MyQ X peut synchroniser les utilisateurs à partir de n’importe quel service d’annuaire compatible LDAP. Les sources prises en charge comprennent Active Directory, OpenLDAP, Novell, Google Workspace et Microsoft Entra ID Domain Services (via LDAPS). MyQ peut communiquer simultanément avec jusqu’à cinq serveurs LDAP.
Cet article décrit les paramètres communs à toutes les sources de synchronisation LDAP. Pour la préparation de l’annuaire et les exigences spécifiques à chaque source, consultez :
-
Synchronisation des utilisateurs à partir d’Active Directory
-
Synchronisation des utilisateurs à partir d’Entra Domain Services
OpenLDAP et Novell utilisent la configuration LDAP commune décrite ici. La synchronisation Lotus Domino n’est prise en charge que pour les déploiements hérités et doit être explicitement activée.
Pour la synchronisation avec Microsoft Entra ID via Microsoft Graph, consultez la section Synchronisation des utilisateurs à partir de Microsoft Entra ID.
Prérequis
-
Préparez la portée du répertoire, les mappages d’attributs, les groupes, le compte de répertoire et la connexion réseau.
-
Configurez le serveur LDAP sous MyQ > Paramètres > Serveurs d’authentification.
-
Vérifiez que MyQ peut se connecter au serveur LDAP.
-
Pour LDAPS, vérifiez que le certificat de l’annuaire est considéré comme fiable par le serveur MyQ.
Le protocole LDAPS est recommandé car il protège les identifiants et les données de l’annuaire lors de leur transfert. Il utilise généralement le port TCP 636. N’utilisez un autre mode de sécurité ou un autre port que si celui-ci est pris en charge par l’annuaire et autorisé par la politique de sécurité de votre organisation.
Pour obtenir des conseils de préparation, consultez Prepare for LDAP User Synchronization.
Créer une source de synchronisation LDAP
-
Accédez à MyQ > Paramètres > Synchronisation utilisateur.
-
Cliquez sur +Ajouter.
-
Sélectionnez Ajouter une source LDAP.
Le panneau des propriétés de synchronisation LDAP s’ouvre.
-
Configurez la synchronisation dans les onglets Général, Utilisateurs et Groupes.
-
Enregistrez les paramètres de chaque onglet après avoir effectué vos modifications.
Une fois enregistrée, la source apparaît dans la liste des sources de synchronisation.
Onglet Général
Utilisez l’onglet Général pour sélectionner le serveur LDAP et indiquer le compte utilisé par MyQ pour l’interroger.
|
Paramètre |
Description |
|---|---|
|
Activé |
Activez ou désactivez cette source de synchronisation. |
|
Serveur LDAP |
Sélectionnez le serveur LDAP ajouté en tant que serveur d’authentification. |
|
Utilisateur |
Nom d’utilisateur permettant d’accéder au serveur LDAP. |
|
Mot de passe |
Mot de passe du compte de service. |
|
Exporter au format CSV après une importation réussie |
Lorsque cette option est activée, MyQ génère un fichier CSV répertoriant les utilisateurs importés après chaque synchronisation. |
|
Fichier |
Chemin d’accès au fichier utilisant les paramètres |
Utilisez un format de nom d’utilisateur accepté par l’annuaire. Si le compte appartient à un sous-domaine, un nom d’utilisateur qualifié par le domaine peut être requis. Par exemple :
Administrator@cz.example.local
Une fois les paramètres de connexion valides enregistrés, le navigateur LDAP s’ouvre sur le côté droit du panneau. Utilisez-le pour parcourir l’annuaire et faire glisser des objets ou des attributs de l’annuaire vers les champs des onglets Utilisateurs et Groupes.
Onglet Utilisateurs
Utilisez l’onglet Utilisateurs pour définir quels utilisateurs sont importés, mapper les attributs du répertoire aux propriétés MyQ et contrôler la manière dont les utilisateurs MyQ existants sont mis à jour.
DN de base
Ajoutez un ou plusieurs DN de base à partir desquels MyQ doit rechercher les utilisateurs.
Pour ajouter un DN de base :
-
Cliquez sur +Ajouter.
-
Saisissez le nom distinctif ou faites glisser l’objet d’annuaire souhaité depuis le navigateur LDAP vers le champ.
Par exemple :
OU=Prague,DC=example,DC=com
Il est possible d’utiliser plusieurs DN de base pour importer des utilisateurs provenant d’unités organisationnelles ou de branches de répertoire distinctes.
Le DN de base correct dépend de la structure de l’annuaire et du serveur LDAP. Dans les configurations où les recherches doivent débuter à la racine de l’annuaire, le champ DN de base peut être laissé vide.
