Dobra integracja LDAP lub Active Directory z ONLYOFFICE nie kończy się pomyślnym zapisaniem połączenia. Oczekiwany rezultat jest bardziej konkretny: zamierzeni użytkownicy zostają zaimportowani, ich nazwy i adresy e-mail są poprawnie mapowane, członkostwo w grupie zapewnia oczekiwany model dostępu, użytkownicy domeny mogą logować się przy użyciu swoich danych uwierzytelniających do katalogu, a późniejsze zmiany w katalogu docierają do ONLYOFFICE bez nieoczekiwanego wyłączania niepowiązanych kont.
W tym przewodniku ścieżka główna opiera się na aktualnym przepływie pracy serwera ONLYOFFICE Workspace. ONLYOFFICE DocSpace również obsługuje LDAP, ale nawigacja i niektóre dostępne pola różnią się od siebie; LDAP w DocSpace jest obecnie udokumentowany jako funkcja planu biznesowego. Jeśli korzystasz z DocSpace, a nie z Workspace, skorzystaj z odpowiedniej dokumentacji LDAP serwera ONLYOFFICE DocSpace, zamiast zakładać, że każdy ekran Workspace jest identyczny.
W przypadku Workspace Server źródłem jest aktualny podręcznik konfiguracji LDAP w systemie ONLYOFFICE Workspace . Poniższe zrzuty ekranu przedstawiają konfiguracyjne widoki udokumentowanych ustawień; dokładne odstępy i nawigacja mogą się różnić w zależności od wersji i edycji produktu ONLYOFFICE.
Najpierw zdefiniuj oczekiwany wynik. Załóżmy na przykład, że Active Directory zawiera 420 pracowników, ale tylko 180 użytkowników poniżej OU=Staff,DC=example,DC=compowinno wejść do ONLYOFFICE. Chcesz również, ONLYOFFICE-Adminsaby grupa otrzymała dostęp administracyjny, podczas gdy zwykli pracownicy pozostaną standardowymi użytkownikami portalu.
Pomyślna konfiguracja powinna spełniać wszystkie poniższe wymagania:
Jeśli nie możesz określić oczekiwanej liczby użytkowników, liczby grup oraz dwóch lub trzech tożsamości testowych przed importem, wstrzymaj się i uzyskaj te wartości od administratora katalogu. Znacznie ułatwiają one walidację niż ocenę sukcesu na podstawie samego zielonego komunikatu o stanie.
W systemie ONLYOFFICE Workspace Server otwórz Panel sterowania, a następnie stronę LDAP w Ustawieniach portalu i włącz uwierzytelnianie LDAP. Udokumentowane opcje połączenia to zwykły LDAP, StartTLS lub SSL/LDAPS. StartTLS zazwyczaj używa portu 389, natomiast SSL/LDAPS używa portu 636.
Używaj szyfrowanego transportu, jeśli Twoja polityka katalogowa to obsługuje. Działające połączenie LDAP w postaci zwykłego tekstu nie jest równoznaczne z rezultatem gotowym do produkcji, jeśli dane uwierzytelniające lub katalogowe przechodzą przez niezaufaną sieć.
Kontrola jakości: potwierdź u administratora katalogu, czy serwer oczekuje protokołu StartTLS na porcie 389 lub protokołu LDAPS na porcie 636, a także czy host ONLYOFFICE ufa łańcuchowi certyfikatów serwera katalogu.
Podstawowe pola importu użytkowników określają, kto jest widoczny dla ONLYOFFICE i jak ci użytkownicy się logują. W przypadku usługi Active Directory ONLYOFFICE dokumentuje następujące ustawienia domyślne:
(userPrincipalName=*)sAMAccountNameNazwa wyróżniająca użytkownika (DN) stanowi punkt wyjścia do przeszukiwania katalogu. Szeroka nazwa wyróżniająca, np. DC=example,DC=comprzeszukuje większe drzewo; węższa nazwa wyróżniająca, np. OU=Staff,DC=example,DC=comogranicza zakres przed zastosowaniem filtra.
