A good ONLYOFFICE LDAP or Active Directory integration is not finished when the connection saves successfully. The result you want is more specific: the intended users are imported, their names and email addresses map correctly, group membership produces the expected access model, domain users can sign in with their directory credentials, and later directory changes reach ONLYOFFICE without unexpectedly disabling unrelated accounts.
This guide uses the current ONLYOFFICE Workspace Server workflow as the main path. ONLYOFFICE DocSpace also supports LDAP, but its navigation and some available fields differ; LDAP in DocSpace is currently documented as a Business-plan feature. If you are using DocSpace rather than Workspace, use the corresponding ONLYOFFICE DocSpace LDAP documentation instead of assuming every Workspace screen is identical.
For Workspace Server, the source reference is the current ONLYOFFICE Workspace LDAP configuration guide. The screenshots below are configuration-oriented views of the documented settings; exact spacing and navigation can vary with the ONLYOFFICE release and product edition.
Define the expected result first. For example, suppose Active Directory contains 420 employees, but only the 180 users under OU=Staff,DC=example,DC=com should enter ONLYOFFICE. You also want the ONLYOFFICE-Admins group to receive administrative access, while ordinary employees remain standard portal users.
A successful configuration should satisfy all of these checks:
If you cannot state the expected user count, group count, and two or three test identities before the import, pause and obtain those values from the directory administrator. They make validation much easier than judging success from a green status message alone.
In ONLYOFFICE Workspace Server, open the Control Panel, then the LDAP page under Portal Settings, and enable LDAP authentication. The documented connection options are regular LDAP, StartTLS, or SSL/LDAPS. StartTLS normally uses port 389, while SSL/LDAPS uses port 636.
Use encrypted transport whenever your directory policy supports it. A working plaintext LDAP connection is not equivalent to a production-ready result if credentials or directory data traverse an untrusted network.
Quality check: confirm with the directory administrator whether the server expects StartTLS on 389 or LDAPS on 636, and whether the ONLYOFFICE host trusts the directory server’s certificate chain.
The core user-import fields determine both who is visible to ONLYOFFICE and how those users sign in. For Active Directory, ONLYOFFICE documents these defaults:
(userPrincipalName=*)sAMAccountNameThe User DN is the starting point for the directory search. A broad DN such as DC=example,DC=com searches a larger tree; a narrower DN such as OU=Staff,DC=example,DC=com limits the scope before the filter is applied.
(userPrincipalName=*) filter with sAMAccountName as the login attribute unless your directory design requires something different.A common quality problem is starting with the entire directory because it is convenient, then trying to exclude service accounts and test identities later with a complicated filter. If organizational units already separate the intended population, use the narrowest stable User DN that represents the business scope.
Quality check: compare the expected population from that DN and filter with the people you actually intend to provision. If the scope is wrong, correct it before importing.
ONLYOFFICE allows directory attributes to populate portal fields such as First Name, Second Name, Mail, Title, Primary Mobile Phone, and Location. The exact attribute names depend on your LDAP schema. In Active Directory, common examples include givenName, sn, mail, title, and mobile.
Email deserves special attention. ONLYOFFICE states that the portal email is taken from the Mail Attribute; if it is missing, an address can be formed from the Login Attribute and LDAP Domain. It also notes that an existing portal user with the same email can be synchronized with the LDAP user.
Controllo qualità: prima dell'importazione, esaminare almeno cinque record di directory rappresentativi, tra cui un amministratore, un dipendente normale e un utente di un'unità organizzativa diversa. Verificare che gli attributi mappati siano popolati in modo coerente.
Abilita l'appartenenza al gruppo solo quando ONLYOFFICE deve importare gruppi LDAP e utilizzarli per l'organizzazione del portale o per le autorizzazioni. Per Active Directory, ONLYOFFICE documenta:
(objectClass=group)distinguishedNamemember
cnquesto è un esempio comune, non un requisito universale.ONLYOFFICE ha documentato un comportamento importante: quando l'importazione di gruppo è abilitata, vengono aggiunti solo gli utenti che appartengono ad almeno uno dei gruppi selezionati. Questo può essere utile per la gestione degli accessi, ma può anche sorprendere gli amministratori che si aspettano che il DN utente sia l'unico parametro a controllare l'importazione.
Controllo qualità: scegli tre utenti: uno in un gruppo incluso, uno in più gruppi e uno al di fuori di tutti i gruppi importati. Prevedi il risultato prima della sincronizzazione, quindi confrontalo con il risultato effettivo.
