Mise en place d’une synchronisation LDAP

La configuration se compose de trois parties : la création de la synchronisation dans l’onglet « Général », la configuration de l’importation des utilisateurs dans l’onglet « Utilisateurs » et la configuration de l’importation des groupes dans l’onglet « Groupes ». Vous pouvez basculer entre ces onglets à l’aide de la barre située dans le coin supérieur gauche du panneau des propriétés de synchronisation LDAP.

Onglet « Général »

Dans l’onglet Général, définissez les propriétés générales de la synchronisation : activez ou désactivez la synchronisation, sélectionnez le domaine du serveur LDAP, saisissez le nom d’utilisateur et le mot de passe pour accéder au serveur, et choisissez éventuellement d’exporter les utilisateurs importés vers un fichier CSV. Reportez-vous à la liste ci-dessous pour une description des différents paramètres.

• Activé : vous pouvez ici activer ou désactiver la synchronisation.

• Serveur LDAP : vous pouvez ici sélectionner le domaine à partir duquel vous souhaitez effectuer la synchronisation.

• Utilisateur : saisissez le nom d'utilisateur permettant d'accéder au serveur du domaine LDAP.

• Mot de passe : saisissez le mot de passe permettant d’accéder au serveur de domaine LDAP.

• Activé : si vous activez l’option « Exporter au format CSV après une importation réussie », MyQ crée un fichier CSV contenant les utilisateurs importés après la synchronisation.

• Fichier : sélectionnez le dossier dans lequel vous souhaitez enregistrer le fichier créé.

Une fois que vous avez correctement défini les paramètres de connexion (serveur LDAP, utilisateur et mot de passe) et enregistré les paramètres, le navigateur LDAP s'ouvre sur le côté droit de l'écran.

Onglet « Utilisateurs »

Dans l’onglet Utilisateurs, sélectionnez un ou plusieurs DN de base (noms distinctifs) à partir desquels vous importez les utilisateurs. De plus, vous pouvez attribuer des attributs d’utilisateur provenant du serveur LDAP aux propriétés d’utilisateur dans MyQ et sélectionner des options supplémentaires concernant la synchronisation.

• DN de base : vous pouvez ici sélectionner le ou les domaines de base à partir desquels vous importez les utilisateurs. Cliquez sur +Ajouter pour ajouter une zone de texte destinée au nouveau DN de base, puis faites glisser un groupe depuis le navigateur de base de données et déposez-le dans la zone de texte. Vous pouvez ajouter plusieurs domaines de cette manière.

  

• Propriétés : il s’agit des propriétés de chaque utilisateur individuel. MyQ détectera et attribuera automatiquement le nom de compte SAM de l’utilisateur au champ « Nom d’utilisateur », « cn » au champ « Nom complet » et « mail » au champ « E-mail » (cela s’applique uniquement à Active Directory et OpenLDAP). La propriété « Nom d’utilisateur » est la seule qui ne peut pas être modifiée. Pour attribuer un attribut à une propriété, saisissez le nom de l’attribut dans la zone de texte de la propriété ou faites-le glisser depuis les attributs de n’importe quel utilisateur individuel et déposez-le dans la zone de texte.
  Les propriétés suivantes prennent en charge l’ajout de plusieurs valeurs, séparées par une virgule (,):

  • Alias

  • PIN

  • Badge

  Par exemple, dans la propriété « Alias », vous pouvez ajouter alias1,alias2,alias3. Les noms
  
  d'attributs contenant des points-virgules (par exemple, email;x-private) sont pris en charge à partir de la version 10.2, patch 24. Dans les versions antérieures, un point-virgule dans un nom d’attribut était interprété comme un séparateur de valeur, ce qui entraînait l’échec de la synchronisation pour ces attributs.

Pour les propriétés « Badge » et « Code PIN », l’administrateur peut choisir l’une des options suivantes :

1. Ne pas synchroniser : cette option ignore la synchronisation de ces valeurs.

2. Synchronisation complète : cette option remplace les valeurs existantes par les nouvelles valeurs provenant de LDAP, que la nouvelle valeur soit vide ou non.

