ONLYOFFICE에서 LDAP/Active Directory 동기화를 구성하는 방법

ONLYOFFICE의 LDAP 또는 Active Directory 통합은 연결이 성공적으로 저장되는 것으로 끝나는 것이 아닙니다. 원하는 결과는 더욱 구체적이어야 합니다. 즉, 의도한 사용자가 가져오기되고, 이름과 이메일 주소가 정확하게 매핑되며, 그룹 멤버십이 예상되는 액세스 모델을 생성하고, 도메인 사용자가 디렉터리 자격 증명으로 로그인할 수 있으며, 이후 디렉터리 변경 사항이 관련 없는 계정을 예기치 않게 비활성화하지 않고 ONLYOFFICE에 반영되어야 합니다.

이 가이드는 현재 ONLYOFFICE Workspace Server 워크플로를 기본으로 합니다. ONLYOFFICE DocSpace도 LDAP를 지원하지만 탐색 방식과 일부 사용 가능한 필드가 다릅니다. DocSpace의 LDAP 기능은 현재 비즈니스 플랜 기능으로 문서화되어 있습니다. Workspace 대신 DocSpace를 사용하는 경우 Workspace의 모든 화면이 동일하다고 가정하지 말고 해당 ONLYOFFICE DocSpace LDAP 문서를 참조하십시오.

Workspace Server의 경우, 참조 자료는 최신 ONLYOFFICE Workspace LDAP 구성 가이드 입니다 . 아래 스크린샷은 문서화된 설정에 대한 구성 중심적인 보기이며, 정확한 간격 및 탐색 방식은 ONLYOFFICE 릴리스 및 제품 에디션에 따라 다를 수 있습니다.

시작하기 전에 성공의 모습은 어떤 모습이어야 할까요?

먼저 원하는 결과를 정의하십시오. 예를 들어 Active Directory에 420명의 직원이 있지만, 그중 ONLYOFFICE 그룹에 속한 180명의 사용자만 포털에 접속해야 한다고 가정해 보겠습니다. 또한 해당 그룹에는 관리자 권한이 부여되고 일반 직원은 표준 포털 사용자 권한을 유지하도록 하려면 OU=Staff,DC=example,DC=com어떻게 해야 할까요 ?ONLYOFFICE-Admins

성공적인 구성은 다음 모든 검사를 충족해야 합니다.

• 가져오기 횟수는 구성된 사용자 DN 및 필터에서 예상되는 수치와 거의 같습니다.
• 사용자 프로필에는 정확한 이름, 성, 이메일 주소, 직함 및 기타 매핑된 값이 표시됩니다.
• ONLYOFFICE에서 가져온 LDAP 프로필은 디렉터리 관리형으로 표시됩니다.
• 테스트 사용자는 구성된 디렉터리 로그인 형식을 사용하여 인증할 수 있습니다.
• 그룹 멤버십이 관리자 한 명뿐만 아니라 여러 샘플 사용자에게 올바르게 적용되었습니다.
• 제어된 디렉터리 변경은 수동 또는 예약된 동기화 후에 나타납니다.
• 의도된 범위를 벗어난 사용자가 예기치 않게 비활성화되는 일은 없습니다.

가져오기 전에 예상 사용자 수, 그룹 수, 그리고 두세 개의 테스트 ID를 확인할 수 없다면, 가져오기를 일시 중지하고 디렉터리 관리자에게 해당 값을 요청하십시오. 이러한 값을 알면 단순히 녹색 상태 메시지만으로 성공 여부를 판단하는 것보다 유효성 검사가 훨씬 쉬워집니다.

1단계: LDAP 인증을 활성화하고 전송 보안을 선택합니다.

ONLYOFFICE Workspace Server에서 제어판을 열고 포털 설정의 LDAP 페이지로 이동하여 LDAP 인증을 활성화합니다. 사용 가능한 연결 옵션은 일반 LDAP, StartTLS 또는 SSL/LDAPS입니다. StartTLS는 일반적으로 389번 포트를 사용하고 SSL/LDAPS는 636번 포트를 사용합니다.