Workspace Server può mappare l'accesso amministrativo ai gruppi LDAP. Ciò è comodo per l'amministrazione centralizzata, ma significa anche che le modifiche ai gruppi di directory possono alterare i privilegi del portale.
Iniziate con il gruppo amministrativo più piccolo che si adatti al vostro modello operativo. Verificate sia l'appartenenza al gruppo che il comportamento dei gruppi annidati nella vostra directory prima di utilizzarla per l'accesso privilegiato.
Controllo qualità: verificare che l'amministratore designato riceva i diritti previsti e che un normale utente importato non li riceva. Se i privilegi sono più ampi del previsto, interrompere l'installazione e correggere il gruppo di directory o la mappatura prima di implementarla.
ONLYOFFICE Workspace offre un'opzione di autenticazione per le credenziali che dispongono dei diritti di lettura dei dati della directory. Utilizzare un account di directory dedicato con le autorizzazioni di lettura minime richieste per l'ambito di ricerca, anziché un account di amministratore di dominio.
Archivia e ruota le credenziali in base alle policy degli account di servizio della tua organizzazione. Se la password scade silenziosamente, la sincronizzazione potrebbe non riuscire anche se la configurazione LDAP non è stata modificata.
Controllo qualità: verificare che l'account di bind possa cercare il DN utente e il DN di gruppo configurati, ma che non disponga di privilegi di scrittura nella directory o di privilegi amministrativi non necessari.
Quando si salvano le impostazioni LDAP, ONLYOFFICE visualizza una richiesta di conferma prima di importare gli utenti. Non si tratta di una semplice conferma di routine. La modifica di Server, Filtro utente, DN utente, Filtro gruppo o DN gruppo dopo l'importazione degli utenti può avere conseguenze significative: la documentazione ufficiale di Workspace avverte che gli utenti importati e i relativi dati che non corrispondono più alle nuove impostazioni potrebbero essere disabilitati.
Eseguire un backup del portale prima di modificare un ambito LDAP esistente, come esplicitamente raccomandato da ONLYOFFICE. Per una prima implementazione, si consiglia di iniziare con un'unità organizzativa o un gruppo di test ristretto, convalidare il risultato e quindi estendere l'ambito.
Controllo qualità: dopo l'importazione, confronta gli utenti e i gruppi effettivi con l'elenco previsto. Seleziona dei profili anziché verificare solo il numero totale.
ONLYOFFICE può sincronizzare automaticamente i dati LDAP ogni ora a minuti specificati, giornalmente a orari specificati, settimanalmente o mensilmente. Offre anche un'azione di sincronizzazione manuale. La documentazione specifica che le informazioni relative a un singolo utente LDAP vengono sincronizzate anche dopo l'accesso di tale utente.
Per la maggior parte delle organizzazioni, è consigliabile iniziare con una pianificazione prevedibile che dia agli amministratori il tempo di individuare gli errori di directory prima che si propaghino ripetutamente. Una sincronizzazione più frequente non è automaticamente migliore; la scelta dell'intervallo deve basarsi sulla rapidità con cui le modifiche di identità devono essere sincronizzate con ONLYOFFICE e sul livello di affidabilità con cui vengono controllati i processi di directory.
Controllo qualità: apporta una modifica di prova sicura nella directory, ad esempio modificando il titolo di un utente di prova, esegui una sincronizzazione manuale e verifica l'aggiornamento. Quindi testa separatamente la sincronizzazione pianificata.
ONLYOFFICE Workspace documenta tre moduli di accesso per gli utenti LDAP importati:
LoginAttribute, Per esempioAndrew.StoneLoginAttribute@LDAPDomain, Per esempioAndrew.Stone@example.comLDAPDomain\LoginAttribute, Per esempioexample\Andrew.StoneEseguire il test sia con un utente non amministratore che con un amministratore. Il solo collegamento alla directory con esito positivo non garantisce che l'utente importato possa autenticarsi tramite il portale utilizzando il modulo di accesso previsto.
