Impostazione della sincronizzazione LDAP

La configurazione si compone di tre parti: creazione della sincronizzazione nella scheda Generale, impostazione dell'importazione degli utenti nella scheda Utenti e impostazione dell'importazione dei gruppi nella scheda Gruppi. È possibile passare da una scheda all'altra sulla barra nell'angolo in alto a sinistra del pannello delle proprietà di sincronizzazione LDAP.

Scheda Generale

Nella scheda Generale, impostare le proprietà generali della sincronizzazione: abilitare o disabilitare la sincronizzazione, selezionare il dominio del server LDAP, inserire nome utente e password per l'accesso al server, eventualmente selezionare l'esportazione degli utenti importati in un file CSV. Vedere l'elenco sottostante per una descrizione delle singole impostazioni.

• Abilitato: qui è possibile abilitare o disabilitare la sincronizzazione.

• Server LDAP: Qui è possibile selezionare il dominio da cui si desidera eseguire la sincronizzazione.

• Utente: inserisci il nome utente per accedere al server del dominio LDAP.

• Password: Inserire la password per l'accesso al server del dominio LDAP.

• Abilitato: Se si abilita l'opzione Esporta in CSV dopo l'importazione riuscita, MyQ crea un file CSV con gli utenti importati dopo la sincronizzazione.

• File: Seleziona la cartella in cui desideri salvare il file creato.

Dopo aver impostato correttamente i parametri di connessione (server LDAP, utente e password) e salvato le impostazioni, il browser LDAP si apre sul lato destro dello schermo.

Nell'impostazione Utente, è possibile utilizzare per l'autenticazione anche un account utente di un sottodominio con diritti sufficienti, ma il sottodominio deve essere specificato nel nome utente.

Ad esempio, l'utente Administrator si connette al server LDAP testAD.local, ma il suo account si trova nel sottodominio cz.testAD.local. Per un'autenticazione corretta, il nome utente da inserire dovrebbe essere:
Administrator@cz.testAD.local

Scheda Utenti

Nella scheda Utenti, selezionare uno o più DN di base (nomi distintivi) da cui importare gli utenti. Inoltre, è possibile assegnare attributi utente dal server LDAP alle proprietà utente in MyQ e selezionare opzioni aggiuntive relative alla sincronizzazione.

• DN di base: qui è possibile selezionare il dominio o i domini di base da cui importare gli utenti. Fare clic su +Aggiungi per aggiungere una casella di testo per il nuovo DN di base, quindi trascinare un gruppo dal browser del database e rilasciarlo nella casella di testo. In questo modo è possibile aggiungere più domini.

  

• Proprietà: queste sono le proprietà di ogni singolo utente. MyQ individuerà e assegnerà automaticamente il nome dell'account SAM dell'utente al nome utente, cn al nome completo e mail all'indirizzo e-mail (questo vale solo per Active Directory e OpenLDAP). La proprietà del nome utente è l'unica che non può essere modificata. Per assegnare un attributo a una proprietà, scrivi il nome dell'attributo nella casella di testo della proprietà oppure trascinalo dagli attributi di qualsiasi singolo utente e rilascialo nella casella di testo. Le seguenti proprietà supportano l'aggiunta di più valori, separati da un punto e virgola (;):

  • Alias

  • PIN

  • Scheda

Ad esempio, nella proprietà Alias, è possibile aggiungere alias1;alias2;alias3.

Il nome dell'attributo AD non deve contenere il carattere punto e virgola (;). Se un punto e virgola fa parte del nome dell'attributo, tale attributo non verrà sincronizzato in MyQ.

Per assegnare le lingue predefinite agli utenti, è necessario utilizzare un attributo del server LDAP che abbia come valori le abbreviazioni delle lingue. Ad esempio, è possibile creare e utilizzare un attributo denominato lang con i valori en per l'inglese, hr per il croato, ecc. L'elenco delle abbreviazioni utilizzate in MyQ è disponibile qui.

• Opzioni: per una descrizione delle opzioni di sincronizzazione comuni, consultare Informazioni e impostazioni utente. Le opzioni di base comuni sia per la sincronizzazione dai server LDAP che per la sincronizzazione dai file CSV sono:

  • Disattiva utenti mancanti: se si seleziona questa opzione, MyQ elimina gli utenti importati dall'attuale fonte di sincronizzazione che non sono più presenti nella fonte. Per eliminare gli utenti aggiunti da fonti diverse, selezionare l'opzione Ignora fonte di sincronizzazione insieme a questa opzione.

  • Aggiungi nuovi utenti: se selezioni questa opzione, MyQ aggiunge nuovi utenti dalla fonte di sincronizzazione corrente. Se non la selezioni, MyQ aggiorna gli account degli utenti già presenti in MyQ, ma non aggiunge alcun nuovo utente.

