Eine gelungene Integration von ONLYOFFICE LDAP oder Active Directory ist nicht mit dem erfolgreichen Speichern der Verbindung abgeschlossen. Das gewünschte Ergebnis ist spezifischer: Die vorgesehenen Benutzer werden importiert, ihre Namen und E-Mail-Adressen korrekt zugeordnet, die Gruppenzugehörigkeit entspricht dem erwarteten Zugriffsmodell, Domänenbenutzer können sich mit ihren Verzeichnisanmeldeinformationen anmelden, und spätere Verzeichnisänderungen werden ONLYOFFICE erreicht, ohne unerwartet andere Konten zu deaktivieren.
Diese Anleitung orientiert sich am aktuellen Workflow des ONLYOFFICE Workspace Servers. ONLYOFFICE DocSpace unterstützt zwar auch LDAP, die Navigation und einige verfügbare Felder unterscheiden sich jedoch. LDAP ist in DocSpace derzeit als Funktion des Business-Plans dokumentiert. Wenn Sie DocSpace anstelle von Workspace verwenden, nutzen Sie bitte die entsprechende LDAP-Dokumentation von ONLYOFFICE DocSpace, anstatt anzunehmen, dass alle Workspace-Bildschirme identisch sind.
Für Workspace Server dient der aktuelle ONLYOFFICE Workspace LDAP-Konfigurationsleitfaden als Referenz . Die folgenden Screenshots zeigen die dokumentierten Einstellungen in einer Konfigurationsansicht; die genaue Anordnung und Navigation kann je nach ONLYOFFICE-Version und -Produktversion variieren.
Definieren Sie zunächst das gewünschte Ergebnis. Angenommen, Active Directory enthält 420 Mitarbeiter, aber nur die 180 Benutzer der Gruppe OU=Staff,DC=example,DC=comONLYOFFICE sollen Zugriff erhalten. Diese ONLYOFFICE-AdminsGruppe soll außerdem administrative Zugriffsrechte erhalten, während die übrigen Mitarbeiter die Standard-Portalbenutzer bleiben.
Eine erfolgreiche Konfiguration sollte alle diese Prüfungen bestehen:
Wenn Sie die erwartete Anzahl an Benutzern und Gruppen sowie zwei oder drei Testidentitäten vor dem Import nicht angeben können, halten Sie inne und erfragen Sie diese Werte beim Verzeichnisadministrator. Dies erleichtert die Validierung erheblich, da der Erfolg nicht allein anhand einer grünen Statusmeldung beurteilt werden kann.
Öffnen Sie in ONLYOFFICE Workspace Server die Systemsteuerung, anschließend die LDAP-Seite unter Portaleinstellungen und aktivieren Sie die LDAP-Authentifizierung. Die dokumentierten Verbindungsoptionen sind reguläres LDAP, StartTLS oder SSL/LDAPS. StartTLS verwendet normalerweise Port 389, SSL/LDAPS hingegen Port 636.
Verwenden Sie verschlüsselte Übertragung, wann immer Ihre Verzeichnisrichtlinie dies unterstützt. Eine funktionierende LDAP-Verbindung im Klartext ist nicht produktionsreif, wenn Anmeldeinformationen oder Verzeichnisdaten über ein nicht vertrauenswürdiges Netzwerk übertragen werden.
Qualitätsprüfung: Klären Sie mit dem Verzeichnisadministrator, ob der Server StartTLS auf Port 389 oder LDAPS auf Port 636 erwartet und ob der ONLYOFFICE-Host der Zertifikatskette des Verzeichnisservers vertraut.
Die Kernfelder für den Benutzerimport legen fest, wer für ONLYOFFICE sichtbar ist und wie sich diese Benutzer anmelden. Für Active Directory dokumentiert ONLYOFFICE diese Standardeinstellungen:
(userPrincipalName=*)sAMAccountNameDer Benutzer-DN ist der Ausgangspunkt für die Verzeichnissuche. Ein allgemeiner DN durchsucht DC=example,DC=comeinen größeren Verzeichnisbaum; ein spezifischerer DN schränkt OU=Staff,DC=example,DC=comden Suchbereich ein, bevor der Filter angewendet wird.
(userPrincipalName=*)Filter mit sAMAccountNamedem Anmeldeattribut verwenden, es sei denn, Ihr Verzeichnisdesign erfordert etwas anderes.Ein häufiges Qualitätsproblem besteht darin, zunächst das gesamte Verzeichnis zu verwenden, da dies bequem ist, und anschließend mithilfe eines komplexen Filters Dienstkonten und Testidentitäten auszuschließen. Wenn Organisationseinheiten die Zielgruppe bereits unterteilen, sollte der engste stabile Benutzer-DN verwendet werden, der den Geschäftsbereich repräsentiert.
