MyQ X synchronise les utilisateurs depuis Active Directory (AD) à l’aide du protocole LDAP. La synchronisation importe les comptes utilisateurs et les appartenances à des groupes, les maintient à jour à mesure que le répertoire évolue, et met en correspondance les attributs du répertoire dont dépendent l’authentification des travaux et la connexion aux terminaux.
Des conseils sur l’utilisation de cette source sont fournis dans le Guide de déploiement. Voir User Synchronization.
Voir également :
Prérequis
-
Un contrôleur de domaine Active Directory accessible depuis le serveur MyQ via LDAPS (port 636 recommandé) ou LDAP (port 389).
-
Un compte de service dans AD disposant d’un accès en lecture seule limité aux unités organisationnelles que vous souhaitez synchroniser. Aucun accès en écriture ni privilèges de domaine élevés ne sont requis.
-
Si vous utilisez LDAPS (recommandé), le certificat de l’autorité de certification racine émettrice doit être installé dans le magasin de certificats Windows du serveur MyQ afin qu’il puisse vérifier le certificat AD. Dans les environnements gérés, cela peut déjà être pris en charge par la stratégie de groupe.
-
Le DNS résout correctement le domaine AD à partir du serveur MyQ.
Points clés à prendre en compte
Testez la détection des travaux avant de configurer la synchronisation. MyQ associe systématiquement l’sAMAccountNameau champ nom d’utilisateur pour les utilisateurs synchronisés via LDAP – ce comportement ne peut pas être modifié. Si votre détection de travail renvoie une valeur différente, le plus souvent l’userPrincipalName dans les environnements comportant des périphériques joints à Entra ID ou dans un environnement hybride, la correspondance échouera à moins que cette valeur ne soit également présente en tant qu’alias. Envoyez une tâche de test à partir d’un compte qui n’existe pas encore dans MyQ et vérifiez l’entrée du journal des rejets (Job discarded. User "x" not found.) : la valeur indiquée entre guillemets correspond exactement à ce que votre synchronisation doit placer dans le champ nom d’utilisateur ou alias. Voir Understanding Job Detection.
Les champs à valeurs multiples nécessitent une transformation. Certains environnements stockent plusieurs identifiants – un numéro de badge et un numéro personnel, par exemple – dans un seul attribut AD, séparés par un délimiteur. MyQ prend en charge la transformation par expressions régulières (regex) dans les paramètres de la source de synchronisation pour analyser ces valeurs. Voir Transformer les données utilisateur avec RegEx.
Les environnements multi-domaines nécessitent l’ajout du domaine. Si des utilisateurs provenant de plusieurs domaines AD sont synchronisés vers la même installation MyQ, le même sAMAccountName peut exister dans plusieurs domaines. Activez l’option Ajouter le nom de domaine au nom d’utilisateur dans chaque source de synchronisation LDAP afin de générer des noms d’utilisateur uniques au format username@domain. Pour que l’authentification des travaux fonctionne correctement, le domaine doit également être présent dans le travail d’impression. Voir Multi-domain and Multi-tenant Environments.
L’extension du schéma est irréversible. Si vous prévoyez d’utiliser des attributs d’extension de schéma personnalisés pour protéger des valeurs sensibles telles que des numéros de carte ou des codes PIN, testez la modification du schéma dans un environnement de laboratoire avant de l’appliquer en production. Les attributs personnalisés ajoutés au schéma AD ne peuvent pas être supprimés.
Configurer le serveur d’authentification
Accédez à MyQ > Paramètres > Serveurs d’authentification et ajoutez un nouveau serveur LDAP pour le domaine AD. Définissez le paramètre Sécurité sur SSL et le port sur 636.
Si un compte de service de sous-domaine est utilisé, indiquez le sous-domaine dans le champ Nom d’utilisateur. Par exemple, si le compte Administrator réside dans cz.testAD.local mais se connecte à testAD.local, saisissez Administrator@cz.testAD.local.
