Impostazione della sincronizzazione LDAP

La configurazione si compone di tre parti: creazione della sincronizzazione nella scheda Generale, impostazione dell’importazione degli utenti nella scheda Utenti e impostazione dell’importazione dei gruppi nella scheda Gruppi. È possibile passare da una scheda all’altra tramite la barra situata nell’angolo in alto a sinistra del pannello delle proprietà della sincronizzazione LDAP.

Scheda Generale

Nella scheda Generale, impostare le proprietà generali della sincronizzazione: abilitare o disabilitare la sincronizzazione, selezionare il dominio del server LDAP, inserire nome utente e password per l’accesso al server ed eventualmente selezionare l’esportazione degli utenti importati in un file CSV. Consultare l’elenco sottostante per una descrizione delle singole impostazioni.

• Abilitato: qui è possibile abilitare o disabilitare la sincronizzazione.

• Server LDAP: qui è possibile selezionare il dominio da cui si desidera effettuare la sincronizzazione.

• Utente: inserire il nome utente per l’accesso al server del dominio LDAP.

• Password: inserire la password per l’accesso al server del dominio LDAP.

• Abilitato: se si abilita l’opzione “Esporta in CSV dopo l’importazione riuscita”, MyQ crea un file CSV con gli utenti importati al termine della sincronizzazione.

• File: selezionare la cartella in cui si desidera salvare il file creato.

Dopo aver impostato correttamente i parametri di connessione (server LDAP, utente e password) e salvato le impostazioni, il browser LDAP si apre sul lato destro dello schermo.

Scheda Utenti

Nella scheda Utenti, selezionare uno o più DN di base (nomi distintivi) da cui importare gli utenti. Inoltre, è possibile assegnare gli attributi utente dal server LDAP alle proprietà utente in MyQ e selezionare opzioni aggiuntive relative alla sincronizzazione utente.

• DN di base: qui è possibile selezionare il dominio o i domini di base da cui importare gli utenti. Fare clic su +Aggiungi per aggiungere una casella di testo per il nuovo DN di base, quindi trascinare un gruppo dal browser del database e rilasciarlo nella casella di testo. È possibile aggiungere più domini in questo modo.

  

• Proprietà: si tratta delle proprietà di ogni singolo utente. MyQ individuerà e assegnerà automaticamente il nome dell’account SAM dell’utente al campo “Nome utente”, cn al campo “Nome completo” e mail al campo “E-mail” (questo vale solo per Active Directory e OpenLDAP). La proprietà "nome utente" è l’unica che non può essere modificata. Per assegnare un attributo a una proprietà, digitare il nome dell’attributo nella casella di testo della proprietà oppure trascinarlo dagli attributi di un singolo utente e rilasciarlo nella casella di testo.
  Le seguenti proprietà supportano l’aggiunta di più valori, separati da una virgola (,):

  • Alias

  • PIN

  • Scheda

  Ad esempio, nella proprietà Alias, è possibile aggiungere alias1,alias2,alias3. I nomi degli
  
  attributi che includono punti e virgola (ad esempio, email;x-private) sono supportati a partire dalla versione 10.2 patch 24. Nelle versioni precedenti, un punto e virgola nel nome di un attributo veniva interpretato come separatore di valori, causando il fallimento della sincronizzazione per tali attributi.

Per le proprietà «Scheda» e «PIN», l’amministratore può scegliere una delle seguenti opzioni:

1. Non sincronizzare: questa opzione salterà la sincronizzazione di questi valori.

2. Sincronizzazione completa: questa opzione sostituirà i valori esistenti con i nuovi valori provenienti da LDAP, indipendentemente dal fatto che il nuovo valore sia vuoto o meno.

3. Sincronizza se non vuoto: questa opzione sostituirà i valori esistenti solo se i nuovi valori provenienti da LDAP non sono vuoti. Non rimuoverà i valori esistenti se il valore corrispondente in LDAP è vuoto.

4. Aggiungi nuovo: questa opzione aggiornerà i valori esistenti aggiungendo i nuovi valori provenienti da LDAP, senza sostituire quelli esistenti.

Per assegnare le lingue predefinite agli utenti, è necessario utilizzare un attributo del server LDAP che abbia come valori le abbreviazioni delle lingue. Ad esempio, è possibile creare e utilizzare un attributo denominato lang con i valori en per l’inglese, hr per il croato, ecc.

• Opzioni: Le opzioni di base comuni sia alla sincronizzazione dai server LDAP che a quella dai file CSV sono:

  • Disattiva utenti mancanti: se si seleziona questa opzione, MyQ elimina gli utenti importati dall’attuale fonte di sincronizzazione che non sono più presenti nella fonte stessa. Per eliminare gli utenti aggiunti da fonti diverse, selezionare l’opzione Ignora fonte di sincronizzazione insieme a questa opzione.