디렉터리 정책에서 지원하는 경우 암호화된 전송을 사용하십시오. 자격 증명이나 디렉터리 데이터가 신뢰할 수 없는 네트워크를 통해 전송되는 경우, 평문 LDAP 연결이 작동하더라도 실제 운영 환경에서 사용할 수 있는 안전한 연결이라고 할 수 없습니다.

품질 검사: 디렉터리 관리자에게 서버가 389번 포트에서 StartTLS를 기대하는지 또는 636번 포트에서 LDAPS를 기대하는지, 그리고 ONLYOFFICE 호스트가 디렉터리 서버의 인증서 체인을 신뢰하는지 확인하십시오.

2단계: 서버, 사용자 DN, 필터 및 로그인 속성을 설정합니다.

핵심 사용자 가져오기 필드는 ONLYOFFICE에 표시되는 사용자와 해당 사용자가 로그인하는 방식을 결정합니다. Active Directory의 경우 ONLYOFFICE는 다음과 같은 기본값을 문서화합니다.

• 사용자 필터: (userPrincipalName=*)
• 로그인 속성: sAMAccountName

사용자 DN은 디렉터리 검색의 시작점입니다. '사용자 이름(DN)'과 같이 광범위한 DN은 DC=example,DC=com더 큰 트리 구조를 검색하고, '사용자 이름(DN)'과 같이 좁은 DN은 OU=Staff,DC=example,DC=com필터를 적용하기 전에 검색 범위를 제한합니다.

흔히 발생하는 품질 문제는 편리하다는 이유로 전체 디렉터리부터 시작한 다음, 나중에 복잡한 필터를 사용하여 서비스 계정을 제외하고 ID를 테스트하는 데 있습니다. 조직 단위가 이미 목표 대상 그룹을 구분하고 있다면, 비즈니스 범위를 나타내는 가장 좁고 안정적인 사용자 DN을 사용하십시오.

품질 검사: 해당 DN에서 예상되는 사용자 수와 실제로 프로비저닝하려는 사용자를 비교하여 필터링합니다. 범위가 잘못된 경우 가져오기 전에 수정하십시오.

3단계: 사용자 속성을 신중하게 매핑합니다.

ONLYOFFICE는 이름, 성, 이메일 주소, 직함, 기본 휴대폰 번호, 위치 등의 포털 필드를 디렉터리 속성을 사용하여 채울 수 있도록 합니다. 정확한 속성 이름은 LDAP 스키마에 따라 다릅니다. Active Directory에서 일반적인 예로는 `<name>`, `<name>`, `<name> givenName` sn등 mail이 title있습니다 mobile.

이메일은 특별히 주의해야 할 사항입니다. ONLYOFFICE에 따르면 포털 이메일 주소는 Mail 속성에서 가져오며, Mail 속성이 없는 경우 Login 속성과 LDAP 도메인을 사용하여 주소를 생성할 수 있습니다. 또한 동일한 이메일 주소를 가진 기존 포털 사용자는 LDAP 사용자와 동기화할 수 있다고 명시되어 있습니다.

품질 검사: 가져오기 전에 관리자, 일반 직원, 다른 조직 단위의 사용자를 포함하여 최소 5개의 대표적인 디렉터리 레코드를 검사하십시오. 매핑된 속성이 일관되게 채워져 있는지 확인하십시오.

4단계: 그룹 동기화가 정말 필요한지 결정하세요

ONLYOFFICE에서 LDAP 그룹을 가져와 포털 구성 또는 권한에 사용해야 하는 경우에만 그룹 멤버십을 활성화하십시오. Active Directory의 경우 ONLYOFFICE 문서를 참조하십시오.

• 그룹 필터: (objectClass=group)
• 사용자 속성: distinguishedName
• 그룹 구성원 속성: member

ONLYOFFICE 문서에 따르면 중요한 동작이 하나 있습니다. 그룹 가져오기가 활성화된 경우, 선택한 그룹 중 하나 이상에 속한 사용자만 추가됩니다. 이는 액세스 범위 설정에 유용할 수 있지만, 사용자 DN만으로 가져오기를 제어할 수 있을 거라고 예상하는 관리자에게는 예상치 못한 결과가 될 수도 있습니다.