3. Synchroniser si non vide : cette option remplacera les valeurs existantes uniquement si les nouvelles valeurs provenant de LDAP ne sont pas vides. Elle ne supprimera pas les valeurs existantes si la valeur correspondante dans LDAP est vide.

4. Ajouter les nouvelles : cette option mettra à jour les valeurs existantes en y ajoutant les nouvelles valeurs provenant de LDAP, sans remplacer celles-ci.

Pour attribuer des langues par défaut aux utilisateurs, vous devez utiliser un attribut du serveur LDAP dont les valeurs sont les abréviations des langues. Par exemple, vous pouvez créer et utiliser un attribut appelé « lang » avec les valeurs en pour l’anglais, hr pour le croate, etc.

• Options : Les options de base communes à la synchronisation à partir de serveurs LDAP et à la synchronisation à partir de fichiers CSV sont les suivantes :

  • Désactiver les utilisateurs manquants : si vous sélectionnez cette option, MyQ supprime les utilisateurs importés depuis la source de synchronisation actuelle et qui ne figurent plus dans celle-ci. Pour supprimer les utilisateurs qui ont été ajoutés à partir d’autres sources, sélectionnez l’option « Ignorer la source de synchronisation » en même temps que cette option.

  • Ajouter de nouveaux utilisateurs : si vous sélectionnez cette option, MyQ ajoute les nouveaux utilisateurs provenant de la source de synchronisation actuelle. Si vous ne la sélectionnez pas, MyQ met à jour les comptes des utilisateurs déjà présents dans MyQ, mais n’ajoute aucun nouvel utilisateur.

  • Convertir le nom d’utilisateur en minuscules : contrairement à certains autres systèmes qui ne font pas la distinction entre deux mots comportant les mêmes lettres mais de majuscules et minuscules différentes (tels que « Pear » et « pear »), MyQ est sensible à la casse. Vous pouvez utiliser l’option « Convertir le nom d’utilisateur en minuscules » pour éviter la création de plusieurs comptes pour un même utilisateur.

  • Utiliser un serveur d’authentification : si vous sélectionnez cette option et qu’un utilisateur se connecte en saisissant son nom d’utilisateur et son mot de passe, les identifiants ne sont pas authentifiés par rapport à la base de données MyQ, mais par rapport à un serveur LDAP ou Radius. Si vous synchronisez les utilisateurs via LDAP, le serveur LDAP source est automatiquement désigné comme
    serveur d’authentification. Si vous synchronisez les utilisateurs via CSV, vous pouvez sélectionner le serveur d’authentification dans la liste des serveurs d’authentification prédéfinis.

  • Associer par numéro personnel : si vous sélectionnez cette option, MyQ identifie les utilisateurs par leur numéro personnel plutôt que par leur nom d’utilisateur. Cela vous permet de suivre un même utilisateur portant des noms différents selon les sources ou un utilisateur dont le nom a changé pour une raison quelconque. Par exemple, si cette option est activée et qu’un nom d’utilisateur dans LDAP passe de cat.stevens à yusuf.islam, MyQ ne crée pas de nouveau compte utilisateur, mais reconnaît l’ancien utilisateur grâce à son numéro personnel.

  • Ignorer la source de synchronisation : si cette option n’est pas sélectionnée, MyQ considère deux utilisateurs provenant de sources de synchronisation différentes comme deux entités distinctes. Cela peut entraîner des conflits lors des synchronisations à partir de plusieurs sources. Si elle est sélectionnée, MyQ ignore les sources de synchronisation et traite tous les utilisateurs de la même manière, quelle que soit leur source de synchronisation. Par exemple, si vous lancez une synchronisation et que MyQ doit importer/mettre à jour un utilisateur qui a déjà été ajouté à partir d’une autre source de synchronisation, il ne met pas à jour cet utilisateur. À la place, il affiche le message « Le nom/alias “X” est déjà utilisé par l’utilisateur “X” » parmi les résultats de la synchronisation. Une fois l’option « Ignorer la source de synchronisation » sélectionnée, l’utilisateur est mis à jour par la dernière synchronisation.
    Si vous sélectionnez cette option en même temps que l’option « Désactiver les utilisateurs manquants », tous les utilisateurs qui ont été ajoutés à partir de sources différentes et qui ne figurent pas dans la source de synchronisation actuelle sont supprimés lors de la synchronisation.