Qualitätsprüfung: Vergleichen Sie die erwartete Anzahl der Nutzer anhand des DN und des Filters mit den tatsächlich zu versorgenden Personen. Korrigieren Sie den Bereich vor dem Import, falls er nicht korrekt ist.
ONLYOFFICE ermöglicht es, Verzeichnisattribute in Portalfelder wie Vorname, Nachname, E-Mail, Titel, primäre Mobiltelefonnummer und Standort einzufügen. Die genauen Attributnamen hängen von Ihrem LDAP-Schema ab. In Active Directory sind gängige Beispiele givenName, sn, mail, titleund mobile.
E-Mails verdienen besondere Beachtung. ONLYOFFICE gibt an, dass die Portal-E-Mail-Adresse aus dem E-Mail-Attribut übernommen wird. Fehlt dieses Attribut, kann eine Adresse aus dem Anmeldeattribut und der LDAP-Domäne gebildet werden. Außerdem wird darauf hingewiesen, dass ein bestehender Portalbenutzer mit derselben E-Mail-Adresse mit dem LDAP-Benutzer synchronisiert werden kann.
Qualitätsprüfung: Prüfen Sie vor dem Import mindestens fünf repräsentative Verzeichniseinträge, darunter einen Administrator, einen normalen Mitarbeiter und einen Benutzer aus einer anderen Organisationseinheit. Stellen Sie sicher, dass die zugeordneten Attribute einheitlich ausgefüllt sind.
Aktivieren Sie die Gruppenmitgliedschaft nur dann, wenn ONLYOFFICE LDAP-Gruppen importieren und für die Portalorganisation oder Berechtigungen verwenden soll. Für Active Directory dokumentiert ONLYOFFICE Folgendes:
(objectClass=group)distinguishedNamemember
cndies ist ein gängiges Beispiel, aber keine universelle Anforderung.ONLYOFFICE dokumentiert ein wichtiges Verhalten: Wenn der Gruppenimport aktiviert ist, werden nur Benutzer hinzugefügt, die mindestens einer der ausgewählten Gruppen angehören. Dies kann für die Zugriffssteuerung nützlich sein, aber Administratoren überraschen, die erwarten, dass der Import allein über den Benutzer-DN gesteuert wird.
Qualitätsprüfung: Wählen Sie drei Benutzer aus: einen aus einer einbezogenen Gruppe, einen aus mehreren Gruppen und einen, der keiner der importierten Gruppen angehört. Berechnen Sie das Ergebnis vor der Synchronisierung und vergleichen Sie es anschließend mit dem tatsächlichen Ergebnis.
Workspace Server kann administrative Zugriffsrechte LDAP-Gruppen zuordnen. Dies ist praktisch für die zentrale Administration, bedeutet aber auch, dass Änderungen an Verzeichnisgruppen die Portalberechtigungen beeinflussen können.
Beginnen Sie mit der kleinsten administrativen Gruppe, die zu Ihrem Betriebsmodell passt. Überprüfen Sie sowohl die Mitgliedschaft als auch das Verhalten verschachtelter Gruppen in Ihrem eigenen Verzeichnis, bevor Sie sich für privilegierten Zugriff darauf verlassen.
Qualitätsprüfung: Stellen Sie sicher, dass der vorgesehene Administrator die erwarteten Rechte erhält und ein importierter Benutzer diese nicht besitzt. Falls die Berechtigungen umfangreicher als erwartet sind, stoppen Sie die Installation und korrigieren Sie die Verzeichnisgruppe oder -zuordnung, bevor Sie die Installation durchführen.
ONLYOFFICE Workspace bietet eine Authentifizierungsoption für Anmeldeinformationen mit Leseberechtigung für Verzeichnisdaten. Verwenden Sie ein dediziertes Verzeichniskonto mit den für den Suchbereich erforderlichen Mindestleseberechtigungen anstelle eines Domänenadministratorkontos.
Speichern und rotieren Sie diese Anmeldeinformationen gemäß den Richtlinien Ihrer Organisation für Dienstkonten. Wenn das Passwort ohne vorherige Ankündigung abläuft, kann die Synchronisierung fehlschlagen, selbst wenn sich die LDAP-Konfiguration nicht geändert hat.
Qualitätsprüfung: Überprüfen Sie, ob das Bind-Konto den konfigurierten Benutzer-DN und Gruppen-DN durchsuchen kann, aber keine unnötigen Verzeichnisschreib- oder Administratorrechte besitzt.