품질 검사: 포함된 그룹에 속한 사용자 한 명, 여러 그룹에 속한 사용자 한 명, 그리고 가져온 모든 그룹에 속하지 않은 사용자 한 명을 포함하여 총 세 명의 사용자를 선택합니다. 동기화하기 전에 결과를 예측한 다음 실제 결과와 비교합니다.

5단계: 관리 권한을 신중하게 할당합니다.

Workspace Server는 관리자 액세스 권한을 LDAP 그룹에 매핑할 수 있습니다. 이는 중앙 집중식 관리에 편리하지만, 디렉터리 그룹 변경으로 인해 포털 권한이 변경될 수 있다는 의미이기도 합니다.

운영 모델에 맞는 가장 작은 관리자 그룹부터 시작하십시오. 권한 있는 액세스에 사용하기 전에 디렉터리에서 구성원 자격과 중첩 그룹 동작을 모두 확인하십시오.

품질 검사: 의도한 관리자가 예상대로 권한을 부여받고, 가져온 일반 사용자는 권한을 부여받지 않는지 확인합니다. 권한이 예상보다 광범위한 경우, 설치를 배포하기 전에 디렉터리 그룹 또는 매핑을 중지하고 수정하십시오.

6단계: 읽기 계정 및 선택 사항인 환영 메시지를 구성합니다.

ONLYOFFICE Workspace는 디렉터리 데이터를 읽을 수 있는 권한이 있는 자격 증명에 대한 인증 옵션을 제공합니다. 도메인 관리자 계정 대신 검색 범위에 필요한 최소한의 읽기 권한만 있는 전용 디렉터리 계정을 사용하십시오.

조직의 서비스 계정 정책에 따라 해당 자격 증명을 저장하고 주기적으로 변경하십시오. 암호가 자동으로 만료되는 경우 LDAP 구성 자체가 변경되지 않았더라도 동기화가 실패할 수 있습니다.

품질 검사: 바인드 계정이 구성된 사용자 DN 및 그룹 DN을 검색할 수 있지만 불필요한 디렉터리 쓰기 또는 관리자 권한이 없는지 확인합니다.

7단계: 저장하고 가져오기 범위를 검토한 후 확인합니다.

ONLYOFFICE에서 LDAP 설정을 저장할 때 사용자 가져오기 전에 확인 메시지가 표시됩니다. 이 메시지를 단순히 클릭해서 진행해서는 안 됩니다. 사용자 가져오기가 완료된 후 서버, 사용자 필터, 사용자 DN, 그룹 필터 또는 그룹 DN을 변경하면 상당한 영향을 미칠 수 있습니다. 공식 Workspace 설명서에서는 기존에 가져온 사용자와 새 설정과 일치하지 않는 해당 데이터가 비활성화될 수 있다고 경고합니다.

ONLYOFFICE에서 명시적으로 권장하는 바와 같이, 기존 LDAP 범위를 변경하기 전에 포털을 백업하십시오. 처음 배포할 때는 소규모 테스트 조직 단위 또는 테스트 그룹으로 시작하여 결과를 검증한 후 범위를 확장하는 것을 고려하십시오.

품질 검사: 가져오기 후 실제 사용자 및 그룹을 예상 목록과 비교합니다. 전체 개수만 확인하는 것이 아니라 샘플 프로필도 확인해야 합니다.

8단계: 첫 번째 가져오기가 올바르게 완료된 후에만 자동 동기화를 활성화하십시오.

ONLYOFFICE는 LDAP 데이터를 지정된 시간에 매시간, 지정된 시간에 매일, 매주 또는 매월 자동으로 동기화할 수 있습니다. 또한 수동 동기화 기능도 제공합니다. 설명서에 따르면 개별 LDAP 사용자에 대한 정보는 해당 사용자가 로그인한 후에 동기화됩니다.