Propriétés
Mettez en correspondance les attributs LDAP avec les propriétés utilisateur de MyQ. Pour attribuer un attribut, saisissez son nom dans le champ de propriété ou faites-le glisser depuis le navigateur LDAP et déposez-le dans le champ. Lorsqu’un mappage par défaut existe, il est appliqué automatiquement – la propriété Nom d’utilisateur est la seule qui ne peut pas être modifiée.
|
Propriété MyQ |
Mappage par défaut |
Remarques |
|---|---|---|
|
Nom d’utilisateur |
|
Le mappage du nom d’utilisateur est déterminé par le type de source LDAP et ne peut pas être modifié. |
|
Nom complet |
|
|
|
Courriel |
|
|
|
Alias |
Aucun |
Accepte plusieurs valeurs séparées par des virgules. |
|
Numéro personnel |
Aucun |
Peut être utilisé pour associer une identité importée à un utilisateur MyQ existant. |
|
Badge |
Aucun |
Accepte plusieurs valeurs séparées par des virgules. Le comportement de synchronisation est configurable. |
|
Code PIN |
Aucun |
Accepte plusieurs valeurs séparées par des virgules. Le comportement de synchronisation est configurable. |
|
Langue |
Aucune |
Associez un attribut contenant les abréviations de langues prises en charge, telles que |
|
Stockage utilisateur |
Aucun |
Destination de stockage associée à l’utilisateur. |
|
Remarques |
Aucune |
|
Les propriétés Alias, Badge et Code PIN prennent en charge plusieurs valeurs séparées par des virgules. Par exemple :
alias1,alias2,alias3
Les noms d’attributs contenant des points-virgules, tels que email;x-private, sont pris en charge à partir de la version 10.2, correctif 24, de Print Server. Dans les versions antérieures, la présence d’un point-virgule dans un nom d’attribut peut empêcher la synchronisation de cet attribut.
L’utilisation de points-virgules pour séparer plusieurs valeurs est déconseillée à partir du correctif 24. Veuillez utiliser des virgules à la place.
Synchronisation des badges et des codes PIN
Pour les propriétés Badge et Code PIN, sélectionnez la manière dont la synchronisation affecte les valeurs déjà stockées dans MyQ.
|
Mode |
Comportement |
|---|---|
|
Ne pas synchroniser |
Ne modifie pas les valeurs existantes dans MyQ. |
|
Synchronisation complète |
Remplace les valeurs existantes par celles du répertoire. Les valeurs existantes sont supprimées si la valeur correspondante du répertoire est vide. |
|
Synchroniser si la valeur n’est pas vide |
Remplace les valeurs existantes uniquement lorsque le répertoire fournit une valeur. Les valeurs existantes sont conservées lorsque la valeur du répertoire est vide. |
|
Ajouter de nouvelles valeurs |
Ajoute de nouvelles valeurs du répertoire sans remplacer ni supprimer les valeurs existantes. |
Choisissez le mode en fonction de l’autorité du répertoire ou de MyQ pour les badges et les codes PIN.
Options
|
Option |
Description |
|---|---|
|
Désactiver les utilisateurs manquants |
Désactive les utilisateurs précédemment importés depuis cette source lorsqu’ils ne figurent plus dans les résultats de la synchronisation. |
|
Ajouter de nouveaux utilisateurs |
Importe de nouveaux utilisateurs du répertoire. Lorsque cette option est désactivée, la synchronisation met à jour les utilisateurs MyQ correspondants, mais ne crée pas de comptes. |
|
Convertir les noms d’utilisateur en minuscules |
Convertit les noms d’utilisateur importés en minuscules, ce qui évite la création de comptes MyQ distincts uniquement en raison de différences de casse. |
|
Utiliser le serveur d’authentification |
Désigne le serveur LDAP source comme serveur d’authentification pour les utilisateurs synchronisés. L’authentification par nom d’utilisateur et mot de passe s’effectue alors via LDAP plutôt que via la base de données MyQ. |
|
Associer par numéro personnel |
Utilise un numéro personnel synchronisé pour associer une identité d’annuaire à un compte MyQ existant. Cela permet de conserver le compte existant lorsque son nom d’utilisateur change. |
|
Ignorer la source de synchronisation |
Permet à cette source de prendre en compte et de mettre à jour les utilisateurs correspondants, quelle que soit la source qui les a initialement créés ou importés. |
|
Ajouter le nom de domaine au nom d’utilisateur |
Enregistre les noms d’utilisateur sous une forme qualifiée par le domaine, par exemple |
Associer par numéro personnel
Utilisez l’option Associer par numéro personnel lorsqu’un numéro personnel stable doit permettre d’identifier la même personne après un changement de nom d’utilisateur.
