Uma boa integração do ONLYOFFICE com LDAP ou Active Directory não termina quando a conexão é salva com sucesso. O resultado desejado é mais específico: os usuários pretendidos são importados, seus nomes e endereços de e-mail são mapeados corretamente, a associação a grupos produz o modelo de acesso esperado, os usuários do domínio podem fazer login com suas credenciais de diretório e alterações posteriores no diretório são refletidas no ONLYOFFICE sem desativar inesperadamente contas não relacionadas.
Este guia utiliza o fluxo de trabalho atual do ONLYOFFICE Workspace Server como caminho principal. O ONLYOFFICE DocSpace também oferece suporte a LDAP, mas sua navegação e alguns campos disponíveis são diferentes; o LDAP no DocSpace está atualmente documentado como um recurso do plano Business. Se você estiver usando o DocSpace em vez do Workspace, consulte a documentação do LDAP do ONLYOFFICE DocSpace correspondente , em vez de presumir que todas as telas do Workspace são idênticas.
Para o Workspace Server, a referência principal é o guia de configuração LDAP do ONLYOFFICE Workspace atual . As capturas de tela abaixo mostram as configurações documentadas de forma orientada à configuração; o espaçamento e a navegação exatos podem variar de acordo com a versão e a edição do produto ONLYOFFICE.
Defina primeiro o resultado esperado. Por exemplo, suponha que o Active Directory contenha 420 funcionários, mas apenas os 180 usuários do grupo OU=Staff,DC=example,DC=comSOMENTEESCRITÓRIO devem acessar o portal. Você também deseja que o ONLYOFFICE-Adminsgrupo receba acesso administrativo, enquanto os funcionários comuns permaneçam usuários padrão do portal.
Uma configuração bem-sucedida deve satisfazer todas essas verificações:
Se você não puder informar a quantidade esperada de usuários, grupos e duas ou três identidades de teste antes da importação, faça uma pausa e obtenha esses valores com o administrador do diretório. Eles facilitam muito a validação, em vez de apenas avaliar o sucesso com base em uma mensagem de status verde.
No servidor ONLYOFFICE Workspace, abra o Painel de Controle, depois a página LDAP em Configurações do Portal e habilite a autenticação LDAP. As opções de conexão documentadas são LDAP padrão, StartTLS ou SSL/LDAPS. O StartTLS normalmente usa a porta 389, enquanto o SSL/LDAPS usa a porta 636.
Use transporte criptografado sempre que sua política de diretório o suportar. Uma conexão LDAP em texto simples funcionando não equivale a um resultado pronto para produção se as credenciais ou os dados do diretório trafegarem por uma rede não confiável.
Verificação de qualidade: confirme com o administrador do diretório se o servidor espera StartTLS na porta 389 ou LDAPS na porta 636 e se o host do ONLYOFFICE confia na cadeia de certificados do servidor de diretório.
Os campos principais de importação de usuários determinam quem é visível para o ONLYOFFICE e como esses usuários fazem login. Para o Active Directory, o ONLYOFFICE documenta os seguintes valores padrão:
(userPrincipalName=*)sAMAccountNameO DN do usuário é o ponto de partida para a busca no diretório. Um DN amplo, como `user`, DC=example,DC=combusca em uma árvore maior; um DN mais específico, como `user`, OU=Staff,DC=example,DC=comlimita o escopo antes da aplicação do filtro.
(userPrincipalName=*)Para o Active Directory, defina a base de pesquisa deliberadamente e use o filtro documentado com sAMAccountNameo atributo de login, a menos que o design do seu diretório exija algo diferente.Um problema comum de qualidade é começar com o diretório inteiro por conveniência e, posteriormente, tentar excluir contas de serviço e identidades de teste com um filtro complexo. Se as unidades organizacionais já separam a população-alvo, use o DN de usuário estável mais restrito que represente o escopo de negócios.
Verificação de qualidade: compare a população esperada para esse DN e filtre com as pessoas que você realmente pretende provisionar. Se o escopo estiver incorreto, corrija-o antes da importação.
O ONLYOFFICE permite que atributos de diretório preencham campos do portal, como Nome, Sobrenome, E-mail, Cargo, Celular Principal e Localização. Os nomes exatos dos atributos dependem do seu esquema LDAP. No Active Directory, exemplos comuns incluem givenName, sn, mail, title, e mobile.
O e-mail merece atenção especial. A ONLYOFFICE afirma que o e-mail do portal é obtido do atributo "Mail"; caso esteja ausente, um endereço pode ser formado a partir do atributo "Login" e do domínio LDAP. A empresa também observa que um usuário existente no portal com o mesmo e-mail pode ser sincronizado com o usuário LDAP.
