Comparaison des versions

Légende

  • Ces lignes ont été ajoutées. Ce mot a été ajouté.
  • Ces lignes ont été supprimées. Ce mot a été supprimé.
  • La mise en forme a été modifiée.
Commentaire: Published by Scroll Versions from space DA and version BM-3.5
Sv translation
languagefr

Présentation

La souscription professionnelle BlueMind permet d'accéder à des outils facilitant l'intégration de BlueMind dans le système d'informations.

Cette section décrit les fonctionnalités proposées par le module d'accès à un annuaire Active Directory.

Périmètre Active Directory

La console d'administration de BlueMind permet de créer et gérer des utilisateurs, groupes et autres entités directement dans BlueMind.

Cependant, dans un système d'informations, il existe souvent un annuaire centralisé, type LDAP ou Active Directory, sur lequel il est préférable de s'appuyer pour gérer de façon centralisée les utilisateurs et groupes. Dans ce cas, la gestion des utilisateurs peut être déléguée à un annuaire Active Directory et la création des comptes automatisée par synchronisation à intervalles réguliers.

La synchronisation Active Directory permet à Blue Mind :

  • d'importer, à intervalles réguliers, sa base utilisateurs et groupes de l'annuaire, de façon transparente
  • d'authentifier directement auprès de l'Active Directory les utilisateurs BlueMind.

Cet outil évite ainsi la gestion d'une base utilisateurs dans Blue Mind et les problèmes de multiplication de mots de passe. Le mot de passe est centralisé dans l'annuaire AD et n'est ni connu, ni importé par BlueMind.

Authentification sur l'Active Directory

Pour les utilisateurs importés depuis l'annuaire, l'authentification s'effectue auprès de cet annuaire, la base Blue Mind n'ayant pas les mots de passe de l'Active Directory.

Volet
borderWidth3

Sur cette page :

Sommaire
maxLevel2

En rapport :
Les tâches planifiées

Principe de fonctionnement

BlueMind permet d'importer et d'utiliser les utilisateurs et les groupes depuis un système Active Directory.

L'import Active Directory est réalisé pour chaque domaine côté BlueMind de manière incrémentale.

Les mots de passe des utilisateurs importés sont validés directement auprès de l'Active Directory. BlueMind ne stocke aucun mot de passe.

Un nouvel utilisateur peut se connecter à un serveur BlueMind même s'il n'a pas encore été importé. Son compte BlueMind sera créé automatiquement si le processus d'authentification réussit.

Le provisioning (création ou modification) d'un utilisateur ou d'un groupe depuis l'Active Directory vers BlueMind a donc lieu :

  • à de la configuration du serveur, lors de l'import initial
  • régulièrement au cours d'une journée, via les tâches planifiées
  • ou lorsqu'un utilisateur se connecte, automatiquement, à la volée.

Installation

Afin d'accéder aux fonctionnalités de synchronisation avec un annuaire AD, il est nécessaire d'installer le plugin ad-import.

Pour cela, se connecter sur le serveur et taper la commande suivante pour lancer l'installation du plugin :

Bloc de code
languagebash
titleDebian/Ubuntu
sudo aptitupde update
sudo aptitude install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import
Bloc de code
languagebash
titleRedHat/CentOS
yum update
yum install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import

Une fois l'installation terminée, redémarrer le composant bm-core à l'aide de la commande suivante :

Bloc de code
languagebash
bmctl restart

Configuration

  • Se connecter sur le serveur BlueMind cible en tant qu'administrateur global
  • Naviguer dans la console d'administration en sélectionnant Gestion du système > Domaines supervisés et choisir le domaine pour lequel la synchronisation AD est souhaitée
  • Sélectionner l'onglet Annuaires et se placer sur la section Synchronisation AD

  • Remplir les informations demandées avec les paramètres Active Directory suivant le tableau suivant
Paramètres demandéValeur Active Directory
Nom d'utilisateur AD

Login utilisé pour effectuer des requêtes sur le serveur Active Directory
Il est possible d'utiliser n'importe quel compte utilisateur ayant les droits de parcours de l'arborescence Active Directory en mode lecture seule.