  • Ajouter le nom de domaine au nom d’utilisateur (username@domain.local) : lorsque cette option est sélectionnée, le nom du domaine peut être récupéré à partir du nom d’utilisateur MyQ. Les informations relatives au domaine peuvent s’avérer nécessaires, par exemple, lorsque la numérisation vers les dossiers personnels des utilisateurs est utilisée sur un Terminal embarqué.

• Filtre : vous pouvez filtrer l’importation des utilisateurs en spécifiant les valeurs d’attributs. Ajoutez les conditions sous la forme d’une syntaxe de filtre LDAP. Les utilisateurs dont la valeur de cet attribut est différente ne sont pas acceptés et sont exclus de l’importation. Par exemple :

Pour les attributs dont les valeurs sont des chaînes de caractères, tels que l'attribut cn, vous pouvez utiliser le caractère générique * pour rechercher des sous-chaînes.

Les attributs DN (tels que memberOf) n'acceptent pas la recherche avec le caractère générique * et doivent être recherchés en utilisant la chaîne complète.

Si le champ de filtre est laissé vide, le filtre par défaut actuel pour le type de source LDAP correspondant est appliqué automatiquement.

• Transformation : cette fonctionnalité permet aux administrateurs de définir des expressions régulières (RegEx) pour transformer les données utilisateur pendant le processus de synchronisation ; plus de détails sont disponibles ici.

Onglet « Groupes »

Dans cet onglet, vous pouvez importer des groupes et la structure des groupes depuis la source LDAP. Il existe quatre façons différentes de spécifier quels groupes sont importés. Vous pouvez combiner plusieurs méthodes différentes et, pour chacune d’entre elles, créer des groupes d’utilisateurs distincts. Vous pouvez également choisir d’importer les groupes sous un groupe existant dans MyQ.

• Ne pas modifier le groupe par défaut : un utilisateur peut être membre de plusieurs groupes, mais toutes ses impressions, copies et numérisations sont comptabilisées dans un seul groupe : le groupe par défaut (de comptabilité) de l’utilisateur. Si vous sélectionnez cette option, le groupe par défaut de l’utilisateur sélectionné ne change pas lors de la synchronisation.

• Importer les groupes sous ce groupe : vous pouvez sélectionner un groupe existant dans MyQ sous lequel vous importez les groupes provenant de la base de données LDAP.

• Groupes stockés dans l’attribut de l’utilisateur :

  • Attribut : vous pouvez sélectionner cette option si vous souhaitez utiliser un attribut définissant des groupes dans la base de données LDAP. Pour l’ajouter, saisissez le nom de l’attribut dans la zone de texte « Propriété » ou faites glisser l’attribut depuis n’importe quel utilisateur individuel et déposez-le dans la zone de texte « Attribut ».

    

    Vous pouvez également créer des groupes en combinant plusieurs attributs. Pour créer de tels groupes, placez chacun des attributs entre deux signes de pourcentage (%). Par exemple, la combinaison d’attributs %attribut1%_%attribut2% importe un nouveau groupe nommé valeur1_valeur2.

    

    De plus, vous pouvez créer des arborescences de groupes en séparant les attributs par des barres verticales. Par exemple, la combinaison d’attributs %attribut1%|%attribut2% importe un groupe « value1 » et son sous-groupe « value2 ».

  • Définir comme groupe par défaut : si vous sélectionnez cette option, le groupe devient le groupe par défaut de l’utilisateur importé.