대부분의 조직에서는 관리자가 디렉터리 오류가 반복적으로 확산되기 전에 이를 발견할 시간을 확보할 수 있도록 예측 가능한 일정을 세우는 것부터 시작하는 것이 좋습니다. 동기화 빈도가 높다고 해서 반드시 더 좋은 것은 아닙니다. ID 변경 사항이 ONLYOFFICE에 얼마나 빨리 반영되어야 하는지, 그리고 디렉터리 프로세스를 얼마나 확실하게 관리할 수 있는지에 따라 동기화 간격을 선택하십시오.

품질 검사: 디렉터리에서 안전한 테스트 변경 사항(예: 테스트 사용자 직책 변경)을 하나 적용하고 수동 동기화를 실행하여 업데이트를 확인합니다. 그런 다음 예약된 동기화를 별도로 테스트합니다.

가져오기 후 LDAP 로그인을 확인하는 방법

ONLYOFFICE Workspace는 가져온 LDAP 사용자를 위한 세 가지 로그인 양식을 문서화합니다.

• LoginAttribute, 예를 들어Andrew.Stone
• LoginAttribute@LDAPDomain, 예를 들어Andrew.Stone@example.com
• LDAPDomain\LoginAttribute, 예를 들어example\Andrew.Stone

관리자 권한이 없는 사용자와 관리자 권한 사용자 모두를 사용하여 테스트하십시오. 디렉터리 바인딩이 성공했다고 해서 가져온 사용자가 의도한 로그인 양식을 사용하여 포털을 통해 인증할 수 있다는 것을 보장하는 것은 아닙니다.

접근 방식을 바꿔야 할 시점

염두에 두어야 할 제한 사항

LDAP 동기화는 ID와 디렉터리를 통합하는 기능일 뿐, 세심한 권한 부여 설계를 대체하는 것은 아닙니다. 사용자, 그룹, 속성 및 디렉터리 기반 인증을 가져올 수 있지만, 결과의 품질은 원본 디렉터리의 구조와 관리 상태에 크게 좌우됩니다.

ONLYOFFICE 제품 간의 차이점도 명확히 구분해야 합니다. Workspace Server는 제어판을 통해 LDAP에 접속할 수 있으며, 위에서 설명한 설정들을 지원합니다. DocSpace는 자체 LDAP 페이지와 문서화된 필드를 제공하며, 사용자 유형 및 초기 사용자 할당량과 같은 DocSpace 관련 매핑도 포함합니다. ONLYOFFICE는 현재 이 기능을 유료 비즈니스 플랜에서만 제공한다고 안내하고 있습니다. Workspace의 스크린샷이나 옵션이 DocSpace에서도 동일하게 나타날 것이라고 가정해서는 안 됩니다.

최종 승인 체크리스트

• 디렉터리 연결은 의도된 보안 전송 방식을 사용합니다.
• 사용자 DN 및 필터는 예상되는 사용자만 가져옵니다.
• 매핑된 프로필 필드에는 올바르고 사용 가능한 데이터가 포함되어 있습니다.
• 그룹 멤버십은 알려진 Active Directory 예제와 일치합니다.
• 관리자 권한은 지정된 그룹에만 부여됩니다.
• 일반 LDAP 사용자는 예상되는 로그인 양식을 사용하여 로그인할 수 있습니다.
• 수동 동기화는 제어된 디렉터리 변경 사항을 올바르게 적용합니다.
• 자동 동기화는 선택한 일정에 따라 해당 동작을 반복합니다.
• 기존 LDAP 범위를 변경하기 전에 백업이 존재합니다.

이러한 검사를 통과하면 통합은 단순히 "LDAP에 연결"하는 것 이상의 작업을 수행합니다. 의도한 사용자 정보, ID 데이터, 그룹 구조, 인증 동작 및 동기화 결과를 생성합니다. 이러한 결과 중 하나라도 일치하지 않으면 동기화 빈도를 높이거나 배포 범위를 확장하기 전에 디렉터리 범위 또는 매핑을 수정해야 합니다.