Par exemple, si le nom d’utilisateur du répertoire passe de cat.stevens à yusuf.islam, MyQ peut mettre à jour le compte existant au lieu d’en créer un autre, à condition que les deux identités possèdent le même numéro personnel unique.
Avant d’activer cette option, veuillez vous assurer que les numéros personnels sont :
-
Renseignés pour tous les utilisateurs concernés
-
uniques dans l’ensemble de la synchronisation
-
Stables tout au long du cycle de vie de l’utilisateur
-
ne soient jamais réattribués à une autre personne
Ignorer la source de synchronisation
Par défaut, une source de synchronisation met à jour les utilisateurs associés à cette source. Si une autre source possède déjà un nom d’utilisateur ou un alias correspondant, MyQ peut signaler un conflit au lieu de mettre à jour cet utilisateur.
Activez l’option Ignorer la source de synchronisation lorsque la synchronisation en cours doit mettre à jour les utilisateurs correspondants, quelle que soit leur source de synchronisation d’origine.
Cela peut s’avérer utile lors de migrations ou lorsque plusieurs sources gèrent intentionnellement le même ensemble d’utilisateurs. Toutefois, cela modifie l’étendue des utilisateurs sur lesquels la synchronisation peut avoir une incidence.
Utilisez l’option Ignorer la source de synchronisation avec Désactiver les utilisateurs manquants uniquement lorsque la source LDAP actuelle fait autorité pour tous les utilisateurs concernés. Lorsque ces deux options sont activées, les utilisateurs importés ou créés via d’autres sources peuvent être désactivés s’ils ne figurent pas dans les résultats LDAP actuels.
Filtre
Utilisez un filtre LDAP pour limiter les objets d’annuaire à importer. Si le champ est vide, MyQ applique le filtre par défaut pour le type de source LDAP sélectionné.
|
Exemple de filtre |
Correspond à |
|---|---|
|
|
Tous les objets. |
|
|
Tous les objets utilisateur, à l’exception d’ |
|
|
Tous les objets dont le nom de famille commence par |
|
|
Les objets Contact dont le nom de famille est |
Le caractère générique * peut être utilisé avec les attributs de type chaîne de caractères. Les attributs de nom distinctif, tels que memberOf, ne prennent pas en charge la correspondance partielle avec des caractères génériques et doivent être mis en correspondance en utilisant la valeur complète.
Par exemple :
(memberOf=CN=Print Users,OU=Groups,DC=example,DC=com)
Échapper les caractères spéciaux
Lorsqu’un caractère spécial fait partie de la valeur d’un attribut plutôt que de la syntaxe du filtre LDAP, échappez-le comme suit :
|
Caractère |
Forme échappée |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Transformation
Une transformation par expression régulière permet d’analyser ou de reformater les valeurs du répertoire avant que MyQ ne les stocke.
Utilisez les transformations lorsque, par exemple :
-
Plusieurs identifiants sont stockés dans un même attribut.
-
Un préfixe ou un suffixe doit être supprimé.
-
Une valeur source doit être divisée en propriétés MyQ distinctes.
-
Un identifiant doit être normalisé au format utilisé pour la détection des travaux ou l’authentification.
Onglet Groupes
Utilisez l’onglet Groupes pour importer des groupes d’annuaire et définir leur représentation dans MyQ.
L’onglet Groupes détermine la structure des groupes et leur composition. Il ne détermine pas quels utilisateurs sont importés ; la portée des utilisateurs est configurée dans l’onglet Utilisateurs.
Paramètres généraux des groupes
|
Paramètre |
Description |
|---|---|
|
Ne pas modifier le groupe par défaut |
Empêche la synchronisation de modifier le groupe de comptabilité par défaut existant d’un utilisateur. |
|
Importer les groupes sous ce groupe |
Place tous les groupes importés par cette source sous un groupe MyQ sélectionné. |
|
Niveau de synchronisation |
Détermine l’impact des modifications apportées à l’appartenance à un groupe d’annuaire sur les appartenances MyQ existantes. |
Un utilisateur peut appartenir à plusieurs groupes, mais un seul groupe peut être son groupe de comptabilité par défaut. Les activités d’impression, de copie et de numérisation sont comptabilisées dans ce groupe de comptabilité lorsque la comptabilité par groupe est utilisée.