• Groupe stocké dans le DN de l'utilisateur :

  • Index de la composante OU : vous pouvez ici sélectionner un groupe en fonction de l’index de son OU (unité organisationnelle) parmi les composantes du DN. L’index est compté de droite à gauche : le premier groupe OU à partir de la droite porte l’index 1, le deuxième à partir de la droite porte l’index 2, et ainsi de suite.

    

    Sur l'image ci-dessus, il y a deux groupes d'OU : « test_users » a l'index 1 (puisqu'il s'agit du premier groupe d'OU à partir de la droite), « tree1 » a l'index 2. Les autres composants ne sont pas des OU et n'ont donc pas d'index.

  • Définir comme groupe par défaut : si vous sélectionnez cette option, le groupe devient le groupe par défaut de l’utilisateur importé.

• Arborescence des groupes stockée dans le DN de l’utilisateur : vous pouvez ici importer l’intégralité de l’arborescence des groupes. Vous pouvez limiter l’importation à une partie de la structure en supprimant des composants du DN à gauche et à droite. Dans les zones de texte correspondantes, saisissez le nombre de composants à supprimer à gauche et
  à droite. Vous devez supprimer au moins un composant à gauche (le composant CN de l'utilisateur) et un composant à droite (le composant DC le plus à droite).

  

  Sur l’image ci-dessus, il y a six composants. Si vous supprimez un composant à gauche et un à droite, vous importez la structure de groupes suivante : MYQTESTLAB > test_users > tree1 > tree3. En supprimant des composants à gauche, vous supprimez les groupes du bas vers le haut de la structure. En supprimant des composants à droite, vous supprimez les groupes du haut vers le bas de la structure.

  • Définir comme groupe par défaut : si vous sélectionnez cette option, le groupe situé tout en bas de la structure importée devient le groupe par défaut de l’utilisateur importé.

• Groupe stocké dans l’attribut memberOf de l’utilisateur :

  • DN de base du groupe : MyQ peut importer des groupes de sécurité et de distribution stockés dans l’attribut `memberOf` de l’utilisateur. Les groupes de sécurité servent à définir les autorisations d’accès accordées à leurs membres. Les groupes de distribution peuvent être utilisés pour envoyer des e-mails à un ensemble d’utilisateurs. Pour spécifier quels groupes doivent être pris en compte lors de l’importation, vous devez saisir le DN de base des groupes. MyQ n’importe que les groupes inclus dans le DN de base ; les autres groupes stockés dans l’attribut `memberOf` sont ignorés. Le DN de base des groupes ne doit pas nécessairement se trouver dans la même unité organisationnelle que le domaine de base des utilisateurs. Si un utilisateur est membre de plusieurs groupes sur le serveur LDAP, tous ces groupes sont stockés dans l’attribut « memberOf ». Par conséquent, l’option « Définir par défaut », qui nécessite une valeur unique, n’est pas disponible pour cette méthode d’importation.
    Pour ajouter le DN de base des groupes, faites-le glisser depuis le navigateur de base de données et déposez-le dans la zone de texte « DN de base des groupes ».

  • Filtre : vous pouvez filtrer cette importation en spécifiant les valeurs d’attributs. Ajoutez les conditions sous la forme : Attribut=Valeur. Les groupes dont la valeur de cet attribut est différente ne sont pas acceptés et sont exclus de l’importation. Vous pouvez utiliser le symbole * pour rechercher des sous-chaînes. Ce symbole peut être ajouté des deux côtés. Par exemple, si vous ajoutez une condition cn=*in*, seuls les utilisateurs dont l’attribut « nom commun » contient « in » sont acceptés. Vous pouvez ajouter une condition par ligne. Les groupes sont acceptés s’ils satisfont à au moins une condition.

    

    • Importer les groupes vides : si vous sélectionnez cette option, les groupes du DN de base des groupes sont importés même si aucun utilisateur ne les possède dans son attribut memberOf.

    • Importer l’arborescence des groupes : si vous sélectionnez cette option, l’arborescence complète est importée. Sinon, tous les groupes sont ajoutés séparément, sans faire partie d’une arborescence.