(userPrincipalName=*)filtra sAMAccountNamejako atrybutu logowania, chyba że projekt katalogu wymaga czegoś innego.Częstym problemem jakościowym jest rozpoczęcie od całego katalogu, ponieważ jest to wygodne, a następnie próba wykluczenia kont usług i przetestowania tożsamości za pomocą skomplikowanego filtra. Jeśli jednostki organizacyjne już oddzielają docelową populację, należy użyć najwęższej stabilnej nazwy wyróżniającej użytkownika (User DN), która reprezentuje zakres biznesowy.
Kontrola jakości: porównaj oczekiwaną populację z tej nazwy wyróżniającej i przefiltruj ją, uwzględniając osoby, które faktycznie zamierzasz obsadzić. Jeśli zakres jest błędny, popraw go przed importem.
ONLYOFFICE umożliwia atrybutom katalogu wypełnianie pól portalu, takich jak imię, nazwisko, adres e-mail, tytuł, główny numer telefonu komórkowego i lokalizacja. Dokładne nazwy atrybutów zależą od schematu LDAP. W Active Directory typowe przykłady to givenName, sn, mail, titlei mobile.
Na szczególną uwagę zasługuje adres e-mail. ONLYOFFICE stwierdza, że adres e-mail portalu jest pobierany z atrybutu poczty (Mail Attribute); jeśli go brakuje, adres można utworzyć z atrybutu logowania (Login Attribute) i domeny LDAP. Zauważa również, że istniejącego użytkownika portalu z tym samym adresem e-mail można zsynchronizować z użytkownikiem LDAP.
Kontrola jakości: przed importem sprawdź co najmniej pięć reprezentatywnych rekordów katalogu, w tym administratora, zwykłego pracownika i użytkownika z innej jednostki organizacyjnej. Sprawdź, czy mapowane atrybuty są wypełniane spójnie.
Włącz opcję „Członkostwo w grupie” tylko wtedy, gdy ONLYOFFICE ma importować grupy LDAP i używać ich do organizacji portalu lub uprawnień. W przypadku Active Directory dokumenty ONLYOFFICE:
(objectClass=group)distinguishedNamemember
cnto typowy przykład, a nie uniwersalne wymaganie.ONLYOFFICE dokumentuje ważne zachowanie: po włączeniu importu grupowego dodawani są tylko użytkownicy należący do co najmniej jednej wybranej grupy. Może to być przydatne przy określaniu zakresu dostępu, ale może też zaskoczyć administratorów, którzy oczekują, że sam DN użytkownika będzie kontrolował import.
Kontrola jakości: wybierz trzech użytkowników: jednego z grupy uwzględnionej, jednego z wielu grup i jednego spoza wszystkich zaimportowanych grup. Przewiduj wynik przed synchronizacją, a następnie porównaj rzeczywisty wynik.
Serwer Workspace może mapować dostęp administracyjny do grup LDAP. Jest to wygodne w przypadku scentralizowanego administrowania, ale oznacza również, że zmiany w katalogach i grupach mogą wpływać na uprawnienia portalu.
Zacznij od najmniejszej grupy administracyjnej, która pasuje do Twojego modelu operacyjnego. Sprawdź członkostwo i zachowanie grup zagnieżdżonych we własnym katalogu, zanim zaczniesz na nim polegać w celu uzyskania dostępu uprzywilejowanego.
Kontrola jakości: upewnij się, że jeden z docelowych administratorów otrzyma oczekiwane uprawnienia, a zwykły zaimportowany użytkownik nie. Jeśli uprawnienia są szersze niż oczekiwano, zatrzymaj konfigurację i popraw grupę katalogów lub mapowanie przed jej wdrożeniem.
ONLYOFFICE Workspace oferuje opcję uwierzytelniania dla poświadczeń uprawniających do odczytu danych katalogowych. Użyj dedykowanego konta katalogowego z minimalnymi uprawnieniami do odczytu wymaganymi dla zakresu wyszukiwania, a nie konta administratora domeny.
Przechowuj i zmieniaj te dane uwierzytelniające zgodnie z polityką kont usług w swojej organizacji. Jeśli hasło wygaśnie bez powiadomienia, synchronizacja może się nie powieść, nawet jeśli sama konfiguracja LDAP nie uległa zmianie.