Niveau de synchronisation des groupes
|
Niveau |
Comportement |
|---|---|
|
Synchronisation complète |
L’appartenance aux groupes dans MyQ suit celle du répertoire. Les utilisateurs sont ajoutés ou supprimés des groupes à mesure que leur appartenance au répertoire évolue. |
|
Synchroniser si le groupe n’est pas vide |
Synchronise les appartenances au répertoire tout en évitant que l’utilisateur ne se retrouve sans aucun groupe. |
|
Ajouter de nouveaux |
Ajoute de nouvelles appartenances au répertoire. Les appartenances supprimées du répertoire restent dans MyQ. |
Groupes stockés dans un attribut utilisateur
Utilisez cette méthode lorsqu’un attribut utilisateur contient le nom du groupe ou les valeurs à partir desquelles le nom du groupe doit être créé.
Saisissez le nom de l’attribut ou faites-le glisser depuis le navigateur LDAP.
Il est possible de combiner plusieurs attributs. Par exemple :
%attribute1%_%attribute2%
Si les attributs contiennent Prague et Sales, MyQ crée le groupe :
Prague_Sales
Utilisez des barres verticales pour créer une hiérarchie :
%attribute1%|%attribute2%
Cela donne :
Prague > Sales
Cochez la case Définir comme groupe par défaut pour que le groupe ainsi créé devienne le groupe de comptabilité par défaut de l’utilisateur.
Groupe stocké dans le DN de l’utilisateur
Utilisez cette méthode pour dériver un groupe à partir d’un composant d’unité organisationnelle présent dans le nom distinctif de l’utilisateur.
Par exemple :
CN=Anna Novak,OU=Sales,OU=Prague,DC=example,DC=com
Les composants d’unité organisationnelle sont comptés de droite à gauche :
|
Composant d’unité organisationnelle |
Index |
|---|---|
|
|
1 |
|
|
2 |
Pour importer Sales en tant que groupe, définissez l’index de la composante OU sur 2.
Activez l’option Définir par défaut pour que le groupe importé devienne le groupe de comptabilité par défaut de l’utilisateur.
Arborescence des groupes stockée dans le DN de l’utilisateur
Utilisez cette méthode pour reproduire une hiérarchie d’unités organisationnelles à partir du nom distinctif de l’utilisateur.
Par exemple :
CN=Anna Novak,OU=Sales,OU=Prague,DC=example,DC=com
Pour dériver la hiérarchie :
Prague > Sales
supprimez :
-
la composante utilisateur située à gauche :
CN=Anna Novak -
Les composants de domaine situés à droite :
DC=example,DC=com
Configurez les options Supprimer à gauche et Supprimer à droite en fonction du nombre de composants à exclure.
Au moins un composant doit être supprimé de chaque côté.
Activez l’option Définir par défaut pour que le groupe le plus bas de la hiérarchie importée devienne le groupe de comptabilité par défaut de l’utilisateur. Dans cet exemple, le groupe par défaut serait Sales.
Groupes stockés dans l’attribut memberOf
Utilisez cette méthode pour importer les groupes de sécurité ou de distribution référencés par l’attribut memberOf de l’utilisateur.
Spécifiez un DN de base des groupes pour limiter les groupes pris en compte. MyQ ignore les groupes situés en dehors de ce DN de base.
Le DN de base des groupes n’a pas besoin d’appartenir à la même unité organisationnelle que le DN de base des utilisateurs.
Étant donné que l’attribut memberOf peut contenir plusieurs groupes, l’option Définir par défaut n’est pas disponible pour cette méthode.
Configurez les options suivantes si nécessaire :
|
Option |
Description |
|---|---|
|
Filtre |
Limite les groupes importés à l’aide de conditions de type |
|
Importer des groupes vides |
Importe les groupes à partir du DN de base des groupes, même si aucun utilisateur synchronisé ne les référence via |
|
Importer l’arborescence des groupes |
Conserve la structure hiérarchique des groupes du répertoire. Lorsque cette option est désactivée, les groupes sont importés sous forme de groupes distincts et plats. |
Par exemple :
cn=*Print*
Cette option accepte les groupes dont le nom commun contient Print.
Exécutez et validez la synchronisation
Exécutez la source manuellement avant de la planifier.
-
Utilisez un DN de base restreint ou un filtre pour le test initial, dans la mesure du possible.
-
Laissez l’option Désactiver les utilisateurs manquants désactivée.
-
Exécutez la synchronisation.
-
Consultez son journal et les conflits signalés.
-
Vérifiez les utilisateurs, les propriétés, les groupes, les appartenances à des groupes et les groupes de comptabilité importés.
-
Testez la propriété des travaux et l’authentification d’utilisateur, le cas échéant.
-
N’élargissez la portée qu’une fois que les résultats sont corrects.
-
N’activez la désactivation des utilisateurs qu’après avoir vérifié quels comptes seront concernés.
-
Planifiez une synchronisation récurrente.