Beim Speichern der LDAP-Einstellungen zeigt ONLYOFFICE vor dem Import der Benutzer eine Bestätigung an. Behandeln Sie diese nicht als routinemäßige Bestätigung. Änderungen an Server, Benutzerfilter, Benutzer-DN, Gruppenfilter oder Gruppen-DN nach dem Import der Benutzer können erhebliche Auswirkungen haben: Die offizielle Workspace-Dokumentation warnt davor, dass bereits importierte Benutzer und deren Daten, die nicht mehr den neuen Einstellungen entsprechen, deaktiviert werden können.
Sichern Sie das Portal, bevor Sie einen bestehenden LDAP-Bereich ändern, wie ONLYOFFICE ausdrücklich empfiehlt. Bei der ersten Bereitstellung empfiehlt es sich, mit einer kleinen Testorganisationseinheit oder Testgruppe zu beginnen, das Ergebnis zu validieren und den Bereich anschließend zu erweitern.
Qualitätsprüfung: Vergleichen Sie nach dem Import die tatsächlichen Benutzer und Gruppen mit Ihrer erwarteten Liste. Prüfen Sie anhand von Stichprobenprofilen, anstatt nur die Gesamtzahl zu überprüfen.
ONLYOFFICE kann LDAP-Daten automatisch stündlich zu festgelegten Minuten, täglich zu einer festgelegten Uhrzeit, wöchentlich oder monatlich synchronisieren. Zusätzlich bietet es eine manuelle Synchronisierungsfunktion. Laut Dokumentation werden die Informationen eines einzelnen LDAP-Benutzers auch nach dessen Anmeldung synchronisiert.
Für die meisten Organisationen empfiehlt sich ein vorhersehbarer Zeitplan, der Administratoren Zeit gibt, Verzeichnisfehler zu erkennen, bevor sie sich wiederholt auswirken. Häufigere Synchronisierung ist nicht automatisch besser; wählen Sie das Intervall danach, wie schnell Identitätsänderungen ONLYOFFICE erreichen müssen und wie zuverlässig Ihre Verzeichnisprozesse gesteuert werden.
Qualitätsprüfung: Nehmen Sie eine sichere Teständerung im Verzeichnis vor, z. B. ändern Sie den Titel eines Testbenutzers, führen Sie eine manuelle Synchronisierung durch und überprüfen Sie die Aktualisierung. Testen Sie anschließend die geplante Synchronisierung separat.
ONLYOFFICE Workspace dokumentiert drei Anmeldeformulare für importierte LDAP-Benutzer:
LoginAttribute, Zum BeispielAndrew.StoneLoginAttribute@LDAPDomain, Zum BeispielAndrew.Stone@example.comLDAPDomain\LoginAttribute, Zum Beispielexample\Andrew.StoneTesten Sie sowohl mit einem Benutzer ohne Administratorrechte als auch mit einem Administrator. Eine erfolgreiche Verzeichnisbindung allein beweist nicht, dass sich der importierte Benutzer über das Portal mit dem vorgesehenen Anmeldeformular authentifizieren kann.
| Beobachtetes Ergebnis | Was es nahelegt | Nächster Schritt |
|---|---|---|
| Die Verbindung funktioniert, aber es erscheinen zu viele Benutzer. | Der Benutzer-DN oder der Benutzerfilter ist zu breit gefasst. | Den Suchumfang vor dem Produktionsimport einschränken. |
| Die Benutzeranzahl stimmt, aber Namen oder E-Mail-Adressen fehlen. | Die Attributzuordnung stimmt nicht mit Ihren Verzeichnisdaten überein. | Überprüfen Sie die tatsächlichen Verzeichniseinträge und korrigieren Sie die Zuordnungen. |
| Durch die Aktivierung der Gruppensynchronisierung werden erwartete Benutzer aus dem Import entfernt. | Diese Benutzer gehören keiner importierten Gruppe an. | Überprüfen Sie die Gruppen-DN, den Gruppenfilter und das Mitgliedschaftsdesign. |
| Benutzer importieren Daten, können sich aber nicht anmelden. | Anmeldeattribut, LDAP-Domäne, Bindung/Authentifizierung oder Verzeichnisrichtlinie könnten falsch sein. | Testen Sie die dokumentierten Anmeldeformate und validieren Sie das Verzeichniskonto und den TLS-Pfad. |
| Die manuelle Synchronisierung funktioniert, geplante Änderungen werden jedoch nicht angezeigt. | Überprüfung des Auto-Sync-Zeitplans oder der Auftragsausführung erforderlich. | Bestätigen Sie den Zeitplan, führen Sie eine manuelle Synchronisierung durch und vergleichen Sie die Zeitstempel mit einer kontrollierten Teständerung. |
| Eine Änderung des Geltungsbereichs würde bestehende LDAP-Benutzer ausschließen. | Die Änderung kann Konten außerhalb des neuen Geltungsbereichs deaktivieren. | Gehen Sie zunächst einen Schritt zurück und testen Sie das neue Ziel an einer kleinen, kontrollierten Gruppe. |
Die LDAP-Synchronisierung dient der Integration von Identitäten und Verzeichnissen und ersetzt keine sorgfältige Autorisierungsarchitektur. Sie kann Benutzer, Gruppen, Attribute und verzeichnisbasierte Authentifizierung importieren, die Qualität des Ergebnisses hängt jedoch stark von der Struktur und Integrität des Quellverzeichnisses ab.
