des Active Directory (unter Berücksichtigung des AD Roots und der Filter) und importiert sie in BlueMind. Diejenigen, die nicht existieren, werden erstellt und diejenigen, die bereits existierten, werden bei Bedarf geändert.

Der inkrementelle Import funktioniert auf die gleiche Weise, aber es werden nur die seit dem letzten Import geänderten Benutzer durchsucht.

Wenn er ihn findet, importiert er ihn und authentifiziert ihn im Active Directory, um ihm sofortigen Zugriff auf BlueMind zu ermöglichen.

Konto-Status

Konten, die aus einem Active Directory importiert wurden und den konfigurierten LDAP-Filter erfüllen, werden automatisch aktiviert.

Umgekehrt können sie im Active Directory suspendiert oder gelöscht werden, so dass sie keinen Zugriff auf die E-Mails haben. Ein im Active Directory gelöschter Benutzer wird in BlueMind einfach suspendiert.

Geplante Active Directory-Synchronisierung

Inkrementeller Import

Bei der Installation des Plugins Active Directory erstellt BlueMind eine geplante Aufgabe, deren Zweck es ist, die Benutzer- und Gruppendatenbanken regelmäßig mit dem Active Directory zu synchronisieren.

Der inkrementelle Import verarbeitet nur Daten, die seit dem letzten Import erstellt, gelöscht oder geändert wurden.

Wie im folgenden Bildschirmfoto gezeigt, kann die geplante Aufgabe:

• automatisch: aktiviert nach den Kriterien der bereits durchgeführten Importe, mit einer maximalen Frequenz von 4 Stunden;
• geplant in einem Cron-Format, so dass jede beliebige Aktivierungsfrequenz möglich ist.
• deaktiviert: In diesem Fall wird die geplante Aufgabe nicht ausgeführt.

Verfolgung der geplanten Aufgaben

Das Dashboard für geplante Aufgaben ermöglicht die Überprüfung der ordnungsgemäßen Ausführung derselben. Der folgende Screenshot zeigt die durchgeführten Synchronisierungsaufgaben, ihr Ausführungsdatum und das Ergebnis der Operation:

Active Directory Mapping - BlueMind

Attribute der Nutzer

info

Das AD BlueMind-Import basiert auf member und memberOf, um Zugehörigkeiten zu bestimmen, unterstützt jedoch nicht die Verwaltung der primären Gruppe.

Außerdem scheint es nicht empfohlen, die primäre Gruppe der Benutzer zu ändern, es sei denn, es besteht ein spezieller Bedarf.

BlueMind	Active Directory Attribut	Anmerkung
Login	sAMAccountName	Bei Import wird ein Mapping (Zeichenersetzung) aus Gründen der Kompatibilität durchgeführt: - Ersatz von Akzentbuchstaben durch den entsprechenden unaccented Buchstaben - Umwandlung in Kleinbuchstaben - Ersetzung von Leerzeichen durch '_'
title*	personalTitle	Anrede: Herr, Frau, Fräulein...
firstname	givenName
lastname	sn
formatedName	displayName	Wenn das Attribut displayName fehlt, wird das Feld von BlueMind durch Verkettung der verschiedenen nicht leeren Teile von Vorname, Nachname, Titel, etc. auf die gleiche Weise wie Vollständiger Name in Kontaktblättern generiert.
jobtitle*	title	Berufsbezeichnung: Abteilungsleiter, CIO, etc.
Beschreibung	Beschreibung
Mail	mail otherMailbox proxyAddresses	Die BlueMind Standardadresse wird durch den ersten der in den folgenden Feldern gefundenen Werte definiert (in dieser Reihenfolge) : mail. der erste Wert im Feld otherMailbox. proxyAddresses nach den folgenden Regeln: der erste mit dem Präfix "SMTP:". wenn keine Adresse mit dem Präfix "SMTP:" vorhanden ist, die erste mit dem Präfix "smtp:". Die folgenden werden als Alias verwendet. Hinweis: Es werden nur Adressen berücksichtigt, die mit „SMTP:“ oder „smtp:“ beginnen (Syntax gemäß Microsoft). ⚠️ Sollte keines dieser Attribute angegeben oder gültig sein, wird eine Adresse in folgender Form zugewiesen: login@<Standarddomäne>
Straße	streetAddress
zip	postalCode
Stadt	l
Country	co
state	st
Arbeitstelefone	telephoneNumber otherTelephone
Heimtelefone	homePhone otherHomePhone
Mobiltelefone	mobile otherMobile
Fax	facsimileTelephoneNumber otherFacsimileTelephoneNumber
Pager	pager otherPager
memberOf	memberOf	Liste der Gruppen, in denen der Nutzer Mitglied ist. Der Benutzer BlueMind wird nur zu bereits importierten Gruppen hinzugefügt.
Dienst	department
photoID	thumbnailPhoto	Benutzerfoto: Der Inhalt dieses Attributs wird als Foto des entsprechenden Kontos importiert.
user.value.contactInfos. organizational.org.company	Unternehmen
user.value.contactInfos. organizational.org.department	department