  • Converti nome utente in minuscolo: a differenza di altri sistemi che non distinguono tra due parole con le stesse lettere ma maiuscole e minuscole diverse (come "Pear", "pear"), MyQ distingue tra maiuscole e minuscole. È possibile utilizzare l'opzione Converti nome utente in minuscolo per evitare la creazione di più account per un singolo utente.

  • Usa server di autenticazione: se selezioni questa opzione e un utente accede inserendo il proprio nome utente e password, le credenziali non vengono autenticate rispetto al database MyQ, ma invece rispetto a un server LDAP o Radius. Se sincronizzi gli utenti tramite LDAP, il server LDAP di origine viene automaticamente assegnato come
    server di autenticazione. Se sincronizzi gli utenti tramite CSV, puoi selezionare il server di autenticazione dall'elenco dei server di autenticazione predefiniti.

  • Abbinamento in base al numero personale: se si seleziona questa opzione, MyQ identifica gli utenti in base al loro numero personale anziché al nome utente. In questo modo è possibile tenere traccia di un singolo utente con nomi diversi in fonti diverse o di un utente il cui nome è cambiato per qualche motivo. Ad esempio, se questa opzione è attivata e un nome utente in LDAP cambia da cat.stevens a yusuf.islam, MyQ non crea un nuovo account utente, ma riconosce il vecchio utente tramite il suo numero personale.

  • Ignora fonte di sincronizzazione: se questa opzione non è selezionata, MyQ riconosce due utenti provenienti da fonti di sincronizzazione diverse come due entità distinte. Ciò può causare conflitti durante le sincronizzazioni da più fonti. Se selezionata, MyQ ignora le fonti di sincronizzazione e tratta tutti gli utenti allo stesso modo, indipendentemente dalla loro fonte di sincronizzazione. Ad esempio, se si esegue una sincronizzazione e MyQ dovesse importare/aggiornare un utente che è già stato aggiunto da una fonte di sincronizzazione diversa, non aggiorna l'utente. Mostrerà invece il messaggio Il nome/alias "X" è già utilizzato dall'utente "X" tra i risultati della sincronizzazione. Dopo aver selezionato l'opzione Ignora fonte di sincronizzazione, l'utente viene aggiornato dall'ultima sincronizzazione.
    Se si seleziona questa opzione insieme all'opzione Disattiva utenti mancanti, tutti gli utenti che sono stati aggiunti da fonti diverse e non sono presenti nella fonte di sincronizzazione corrente vengono eliminati durante la sincronizzazione.

  • Aggiungi il nome del dominio al nome utente (username@domain.local): Se questa opzione è selezionata, il nome del dominio può essere ricavato dal nome utente MyQ. Le informazioni sul dominio potrebbero essere necessarie, ad esempio, quando si esegue la scansione verso le cartelle home degli utenti su un Embedded Terminal.

• Filtro: è possibile filtrare l'importazione degli utenti specificando i valori degli attributi. Aggiungere le condizioni nel formato: Attributo=Valore. Gli utenti con un valore diverso per questo attributo non vengono accettati e vengono filtrati dall'importazione.
  Per gli attributi i cui valori sono stringhe, come l'attributo cn, è possibile utilizzare il simbolo * per cercare sottostringhe. Il simbolo può essere aggiunto da entrambi i lati. Ad esempio, se si aggiunge una condizione cn=*in*, vengono accettati solo gli utenti il cui attributo del nome comune contiene "in".
  Aggiungere una condizione per riga. Gli utenti vengono accettati se soddisfano almeno una condizione.

Scheda Gruppi

In questa scheda è possibile importare i gruppi e la struttura dei gruppi dalla sorgente LDAP. Esistono quattro modi diversi per specificare quali gruppi importare. È possibile utilizzare più metodi diversi insieme e, per ciascun metodo, è possibile creare diversi gruppi di utenti. È inoltre possibile scegliere di importare i gruppi sotto un gruppo esistente in MyQ.

• Non modificare il gruppo predefinito: un utente può essere membro di più gruppi, ma tutte le sue stampe, copie e scansioni vengono contabilizzate in un solo gruppo: il gruppo predefinito (di contabilità) dell'utente. Se si seleziona questa opzione, il gruppo predefinito dell'utente selezionato non cambia durante la sincronizzazione.

• Importa gruppi sotto questo gruppo: è possibile selezionare un gruppo esistente in MyQ sotto il quale importare i gruppi dal database LDAP.

• Gruppi memorizzati nell'attributo dell'utente:

  • Attributo: è possibile selezionare questa opzione se si desidera utilizzare un attributo che definisce i gruppi nel database LDAP. Per aggiungerlo, digitare il nome dell'attributo nella casella di testo delle proprietà oppure trascinare l'attributo da un utente qualsiasi e rilasciarlo nella casella di testo Attributo.

