MyQ X synchronise les utilisateurs de Google Workspace à l’aide du service Secure LDAP de Google, qui fournit un accès en lecture seule à l’annuaire Google via LDAPS. La synchronisation importe les comptes utilisateurs et les appartenances à des groupes, et mappe les attributs de l’annuaire aux propriétés des utilisateurs MyQ.
Voir également :
Prérequis
-
Droits d’administrateur principal dans Google Workspace.
-
Un abonnement à Google Workspace prenant en charge le service Secure LDAP.
-
Le serveur MyQ doit pouvoir établir des connexions LDAPS sortantes (TCP 636) vers Google.
-
Connaître les utilisateurs ou groupes auxquels MyQ doit être autorisé à accéder.
Points clés à prendre en compte
Chaque instance de serveur MyQ nécessite son propre certificat client LDAP. Google délivre un certificat unique par client LDAP. Si vous exploitez plusieurs serveurs MyQ – par exemple, un serveur central et des serveurs de site –, chacun doit disposer de son propre client enregistré dans Google Admin, avec son propre certificat et ses propres identifiants.
Les certificats expirent et doivent être renouvelés. Les certificats clients LDAP de Google Workspace ont une date d’expiration. Prévoyez le renouvellement des certificats dans votre calendrier opérationnel. Lorsqu’un certificat expire, la synchronisation échouera jusqu’à ce qu’un nouveau certificat soit généré et téléchargé vers MyQ.
Les modifications des autorisations d’accès peuvent prendre jusqu’à 24 heures pour prendre effet. Lorsque vous modifiez les autorisations d’accès des clients LDAP dans la console d’administration Google, les changements ne sont pas immédiats. Tenez compte de ce délai lors de la configuration initiale et des tests : si la synchronisation ne donne pas les résultats escomptés peu après une modification des autorisations, patientez et réessayez avant de procéder à un dépannage plus approfondi.
Le certificat client doit être au format PEM. MyQ exige que le certificat client soit au format PEM (encodé en Base64, avec des en-têtes BEGIN CERTIFICATE). Si le certificat téléchargé depuis Google Admin est au format binaire DER, convertissez-le avant de le télécharger sur MyQ, par exemple à l’aide d’OpenSSL : openssl x509 -inform der -in certificate.der -out certificate.pem
Ne protégez pas la clé privée par un mot de passe. MyQ ne peut pas utiliser une clé privée protégée par un mot de passe. Lors de la génération des identifiants dans Google Admin, ne protégez pas la clé privée.
Configurer le client LDAP dans Google Admin
Cette étape s’effectue entièrement dans la console d’administration Google. Elle permet de générer le certificat client, la clé privée et les identifiants LDAP dont MyQ a besoin pour se connecter.
-
Connectez-vous à la console d’administration Google avec un compte d’administrateur principal.
-
Accédez à Applications > LDAP, puis cliquez sur Ajouter un client.
-
Saisissez un nom pour le client (obligatoire) et une description facultative. Cliquez sur Continuer.
-
Sur la page du client LDAP, cliquez sur Autorisations d’accès et configurez les éléments suivants :
Vérifier les identifiants des utilisateurs : active l’authentification d’utilisateur via MyQ. Sélectionnez Tous les utilisateurs ou des unités organisationnelles spécifiques.
Lecture des informations utilisateur : permet à MyQ de lire les attributs des utilisateurs. Définissez cette option pour tous les utilisateurs ou pour des unités organisationnelles spécifiques, puis activez l’accès aux :
-
Attributs système
-
Attributs personnalisés publics
-
Attributs personnalisés privés
Lire les informations de groupe – permet à MyQ de lire l’appartenance aux groupes du répertoire. Réglez ce paramètre sur Activé.
-
-
Cliquez sur Ajouter un client LDAP et patientez pendant que le client est provisionné et qu’un certificat est généré. Cette opération peut prendre quelques minutes.