  • Aggiungi nuovi utenti: se si seleziona questa opzione, MyQ aggiunge nuovi utenti dalla fonte di sincronizzazione corrente. Se non la si seleziona, MyQ aggiorna gli account degli utenti già presenti in MyQ, ma non aggiunge alcun nuovo utente.

  • Converti nome utente in minuscolo: a differenza di altri sistemi che non distinguono tra due parole con le stesse lettere ma maiuscole e minuscole diverse (come "Pear" e "pear"), MyQ distingue tra maiuscole e minuscole. È possibile utilizzare l'opzione "Converti nome utente in minuscolo" per evitare la creazione di più account per un unico utente.

  • Usa server di autenticazione: se si seleziona questa opzione e un utente effettua l’accesso inserendo nome utente e password, le credenziali non vengono autenticate rispetto al database di MyQ, ma rispetto a un server LDAP o Radius. Se si sincronizzano gli utenti tramite LDAP, il server LDAP di origine viene automaticamente assegnato come
    server di autenticazione. Se si sincronizzano gli utenti tramite CSV, è possibile selezionare il server di autenticazione dall’elenco dei server di autenticazione predefiniti.

  • Abbinamento in base al numero personale: se si seleziona questa opzione, MyQ identifica gli utenti in base al loro numero personale anziché al nome utente. In questo modo è possibile tenere traccia di un singolo utente con nomi diversi in fonti diverse o di un utente il cui nome è cambiato per qualche motivo. Ad esempio, se questa opzione è attivata e un nome utente in LDAP cambia da cat.stevens a yusuf.islam, MyQ non crea un nuovo account utente, ma riconosce il vecchio utente in base al suo numero personale.

  • Ignora la fonte di sincronizzazione: se questa opzione non è selezionata, MyQ riconosce due utenti provenienti da fonti di sincronizzazione diverse come due entità distinte. Ciò può causare conflitti durante le sincronizzazioni da più fonti. Se è selezionata, MyQ ignora le fonti di sincronizzazione e tratta tutti gli utenti allo stesso modo, indipendentemente dalla loro fonte di sincronizzazione. Ad esempio, se si esegue una sincronizzazione e MyQ dovesse importare/aggiornare un utente già aggiunto da una fonte di sincronizzazione diversa, non aggiorna l’utente. Mostrerà invece il messaggio “Il nome/alias ‘X’ è già utilizzato dall’utente ‘X’” tra i risultati della sincronizzazione. Dopo aver selezionato l’opzione Ignora fonte di sincronizzazione, l’utente viene aggiornato in base all’ultima sincronizzazione.
    Se si seleziona questa opzione insieme all’opzione Disattiva utenti mancanti, tutti gli utenti che sono stati aggiunti da fonti diverse e che non sono presenti nella fonte di sincronizzazione corrente vengono eliminati durante la sincronizzazione.

  • Aggiungi il nome del dominio al nome utente (username@domain.local): se questa opzione è selezionata, il nome del dominio può essere ricavato dal nome utente MyQ. Le informazioni relative al dominio potrebbero essere necessarie, ad esempio, quando su un Embedded Terminal viene utilizzata la scansione verso le cartelle home degli utenti.

• Filtro: è possibile filtrare l’importazione degli utenti specificando i valori degli attributi. Aggiungere le condizioni utilizzando la sintassi del filtro LDAP. Gli utenti con un valore diverso per questo attributo non vengono accettati e vengono esclusi dall’importazione. Ad esempio:

Per gli attributi i cui valori sono stringhe, come l'attributo cn, è possibile utilizzare il simbolo jolly * per cercare sottostringhe.

Gli attributi DN (come memberOf) non accettano la ricerca con il carattere jolly * e devono essere cercati per l’intera stringa.

Se il campo del filtro viene lasciato vuoto, viene applicato automaticamente il filtro predefinito corrente per il rispettivo tipo di origine LDAP.

• Trasformazione: questa funzione consente agli amministratori di definire espressioni regolari (RegEx) per trasformare i dati degli utenti durante il processo di sincronizzazione; i dettagli sono disponibili qui.

Scheda "Gruppi"

In questa scheda è possibile importare i gruppi e la struttura dei gruppi dalla sorgente LDAP. Esistono quattro modi diversi per specificare quali gruppi importare. È possibile utilizzare più metodi diversi contemporaneamente e, con ciascun metodo, creare gruppi diversi di utenti. È inoltre possibile scegliere di importare i gruppi all’interno di un gruppo esistente in MyQ.

• Non modificare il gruppo predefinito: un utente può essere membro di più gruppi, ma tutte le sue stampe, copie e scansioni vengono contabilizzate in un solo gruppo: il gruppo predefinito (di contabilità) dell’utente. Se si seleziona questa opzione, il gruppo predefinito dell’utente selezionato non cambia durante la sincronizzazione.

• Importa gruppi sotto questo gruppo: è possibile selezionare un gruppo esistente in MyQ sotto il quale importare i gruppi dal database LDAP.