Attribute der Gruppen

BlueMind	Active Directory Attribut	Anmerkung
Name	sAMAccountName
Beschreibung	Beschreibung
Mail	mail proxyAdresses	Die BlueMind-Standardadresse wird durch den ersten der in den folgenden Feldern (in dieser Reihenfolge) gefundenen Werte festgelegt : mail proxyAddresses, gemäß den folgenden Regeln: die erste mit dem Präfix „SMTP:“ falls keine Adresse mit dem Präfix „SMTP:“ vorhanden ist, die erste mit dem Präfix „smtp:“ Hinweis: Es werden nur Adressen berücksichtigt, denen „SMTP:“ oder „smtp:“ vorangestellt ist (Syntax gemäß Microsoft). ⚠️ Ist keines dieser Felder ausgefüllt, verfügt die Gruppe in BlueMind über keine E-Mail-Funktion. otherMailbox existiert nicht für Gruppen. Die Lösung für das Hinzufügen von Alias-Nachrichten zu einer Gruppe ist, lokale Gruppen zu verwenden oder so viele Gruppen wie nötig im AD zu erstellen, jede mit einem Alias und dann die gewünschten Gruppen und/oder Nutzer als Mitglieder hinzuzufügen.
Mitglied	Mitglied	Nur synchronisierte Gruppen und Benutzer werden zu den Mitgliedern der Gruppe BlueMind hinzugefügt.

Zuweisung von Rechten

Der Zugriff auf die Anwendungen erfolgt über die Rollenverwaltung, wobei den Benutzern bestimmte Rollen zugewiesen werden.

Der AD-Import verwaltet keine Rollen, so dass die Nutzer nach dem Import keine Rollen haben und nicht auf Anwendungen (Webmail, Kontakte, Kalender) zugreifen können.

Der einfachste und effektivste Weg, dies zu tun, ist über die Gruppen:

• im AD den Nutzern eine gemeinsame Gruppe zuweisen (oder mehrere, falls gewünscht)
• Einen ersten Import starten: Die Gruppe(n) wird/werden zusammen mit den Benutzern in BlueMind importiert.
• Rufen Sie die Verwaltung auf und weisen Sie der Gruppe die gewünschten Rollen zu

Tipp

Bei nachfolgenden Importen und Updates werden die Rollen beibehalten.

Neue Nutzer können dann einfach dieser Gruppe zugeordnet werden, um ihnen die gewünschten Rollen zuzuweisen.

Erzwingen oder korrigieren Sie eine UID

Die UID eines Benutzers kann auf dem Verwaltungsblatt des Benutzers in BlueMind eingegeben oder korrigiert werden.

Gehen Sie dazu im Verwaltungsbereich > Verzeichnisse > Verzeichniseinträge > wählen Sie den Benutzerdatensatz aus > Tab Wartung: Tragen Sie das Feld ExternalID mit der Benutzer-UID im AD ein und speichern Sie dann.

Die Benutzerdaten werden bei der nächsten Ausführung der Aufgabe „ImportADJob“ mit dem Active Directory-Verzeichnis synchronisiert.

info

Die ExternalID muss mit dem Präfix "ad://" versehen sein.

Zum Beispiel :

ad://5d6b50-399a6-1e6f2-d01267d1f-0fbecb