-
Téléchargez le pack de certificats généré. Le fichier ZIP contient :
-
Le certificat client (
.crtou.pem) -
La clé privée (fichier
.key)
Conservez ces fichiers en lieu sûr. Si le certificat est au format DER, convertissez-le au format PEM avant de poursuivre.
-
-
Cliquez sur Continuer vers les détails du client.
-
Cliquez sur Identifiants d’accès, puis sur Générer de nouveaux identifiants. Le nom d’utilisateur et le mot de passe générés ne s’affichent qu’une seule fois : conservez-les en lieu sûr avant de quitter cet écran.
-
Revenez à la page des détails du client LDAP et définissez l’état du service sur Activé pour tous les utilisateurs. Cliquez sur Enregistrer.
Google Workspace est désormais configuré avec MyQ en tant que client LDAP.
Configurer le serveur d’authentification dans MyQ
Accédez à MyQ > Paramètres > Serveurs d’authentification et ajoutez un nouveau serveur LDAP pour Google Workspace.
|
Paramètre |
Valeur |
|---|---|
|
Sécurité |
SSL |
|
Port |
636 |
|
Serveur |
|
|
Utilisateur |
Le nom d’utilisateur généré dans Google Admin (Étape 1) |
|
Mot de passe |
Le mot de passe généré dans Google Admin (étape 1) |
|
Certificat client |
Téléchargez le fichier |
|
Clé privée |
Téléversez le fichier |
Configurer la source de synchronisation
Accédez à MyQ > Paramètres > Synchronisation utilisateur, cliquez sur +Ajouter, puis sélectionnez Ajouter une source LDAP.
Les informations suivantes concernent spécifiquement Google Workspace.
DN de base
Le DN de base pour Google Workspace utilise les composants de votre domaine Google Workspace. Par exemple, pour le domaine example.com :
dc=example,dc=com
Mappage par défaut des attributs
Google Workspace expose un schéma LDAP standard. Les mappages suivants sont courants pour la plupart des annuaires Google Workspace, mais veuillez vérifier les noms d’attributs par rapport à votre annuaire réel à l’aide du navigateur LDAP dans l’onglet Général.
|
Propriété MyQ |
Attribut Google Workspace courant |
|---|---|
|
Nom d’utilisateur |
|
|
Nom complet |
|
|
Courriel |
|
|
Alias |
(aucun – à configurer explicitement si nécessaire) |
|
Numéro personnel |
(aucun – à configurer explicitement si nécessaire) |
Lancer et planifier la synchronisation
Pour lancer immédiatement la synchronisation utilisateur, accédez à MyQ > Paramètres > Synchronisation utilisateur, sélectionnez la source, puis cliquez sur Synchroniser maintenant. Si la configuration est correcte, les utilisateurs et groupes synchronisés apparaissent sous MyQ > Utilisateurs.
Pour effectuer une synchronisation automatique selon un calendrier défini, accédez à MyQ > Paramètres > Planificateur de tâches et configurez la tâche Synchronisation utilisateur.
Considérations de sécurité
LDAPS est obligatoire
Le service LDAP sécurisé de Google fonctionne uniquement via LDAPS ; le protocole LDAP en clair n’est pas pris en charge. Assurez-vous que le serveur MyQ peut accéder à ldap.google.com sur le port TCP 636 et qu’aucune règle de pare-feu ne bloque les connexions sortantes sur ce port.
Protégez les certificats clients et les identifiants
Le certificat client, la clé privée et les identifiants générés permettent d’accéder en lecture à votre annuaire Google. Conservez-les en toute sécurité et limitez leur accès au serveur MyQ et à ses administrateurs. Renouvelez les identifiants s’ils ont été compromis.
Appliquez le principe du privilège minimal via les autorisations d’accès
Dans Google Admin, limitez les autorisations d’accès du client LDAP aux seules unités organisationnelles que MyQ doit lire. Accorder l’accès à tous les utilisateurs alors que la synchronisation ne couvre qu’un sous-ensemble de l’organisation constitue une exposition inutile.