Verificação de qualidade: antes da importação, inspecione pelo menos cinco registros de diretório representativos, incluindo um administrador, um funcionário comum e um usuário de uma unidade organizacional diferente. Verifique se os atributos mapeados estão preenchidos de forma consistente.
Habilite a associação a grupos somente quando o ONLYOFFICE precisar importar grupos LDAP e usá-los para organização ou permissões do portal. Para o Active Directory, consulte a documentação do ONLYOFFICE:
(objectClass=group)distinguishedNamemember
cneste é um exemplo comum, não um requisito universal.Existe um comportamento importante documentado pelo ONLYOFFICE: quando a importação de grupos está habilitada, somente os usuários que pertencem a pelo menos um grupo selecionado são adicionados. Isso pode ser útil para definir o escopo de acesso, mas também pode surpreender administradores que esperam que o DN do usuário, por si só, controle a importação.
Verificação de qualidade: selecione três usuários: um em um grupo incluído, um em vários grupos e um fora de todos os grupos importados. Preveja o resultado antes da sincronização e compare com o resultado real.
O Workspace Server pode mapear o acesso administrativo a grupos LDAP. Isso é conveniente para a administração centralizada, mas também significa que alterações nos grupos de diretório podem alterar os privilégios do portal.
Comece com o menor grupo administrativo que se adeque ao seu modelo operacional. Verifique a associação e o comportamento dos grupos aninhados em seu próprio diretório antes de utilizá-lo para acesso privilegiado.
Verificação de qualidade: confirme se o administrador pretendido recebe os direitos esperados e se um usuário comum importado não os recebe. Se os privilégios forem mais amplos do que o esperado, interrompa o processo e corrija o grupo de diretórios ou o mapeamento antes de implementar a configuração.
O ONLYOFFICE Workspace oferece uma opção de autenticação para credenciais com permissão de leitura de dados de diretório. Utilize uma conta de diretório dedicada com as permissões mínimas de leitura necessárias para o escopo da pesquisa, em vez de uma conta de administrador de domínio.
Armazene e alterne essa credencial de acordo com a política de contas de serviço da sua organização. Se a senha expirar sem aviso prévio, a sincronização poderá falhar mesmo que a configuração LDAP em si não tenha sido alterada.
Verificação de qualidade: verifique se a conta vinculada consegue pesquisar o DN do usuário e o DN do grupo configurados, mas se não possui privilégios administrativos ou de gravação de diretório desnecessários.
Ao salvar as configurações LDAP, o ONLYOFFICE exibe uma confirmação antes de importar os usuários. Não considere isso como uma simples ação de clicar para prosseguir. Alterar o Servidor, o Filtro de Usuário, o DN do Usuário, o Filtro de Grupo ou o DN do Grupo após a importação dos usuários pode ter um impacto significativo: a documentação oficial do Workspace alerta que os usuários importados existentes e seus dados que não corresponderem mais às novas configurações podem ser desativados.
Faça backup do portal antes de alterar um escopo LDAP estabelecido, conforme recomendado explicitamente pela ONLYOFFICE. Para uma primeira implementação, considere começar com uma unidade organizacional ou grupo de teste restrito, validando o resultado e, em seguida, expandindo o escopo.
Verificação de qualidade: após a importação, compare os usuários e grupos reais com a lista esperada. Analise perfis de amostra em vez de verificar apenas a contagem total.
O ONLYOFFICE pode sincronizar dados LDAP automaticamente a cada hora em minutos especificados, diariamente em um horário específico, semanalmente ou mensalmente. Ele também oferece uma ação de sincronização manual. A documentação observa que as informações de um usuário LDAP individual também são sincronizadas após o login desse usuário.
Para a maioria das organizações, comece com uma programação previsível que dê aos administradores tempo para perceber erros no diretório antes que se propaguem repetidamente. Uma sincronização mais frequente não é automaticamente melhor; escolha o intervalo com base na rapidez com que as alterações de identidade precisam chegar ao ONLYOFFICE e no nível de controle que você possui sobre seus processos de diretório.
Verificação de qualidade: faça uma alteração de teste segura no diretório, como alterar o título de um usuário de teste, execute uma sincronização manual e verifique a atualização. Em seguida, teste a sincronização agendada separadamente.