Beachten Sie außerdem die Unterschiede zwischen den ONLYOFFICE-Produkten. Workspace Server stellt LDAP über sein Control Panel bereit und unterstützt die oben beschriebenen Einstellungen. DocSpace verfügt über eine eigene LDAP-Seite und dokumentierte Felder, darunter DocSpace-spezifische Zuordnungen wie Benutzertyp und anfängliches Benutzerkontingent. Diese Funktion ist bei ONLYOFFICE aktuell im kostenpflichtigen Business-Tarif enthalten. Gehen Sie nicht davon aus, dass ein Screenshot oder eine Option aus Workspace in DocSpace unverändert angezeigt wird.
Sobald diese Prüfungen erfolgreich abgeschlossen sind, leistet die Integration mehr als nur die „Verbindung zu LDAP herzustellen“. Sie erzeugt die von Ihnen gewünschten Benutzerdaten, Identitätsdaten, Gruppenstrukturen, Authentifizierungsmuster und Synchronisierungsergebnisse. Sollten Abweichungen auftreten, korrigieren Sie den Verzeichnisbereich oder die Zuordnung, bevor Sie die Synchronisierungsfrequenz erhöhen oder die Bereitstellung ausweiten.
Lernen Sie, wie Sie in Word ein Bild verschieben, den Textumbruch auswählen, es mit einem Absatz verbinden oder auf der Seite fixieren und Probleme mit Bildern beheben, die sich nicht verschieben lassen.
Erfahren Sie, wie Sie in Excel mit dem In-Cell-Tool ein Kontrollkästchen einfügen, markierte Elemente mit Formeln zählen oder in älteren Desktop-Versionen ein verknüpftes Formularsteuerelement hinzufügen.
Generieren Sie in Excel Buchstaben von A bis Z, Kleinbuchstaben oder Bezeichnungen jenseits von Z mit einer Ausfüllgriffformel, einer SEQUEENCE oder einer wiederverwendbaren benutzerdefinierten Liste.
Erfahren Sie, wie Sie in Excel unter Windows, Mac und im Web durchstreichen, einen Teil einer Zelle formatieren und die Linie entfernen, ohne ihren Wert zu löschen.
Microsoft Access ist eine Windows-Datenbankanwendung zum Speichern zusammengehöriger Datensätze, Erstellen von Abfragen, Dateneingabeformularen und Generieren von Berichten. Erfahren Sie, wie es funktioniert und wann es sich eignet.
Erfahren Sie, wie Sie eine PST-Datei in Outlook 2010 importieren oder E-Mails, Kontakte, Kalender und Aufgaben exportieren. Folgen Sie den richtigen Menüs, um fehlende Ordner oder Duplikate zu vermeiden.
Erfahren Sie, wie Sie in Word 2010 die Höhe und Breite der Rasterlinien anpassen, die sichtbare Linienfrequenz ändern und den zugrunde liegenden horizontalen und vertikalen Rasterabstand festlegen.
Stellen Sie ein vergessenes Outlook PST-Passwort mit den aktuellen Schritten von Kernel wieder her, einschließlich der Anleitung zur Identifizierung der richtigen Datei, zum Erstellen einer Sicherungskopie und zur Überprüfung der Grenzen des Tools.
Mit dem LiveWeb-Add-in können Sie eine Website auf einer PowerPoint-Folie platzieren, deren Größe und Aktualisierungsverhalten festlegen und die Kompatibilität vor der Präsentation überprüfen.
Fügen Sie länderspezifische Feiertage in der neuen Outlook-Version, Outlook im Web oder dem klassischen Outlook hinzu. Erfahren Sie, wie Sie doppelte Termine vermeiden und fehlende Daten für 2026/27 überprüfen.