| Risultato osservato | Ciò che suggerisce | Prossima azione |
|---|---|---|
| La connessione funziona ma risultano troppi utenti | Il DN utente o il filtro utente sono troppo generici | Restringi l'ambito della ricerca prima dell'importazione in produzione. |
| Il numero di utenti è corretto, ma i nomi e gli indirizzi email risultano vuoti. | La mappatura degli attributi non corrisponde ai dati della directory. | Esamina i record di directory effettivi e correggi le mappature. |
| L'attivazione della sincronizzazione di gruppo rimuove gli utenti previsti dall'importazione | Questi utenti non appartengono a un gruppo importato | Revisione del DN del gruppo, del filtro del gruppo e della progettazione dell'appartenenza. |
| Gli utenti importano ma non riescono ad accedere | L'attributo di login, il dominio LDAP, l'autenticazione/binding o i criteri della directory potrebbero essere errati. | Verifica i formati di accesso documentati e convalida l'account di directory e il percorso TLS. |
| La sincronizzazione manuale funziona, ma le modifiche programmate non vengono visualizzate. | È necessario verificare la pianificazione della sincronizzazione automatica o l'esecuzione del processo. | Conferma la pianificazione, esegui una sincronizzazione manuale e confronta i timestamp con una modifica di prova controllata. |
| Una modifica dell'ambito escluderebbe gli utenti LDAP esistenti | La modifica può disabilitare gli account al di fuori del nuovo ambito | Prima di procedere, fate un passo indietro e testate il nuovo strumento con una piccola popolazione controllata. |
La sincronizzazione LDAP è un'integrazione di identità e directory, non un sostituto di un'attenta progettazione dell'autorizzazione. Può importare utenti, gruppi, attributi e autenticazione basata su directory, ma la qualità del risultato dipende fortemente dalla struttura e dall'integrità della directory di origine.
È importante distinguere anche i prodotti ONLYOFFICE. Workspace Server espone LDAP tramite il suo Pannello di controllo e supporta le impostazioni descritte in precedenza. DocSpace ha una propria pagina LDAP e campi documentati, incluse mappature specifiche di DocSpace come il tipo di utente e la quota utente iniziale; questa funzionalità è attualmente indicata da ONLYOFFICE come disponibile nel piano Business a pagamento. Non dare per scontato che una schermata o un'opzione di Workspace vengano visualizzate invariate in DocSpace.
Una volta superati questi controlli, l'integrazione non si limita più a "connettersi a LDAP". Genera infatti la popolazione di utenti, i dati di identità, la struttura dei gruppi, il comportamento di autenticazione e il risultato di sincronizzazione desiderati. Se uno qualsiasi di questi risultati non corrisponde, correggere l'ambito della directory o la mappatura prima di aumentare la frequenza di sincronizzazione o estendere l'implementazione.
Risolvere i problemi di copia e incolla di Collabora Online con le app locali testando le scorciatoie da tastiera, le autorizzazioni degli appunti del browser, HTTPS, le policy iframe e i formati dei contenuti.
Risolvi il problema del testo sfocato negli editor desktop di ONLYOFFICE su Linux verificando, in un ordine sicuro, la scalatura dello schermo, la scalatura dell'interfaccia dell'applicazione, la disponibilità dei caratteri e l'ambito di rendering.
Scopri come bloccare la stampa e il download nelle integrazioni di ONLYOFFICE Workspace, DocSpace o Docs e verifica quali controlli si applicano a ciascun metodo di condivisione.
Risolvere gli errori 502 del server documenti ONLYOFFICE dietro Nginx. Verificare lo stato del servizio, i log, le porte upstream, le intestazioni inoltrate, i WebSocket e la rete Docker.
Risolvere i problemi di timeout dei documenti ONLYOFFICE su un server self-hosted verificando l'URL del portale o WebDAV corretto, l'accesso alla rete, HTTPS, le credenziali e il routing del server.
Imposta un modello personalizzato di LibreOffice Writer come predefinito, aggiornalo o reimpostalo e verifica che i nuovi documenti utilizzino gli stili e il layout di pagina che preferisci.
Risolvi i problemi di esportazione PDF di ONLYOFFICE separando i problemi di conversione, di download dal browser e del server, quindi verifica che il PDF salvato si apra e mantenga il suo layout.
Rimuovere ONLYOFFICE Document Server da Linux in modo sicuro. Seguire le istruzioni relative a pacchetti, Docker, Snap e Kubernetes, preservare i dati e verificare i servizi rimanenti.
Configure LDAP or Active Directory sync in ONLYOFFICE Workspace with secure connection settings, user and group filters, attribute mapping, admin rights, scheduled sync, and practical verification checks.
Posiziona ONLYOFFICE Document Server dietro HAProxy con terminazione TLS, intestazioni inoltrate, controlli di integrità, timeout sicuri per WebSocket e routing consapevole dei documenti per implementazioni multi-nodo.