O ONLYOFFICE Workspace documenta três formulários de login para usuários LDAP importados:
LoginAttribute, por exemploAndrew.StoneLoginAttribute@LDAPDomain, por exemploAndrew.Stone@example.comLDAPDomain\LoginAttribute, por exemploexample\Andrew.StoneFaça o teste com um usuário sem privilégios administrativos, bem como com um administrador. Uma vinculação de diretório bem-sucedida por si só não comprova que o usuário importado pode se autenticar no portal usando o formulário de login pretendido.
| Resultado observado | O que isso sugere | Próxima ação |
|---|---|---|
| A conexão funciona, mas aparecem muitos usuários. | O DN do usuário ou o filtro de usuário é muito amplo. | Reduza o escopo da pesquisa antes da importação para produção. |
| A contagem de usuários está correta, mas os nomes e endereços de e-mail estão em branco. | O mapeamento de atributos não corresponde aos dados do seu diretório. | Inspecione os registros reais do diretório e corrija os mapeamentos. |
| Habilitar a sincronização de grupo remove os usuários esperados da importação. | Esses usuários não pertencem a um grupo importado. | Analise o DN do grupo, o filtro de grupo e o design de associação. |
| Usuários importam, mas não conseguem fazer login. | O atributo de login, o domínio LDAP, a vinculação/autenticação ou a política de diretório podem estar incorretos. | Teste os formatos de login documentados e valide a conta do diretório e o caminho TLS. |
| A sincronização manual funciona, mas as alterações agendadas não aparecem. | É necessário verificar o agendamento ou a execução da sincronização automática. | Confirme o agendamento, execute uma sincronização manual e compare os registros de data e hora, além de realizar um teste controlado de alteração. |
| Uma alteração de escopo excluiria os usuários LDAP existentes. | A alteração pode desativar contas fora do novo escopo. | Primeiro, faça um teste com o novo escopo usando uma pequena população controlada. |
A sincronização LDAP é uma integração de identidade e diretório, não um substituto para um projeto de autorização cuidadoso. Ela pode importar usuários, grupos, atributos e autenticação baseada em diretório, mas a qualidade do resultado depende muito da estrutura e da integridade do diretório de origem.
É importante diferenciar os produtos da ONLYOFFICE. O Workspace Server expõe o LDAP através do seu Painel de Controle e suporta as configurações descritas acima. O DocSpace possui sua própria página LDAP e campos documentados, incluindo mapeamentos específicos do DocSpace, como tipo de usuário e cota inicial de usuário; esse recurso está atualmente listado pela ONLYOFFICE como disponível no plano Business pago. Não presuma que uma captura de tela ou opção do Workspace aparecerá inalterada no DocSpace.
Após a aprovação nessas verificações, a integração estará fazendo mais do que "conectar-se ao LDAP". Ela estará gerando a população de usuários, os dados de identidade, a estrutura de grupos, o comportamento de autenticação e o resultado de sincronização desejados. Se algum desses resultados divergir, corrija o escopo ou o mapeamento do diretório antes de aumentar a frequência de sincronização ou expandir a implementação.
O Microsoft Access é um aplicativo de banco de dados para Windows que permite armazenar registros relacionados, criar consultas, elaborar formulários de entrada de dados e gerar relatórios. Saiba como ele funciona e quando é adequado para você.
Aprenda como ajustar a altura e a largura das linhas de grade no Word 2010, alterar a frequência das linhas visíveis e definir o espaçamento horizontal e vertical da grade de desenho subjacente.
Aprenda como importar um arquivo PST para o Outlook 2010 ou exportar emails, contatos, calendário e tarefas. Siga os menus corretos e evite pastas ausentes ou duplicadas.
Recupere uma senha esquecida de um arquivo PST do Outlook seguindo os passos atuais do Kernel, incluindo como identificar o arquivo correto, fazer um backup e verificar as limitações da ferramenta.
Use o suplemento LiveWeb para inserir um site em um slide do PowerPoint, definir seu tamanho e comportamento de atualização e verificar a compatibilidade antes da apresentação.
Aprenda como criar e organizar contatos no Outlook 2010, criar um grupo de contatos e selecionar pessoas salvas na Agenda de Endereços ao endereçar um e-mail.
Crie um campo de Hiperlink no Access 2010 no Modo de Exibição de Design e, em seguida, adicione e teste links para sites, e-mails ou arquivos compartilhados com os detalhes de destino corretos.
Use o Inspetor de Documentos do Word para revisar detalhes do autor, comentários, alterações controladas, texto oculto e outros dados antes de compartilhar, e descubra o que a verificação pode não detectar.
Mova guias personalizadas da Faixa de Opções e comandos da Barra de Ferramentas de Acesso Rápido no Office 2010 com um arquivo .exportedUI e proteja as configurações já existentes no seu computador de destino.
Crie papel quadriculado imprimível no Excel ajustando as dimensões das células, definindo uma área de impressão, escolhendo papel A4 e ativando a impressão de linhas de grade no Excel para desktop.