Voir également : Paramètres des serveurs d’authentification
Configurer la source de synchronisation
Accédez à Paramètres > Synchronisation utilisateur, cliquez sur +Ajouter, puis sélectionnez Ajouter une source LDAP.
Pour consulter la référence de configuration complète, reportez-vous à la section Synchronisation des utilisateurs depuis LDAP. Les informations suivantes concernent spécifiquement Active Directory.
Mappage par défaut des attributs
MyQ applique automatiquement ces mappages par défaut pour les sources Active Directory. Toutes les autres propriétés n’ont pas de valeur par défaut et doivent être configurées explicitement.
|
Propriété MyQ |
Attribut AD par défaut |
|---|---|
|
Nom d’utilisateur |
|
|
Nom complet |
|
|
Courriel |
|
Propriétés généralement configurées explicitement pour AD :
|
Propriété MyQ |
Attribut AD |
Remarques |
|---|---|---|
|
Alias |
|
Effectuez le mappage ici si la détection des travaux renvoie l’UPN plutôt que l’ |
|
Alias |
|
Effectuez le mappage ici si la détection des travaux renvoie des identifiants au format e-mail. |
|
Numéro personnel |
|
Utile pour associer les utilisateurs entre différentes sources de synchronisation, notamment lors de la migration d’AD vers Entra ID. |
|
Badge |
Personnalisé ou |
Vérifiez la protection des attributs confidentiels avant de l’activer – voir « Considérations de sécurité ». |
|
Code PIN |
Personnalisé ou |
Mêmes considérations que pour le badge. |
|
Stockage de l’utilisateur |
|
Active les fonctions Easy Print à partir de et Easy Scan vers le dossier personnel de l’utilisateur sur les terminaux embarqués. |
Lancer et planifier la synchronisation
Pour lancer immédiatement la synchronisation utilisateur, accédez à MyQ > Paramètres > Synchronisation utilisateur, sélectionnez la source, puis cliquez sur Synchroniser maintenant. Si la configuration est correcte, les utilisateurs et groupes synchronisés apparaissent sous MyQ > Utilisateurs.
Pour effectuer une synchronisation automatique selon un calendrier défini, accédez à MyQ > Paramètres > Planificateur de tâches et configurez la tâche Synchronisation utilisateur.
Considérations de sécurité
Utilisez LDAPS
Toutes les communications LDAP entre MyQ et AD doivent utiliser LDAPS (LDAP sur SSL/TLS) ou StartTLS. Le protocole LDAP standard transmet les identifiants et les données d’annuaire en clair. L’utilisation de LDAPS peut être imposée dans les paramètres du serveur d’authentification de MyQ.
Protégez les attributs sensibles de l’annuaire
Par défaut, les attributs AD standard sont lisibles par tout utilisateur authentifié du domaine. Si des numéros de badge, des codes PIN ou d’autres identifiants sensibles sont stockés dans AD et doivent être synchronisés vers MyQ, marquez ces attributs comme confidentiels avant d’activer la synchronisation. Les attributs confidentiels limitent l’accès en lecture à des comptes de fiduciaire spécifiés : le compte de service utilisé par MyQ pour la synchronisation se verrait alors accorder un accès de fiduciaire.
Pour une protection renforcée, stockez les valeurs sensibles dans des attributs d’extension de schéma personnalisés plutôt que dans des attributs standard. Les attributs personnalisés sont plus difficiles à énumérer et peuvent également être marqués comme confidentiels.
Appliquez le principe du «privilège minimal» au compte de service de synchronisation
Le compte de service utilisé pour la synchronisation LDAP doit disposer d’un accès en lecture seule limité aux unités organisationnelles faisant l’objet de la synchronisation. Si des attributs confidentiels sont utilisés, le compte de service doit se voir explicitement accorder un accès de mandataire uniquement à ces attributs.