    

    È inoltre possibile creare gruppi combinando più attributi. Per creare tali gruppi, inserire ciascuno degli attributi tra due segni di percentuale (%). Ad esempio, la combinazione di attributi %attributo1%_%attributo2% importa un nuovo gruppo denominato valore1_valore2.

    

    Inoltre, è possibile creare strutture ad albero di gruppi separando gli attributi con barre verticali. Ad esempio, la combinazione di attributi %attributo1%|%attributo2% importa un gruppo value1 e il suo sottogruppo value2.

  • Imposta come predefinito: se si seleziona questa opzione, il gruppo diventa il gruppo predefinito dell'utente importato.

• Gruppo memorizzato nel DN dell'utente:

  • Indice componente OU: Qui è possibile selezionare un gruppo in base al suo indice OU (unità organizzativa) tra i componenti DN. L'indice viene contato da destra a sinistra: il primo gruppo OU da destra ha indice 1, il secondo da destra ha indice 2 e così via.

    

    Nell'immagine sopra, ci sono tre gruppi OU: MYQ_IMPORT_TEST ha l'indice 1 (poiché è il primo gruppo OU da destra), famous_people ha l'indice 2 e Painters ha l'indice 3. Gli altri componenti non sono OU e quindi non hanno alcun indice.

  • Imposta come predefinito: se selezioni questa opzione, il gruppo diventa il gruppo predefinito dell'utente importato.

• Gruppo ad albero memorizzato nel DN dell'utente: qui è possibile importare l'intera struttura ad albero dei gruppi. È possibile limitare l'importazione a qualsiasi parte della struttura eliminando i componenti del DN da sinistra e da destra. Nelle rispettive caselle di testo, inserire il numero di componenti da eliminare dal lato sinistro e
  da quello destro. È necessario eliminare almeno un componente da sinistra (il componente CN dell'utente) e un componente da destra (il componente DC più a destra).

  

  Nell'immagine sopra, ci sono sei componenti. Se si rimuove un componente da sinistra
  e uno da destra, si importa la seguente struttura di gruppi: testAD > MYQ_IMPORT_TEST > famous_people > Painters. Rimuovendo i componenti da sinistra, si eliminano i gruppi dal basso verso l'alto della struttura. Rimuovendo i componenti da destra, si eliminano i gruppi dall'alto verso il basso della struttura.

  • Imposta come predefinito: se si seleziona questa opzione, il gruppo in fondo alla struttura importata diventa il gruppo predefinito dell'utente importato.

• Gruppo memorizzato nell'attributo memberOf dell'utente:

  • DN di base del gruppo: MyQ può importare gruppi di sicurezza e di distribuzione memorizzati nell'attributo memberOf dell'utente. I gruppi di sicurezza vengono utilizzati per definire le autorizzazioni di accesso concesse ai loro membri. I gruppi di distribuzione possono essere utilizzati per inviare e-mail a un gruppo di utenti. Per specificare quali gruppi devono essere presi in considerazione durante l'importazione, è necessario inserire il DN di base dei gruppi. MyQ importa solo i gruppi inclusi nel DN di base; gli altri gruppi memorizzati nell'attributo memberOf vengono ignorati. Il DN di base del gruppo non deve necessariamente trovarsi nella stessa unità organizzativa del dominio di base degli utenti. Se un utente è membro di più di un gruppo sul server LDAP, tutti i gruppi sono memorizzati nell'attributo memberOf. Pertanto, l'opzione Imposta come predefinito, che richiede un singolo valore, non è disponibile per questo metodo di importazione.
    Per aggiungere il DN di base dei gruppi, trascinarlo dal browser del database e rilasciarlo nella casella di testo DN di base del gruppo.

  • Filtro: è possibile filtrare questa importazione specificando i valori degli attributi. Aggiungere le condizioni nel formato: Attributo=Valore. I gruppi con un valore diverso per questo attributo non vengono accettati e vengono filtrati fuori dall'importazione. È possibile utilizzare il simbolo * per cercare sottostringhe. Il simbolo può essere aggiunto da entrambi i lati. Ad esempio, se si aggiunge una condizione cn=*in*, vengono accettati solo gli utenti il cui attributo del nome comune contiene "in". È possibile aggiungere una condizione per riga. I gruppi vengono accettati se soddisfano almeno una condizione.

    

  • Importa gruppi vuoti: se si seleziona questa opzione, i gruppi dal DN di base del gruppo vengono importati anche se nessun utente li ha nel proprio attributo memberOf.

  • Importa albero dei gruppi: se si seleziona questa opzione, viene importata l'intera struttura ad albero. Altrimenti tutti i gruppi vengono aggiunti separatamente, non come parte di una struttura ad albero.