• Gruppi memorizzati nell’attributo dell’utente:

  • Attributo: è possibile selezionare questa opzione se si desidera utilizzare un attributo che definisce i gruppi nel database LDAP. Per aggiungerlo, digitare il nome dell’attributo nella casella di testo “Proprietà” oppure trascinare l’attributo da un singolo utente e rilasciarlo nella casella di testo “Attributo”.

    

    È inoltre possibile creare gruppi combinando più attributi. Per creare tali gruppi, inserire ciascuno degli attributi tra due segni di percentuale (%). Ad esempio, la combinazione di attributi %attributo1%_%attributo2% importa un nuovo gruppo denominato valore1_valore2.

    

    Inoltre, è possibile creare strutture ad albero di gruppi separando gli attributi con barre verticali. Ad esempio, la combinazione di attributi %attributo1%|%attributo2% importa un gruppo denominato valore1 e il suo sottogruppo valore2.

  • Imposta come predefinito: se si seleziona questa opzione, il gruppo diventa il gruppo predefinito dell’utente importato.

• Gruppo memorizzato nel DN dell’utente:

  • Indice della componente OU: qui è possibile selezionare un gruppo in base al suo indice OU (unità organizzativa) tra le componenti del DN. L’indice viene contato da destra a sinistra: il primo gruppo OU da destra ha indice 1, il secondo da destra ha indice 2 e così via.

    

    Nell’immagine sopra riportata sono presenti due gruppi OU: test_users ha indice 1 (poiché è il primo gruppo OU da destra), tree1 ha indice 2. Gli altri componenti non sono OU e pertanto non hanno alcun indice.

  • Imposta come predefinito: se si seleziona questa opzione, il gruppo diventa il gruppo predefinito dell’utente importato.

• Albero dei gruppi memorizzato nel DN dell’utente: qui è possibile importare l’intera struttura ad albero dei gruppi. È possibile limitare l’importazione a qualsiasi parte della struttura eliminando i componenti del DN da sinistra e da destra. Nelle rispettive caselle di testo, inserire il numero di componenti da eliminare dal lato sinistro e
  da quello destro. È necessario eliminare almeno un componente da sinistra (il componente CN dell’utente) e un componente da destra (il componente DC più a destra).

  

  Nell’immagine sopra sono presenti sei componenti. Se si elimina un componente da sinistra e uno da destra, si importa la seguente struttura di gruppi: MYQTESTLAB > test_users > tree1 > tree3. Eliminando i componenti da sinistra, si rimuovono i gruppi dal basso verso l’alto della struttura. Eliminando i componenti da destra, si rimuovono i gruppi dall’alto verso il basso della struttura.

  • Imposta come predefinito: se si seleziona questa opzione, il gruppo più in basso della struttura importata diventa il gruppo predefinito dell’utente importato.

• Gruppo memorizzato nell’attributo memberOf dell’utente:

  • DN di base del gruppo: MyQ può importare gruppi di sicurezza e di distribuzione memorizzati nell’attributo memberOf dell’utente. I gruppi di sicurezza vengono utilizzati per definire i permessi di accesso concessi ai propri membri. I gruppi di distribuzione possono essere utilizzati per l’invio di e-mail a un gruppo di utenti. Per specificare quali gruppi debbano essere presi in considerazione durante l’importazione, è necessario inserire il DN di base dei gruppi. MyQ importa solo i gruppi inclusi nel DN di base; gli altri gruppi memorizzati nell’attributo memberOf vengono ignorati. Il DN di base dei gruppi non deve necessariamente trovarsi nella stessa unità organizzativa del dominio di base degli utenti. Se un utente è membro di più di un gruppo sul server LDAP, tutti i gruppi sono memorizzati nell’attributo memberOf. Pertanto, l’opzione Imposta come predefinito, che richiede un singolo valore, non è disponibile per questo metodo di importazione.
    Per aggiungere il DN di base dei gruppi, trascinarlo dal browser del database e rilasciarlo nella casella di testo DN di base dei gruppi.

  • Filtro: è possibile filtrare questa importazione specificando i valori degli attributi. Aggiungere le condizioni nel formato: Attributo=Valore. I gruppi con un valore diverso per questo attributo non vengono accettati e vengono esclusi dall’importazione. È possibile utilizzare il simbolo * per cercare sottostringhe. Il simbolo può essere aggiunto da entrambi i lati. Ad esempio, se si aggiunge una condizione cn=*in*, vengono accettati solo gli utenti il cui attributo del nome comune contiene "in". È possibile aggiungere una condizione per riga. I gruppi vengono accettati se soddisfano almeno una condizione.

    

    • Importa gruppi vuoti: se si seleziona questa opzione, i gruppi dal DN di base del gruppo vengono importati anche se nessun utente li possiede nel proprio attributo memberOf.

    • Importa albero dei gruppi: se si seleziona questa opzione, viene importata l’intera struttura ad albero. In caso contrario, tutti i gruppi vengono aggiunti separatamente, non come parte di una struttura ad albero.