Kontrola jakości: sprawdź, czy konto powiązania może przeszukiwać skonfigurowane nazwy wyróżniające użytkownika i grupy, ale nie ma zbędnych uprawnień do zapisu w katalogu lub uprawnień administracyjnych.
Podczas zapisywania ustawień LDAP, ONLYOFFICE wyświetla potwierdzenie przed zaimportowaniem użytkowników. Nie należy tego traktować jako rutynowego klikania. Zmiana serwera, filtra użytkownika, nazwy wyróżniającej użytkownika, filtra grupy lub nazwy wyróżniającej grupy po zaimportowaniu użytkowników może mieć znaczący wpływ: oficjalna dokumentacja Workspace ostrzega, że istniejących zaimportowanych użytkowników i ich dane, które nie są już zgodne z nowymi ustawieniami, można wyłączyć.
Przed zmianą ustalonego zakresu LDAP należy wykonać kopię zapasową portalu, zgodnie z wyraźnym zaleceniem ONLYOFFICE. W przypadku pierwszego wdrożenia rozważ rozpoczęcie od wąskiej testowej jednostki organizacyjnej lub grupy testowej, sprawdzenie wyników, a następnie rozszerzenie zakresu.
Kontrola jakości: po imporcie porównaj rzeczywistych użytkowników i grupy z oczekiwaną listą. Zamiast sprawdzać tylko całkowitą liczbę, wykonuj profile próbne.
ONLYOFFICE może automatycznie synchronizować dane LDAP co godzinę o określonych minutach, codziennie o określonej godzinie, co tydzień lub co miesiąc. Oferuje również ręczną synchronizację. W dokumentacji zaznaczono, że informacje dotyczące indywidualnego użytkownika LDAP są synchronizowane również po zalogowaniu się tego użytkownika.
W większości organizacji warto zacząć od przewidywalnego harmonogramu, który da administratorom czas na zauważenie błędów w katalogu, zanim będą się one powtarzać. Częstsza synchronizacja nie jest automatycznie lepsza; wybierz interwał w oparciu o to, jak szybko zmiany tożsamości muszą dotrzeć do ONLYOFFICE i jak pewnie kontrolowane są procesy katalogowe.
Kontrola jakości: wprowadź jedną bezpieczną zmianę testową w katalogu, taką jak zmiana tytułu użytkownika testowego, uruchom ręczną synchronizację i zweryfikuj aktualizację. Następnie przetestuj osobno zaplanowaną synchronizację.
ONLYOFFICE Workspace dokumentuje trzy formularze logowania dla importowanych użytkowników LDAP:
LoginAttribute, Na przykładAndrew.StoneLoginAttribute@LDAPDomain, Na przykładAndrew.Stone@example.comLDAPDomain\LoginAttribute, Na przykładexample\Andrew.StonePrzeprowadź test zarówno z użytkownikiem bez uprawnień administratora, jak i z administratorem. Samo pomyślne powiązanie katalogu nie dowodzi, że zaimportowany użytkownik może uwierzytelnić się w portalu, używając zamierzonego formularza logowania.
| Zaobserwowany wynik | Co sugeruje | Następna akcja |
|---|---|---|
| Połączenie działa, ale pojawia się zbyt wielu użytkowników | Nazwa wyróżniająca użytkownika lub filtr użytkownika są zbyt szerokie | Przed importem produkcyjnym zawęż zakres wyszukiwania. |
| Liczba użytkowników jest prawidłowa, ale nazwy lub adresy e-mail są puste | Mapowanie atrybutów nie pasuje do danych w Twoim katalogu | Sprawdź prawdziwe rekordy katalogowe i popraw mapowania. |
| Włączenie synchronizacji grupowej powoduje usunięcie oczekiwanych użytkowników z importu | Ci użytkownicy nie należą do zaimportowanej grupy | Przejrzyj DN grupy, filtr grupy i projekt członkostwa. |
| Użytkownicy importują, ale nie mogą się zalogować | Atrybut logowania, domena LDAP, powiązanie/uwierzytelnianie lub polityka katalogowa mogą być nieprawidłowe | Przetestuj udokumentowane formaty logowania i zweryfikuj konto katalogu oraz ścieżkę TLS. |
| Synchronizacja ręczna działa, ale zaplanowane zmiany nie są widoczne | Należy sprawdzić harmonogram automatycznej synchronizacji lub wykonywanie zadań | Potwierdź harmonogram, uruchom ręczną synchronizację i porównaj znaczniki czasu oraz kontrolowaną zmianę testową. |
| Zmiana zakresu wykluczyłaby istniejących użytkowników LDAP | Zmiana może spowodować wyłączenie kont spoza nowego zakresu | Najpierw wykonaj kopię zapasową i przetestuj nowy zakres na małej, kontrolowanej populacji. |
Synchronizacja LDAP to integracja tożsamości i katalogu, a nie zamiennik starannego projektowania autoryzacji. Umożliwia ona importowanie użytkowników, grup, atrybutów i uwierzytelnianie oparte na katalogu, ale jakość rezultatu w dużej mierze zależy od struktury i higieny katalogu źródłowego.
Należy również wyróżnić produkty ONLYOFFICE. Workspace Server udostępnia LDAP za pośrednictwem Panelu sterowania i obsługuje ustawienia opisane powyżej. DocSpace ma własną stronę LDAP i udokumentowane pola, w tym mapowania specyficzne dla DocSpace, takie jak typ użytkownika i początkowy limit użytkowników; funkcja ta jest obecnie oferowana przez ONLYOFFICE jako dostępna w płatnym planie Business. Nie zakładaj, że zrzut ekranu lub opcja Workspace pozostaną niezmienione w DocSpace.
Po pomyślnym zakończeniu tych kontroli integracja robi więcej niż tylko „łączenie się z LDAP”. Tworzy ona populację użytkowników, dane tożsamości, strukturę grup, sposób uwierzytelniania i oczekiwany wynik synchronizacji. Jeśli którykolwiek z tych wyników jest rozbieżny, należy poprawić zakres katalogu lub mapowanie przed zwiększeniem częstotliwości synchronizacji lub rozszerzeniem wdrożenia.
Dowiedz się, jak przeciągać obraz w programie Word, wybierać opcje zawijania tekstu, zachowywać go w akapicie lub mocować na stronie oraz rozwiązywać problemy z obrazami, których nie można przenieść.
Dowiedz się, jak wstawić pole wyboru w programie Excel za pomocą narzędzia w komórce, zliczyć zaznaczone elementy za pomocą formuł lub dodać powiązany formant formularza w starszych wersjach programu na komputery stacjonarne.
Generuj litery od A do Z, małe litery lub etykiety powyżej Z w programie Excel za pomocą formuły z uchwytem wypełniania, SEKWENCJI lub wielokrotnego użytku listy niestandardowej.
Dowiedz się, jak przekreślać wiersze w programie Excel w systemie Windows, na komputerze Mac i w przeglądarce, formatować część komórki i usuwać wiersze bez usuwania ich wartości.
Microsoft Access to aplikacja bazy danych systemu Windows do przechowywania powiązanych rekordów, tworzenia zapytań, tworzenia formularzy wprowadzania danych i generowania raportów. Dowiedz się, jak działa i kiedy się sprawdza.
Dowiedz się, jak zaimportować plik PST do programu Outlook 2010 lub wyeksportować pocztę, kontakty, kalendarz i zadania. Postępuj zgodnie z odpowiednimi menu i unikaj pominiętych folderów lub duplikatów.
Dowiedz się, jak dostosować wysokość i szerokość linii siatki w programie Word 2010, zmienić widoczną częstotliwość linii oraz ustawić odstępy między liniami siatki w pionie i w poziomie.
Za pomocą dodatku LiveWeb możesz umieścić witrynę internetową na slajdzie programu PowerPoint, ustawić jej rozmiar i sposób odświeżania oraz sprawdzić zgodność przed prezentacją.
Odzyskaj zapomniane hasło PST programu Outlook, korzystając z bieżących instrukcji Kernela, obejmujących m.in. identyfikację właściwego pliku, wykonanie kopii zapasowej i sprawdzenie ograniczeń narzędzia.
Dodaj święta krajowe w nowym Outlooku, Outlooku w przeglądarce lub klasycznej wersji Outlooka. Dowiedz się, jak unikać duplikatów wydarzeń i sprawdzać, czy nie brakuje dat z lat 2026–2027.