Un mapping (remplacement de caractères) est réalisé lors de l'import pour des raisons de compatibilité :

  • remplacement des lettre accentuées par la lettre non accentuée correspondante
  • passage en minuscule
  • remplacement des espaces par des '_'
Mot de passe de l'utilisateur ADMot de passe associé au compte renseigné dans le champ AD user login
Nom ou IP du serveur AD

Adresse IP ou FQDN du serveur Active Directory. Ce champ peut être vide s'il est possible de déterminer la localisation du serveur en utilisant l'enregistrement DNS de type SRV

Pas de format
nopaneltrue
_ldap._tcp.dc._msdcs.domain

(cf. cet article Technet)

Racine de l'annuaire ADRacine pour la recherche Active Directory. Si vide, les recherches sont effectuées en utilisant le DN racine.
Utilisé pour limiter la recherche à une sous-partie de l'arborescence Active Directory 
Filtre des utilisateurs AD

Filtre pour la recherche des entrées utilisateurs dans l'AD.
La syntaxe des filtres LDAP peut être utilisée.
Par exemple pour afficher toutes les personnes ayant leur numéro de téléphone renseigné dans la base :

Bloc de code
(&(objectclass=person)(telephoneNumber=*))

cf. http://ldapbook.labs.libre-entreprise.org/book/html/ch03s02.html

Ou encore tous les comptes qui ont le accountStatus "MAIL" et qui ne sont pas dans la branche MAILSHARE de l'annuaire :

Bloc de code
(&(!(ou:dn:=MAILSHARE))(&(objectClass=posixAccount)(accountStatus=MAIL)))
Filtre des groupes AD

Filtre pour la recherche des entrées de type groupe dans l'AD.
La syntaxe des filtres LDAP peut être utilisée.
Par exemple, pour n'afficher que les groupes des branches dont le dn contient cn=system ou cn=users :


Bloc de code
(&(objectClass=group)(|(cn:dn:=System)(cn:dn:=Users)))

Ou encore les groupes ayant une description :

Bloc de code
(&(objectCategory=group)(description=*))

cf. https://social.technet.microsoft.com/wiki/contents/articles/5392.active-directory-ldap-syntax-filters.aspx#Examples

Groupe de segmentation du domaine

Ce champ peut être vide.

Ce champ sera ignoré si la fonctionnalité de segmentation de domaine n'est pas configurée pour BlueMind.

Les mails destinés aux utilisateurs membres de ce groupe sont redirigés vers un autre serveur de messagerie du même domaine (configuré via la segmentation de domaine).

Méthode de connexion

Le plugin BlueMind pour Active Directory n'impose aucune contrainte particulière ou aucun schéma particulier. Il suffit d'indiquer les informations suivantes :

  • le nom d'hôte (ou l'adresse IP) du serveur Active Directory
  • un couple "nom d'utilisateur" / "mot de passe" sur l'annuaire AD permettant d'opérer des connexions.

Par défaut, l'ensemble des utilisateurs et des groupes sont récupérés de l'Active Directory. Des filtres permettant d'interroger une partie de l'annuaire peuvent être configurés, en configurant les informations suivantes :

  • la racine de l'annuaire
  • les filtres à utiliser pour la synchronisation des utilisateurs et des groupes, permettant de restreindre les données importées.

Un dernier paramètre permet d'indiquer le groupe de segmentation du domaine.

L'outil permet de vérifier directement si l'annuaire est bien accessible et l'accès bien configuré.

Fonctionnement de l'outil de synchronisation

Comptes utilisateurs

Le plugin pour Active Directory fonctionne de 3 façons complémentaires :

  • import global de l'ensemble des utilisateurs : parcourt l'intégralité des utilisateurs et groupes de l'Active Directory (en tenant compte de la racine AD et des filtres) et les importe dans BlueMind. Ceux qui n'existent pas sont créés, ceux qui existaient déjà sont modifiés si nécessaire.
  • import incrémental : fonctionne de la même façon, mais uniquement en parcourant les utilisateurs créés ou modifiés depuis le dernier import.
  • import en temps réel à l'authentification : recherche l'utilisateur dans l'Active Directory lorsqu'il n'est pas connu dans BlueMind ; s'il le trouve, il l'importe et l'authentifie sur l'Active Directory pour lui donner accès immédiatement à BlueMind.

État d'un compte

Les comptes importés d'un Active Directory respectant le filtre LDAP configuré sont automatiquement activés.

A l''inverse, ils peuvent être suspendus ou supprimés dans l'Active Directory afin que l'accès à la messagerie leur soit interdit. Un utilisateur supprimé dans l'Active Directory est simplement suspendu dans BlueMind.

Synchronisation Active Directory planifiée

Import incrémental

A l'installation du plugin Active Directory, BlueMind crée une tâche planifiée dont le but sera de synchroniser à intervalles réguliers les bases utilisateurs et groupes auprès de l'Active Directory.

L'import incrémental ne traite que les données qui ont été créées, supprimées ou modifiées depuis le dernier import.

Comme indiqué la copie d'écran suivante, la tâche planifiée peut être :

  • automatique : activée selon des critères propres aux imports déjà réalisés, à une fréquence maximale de 4h ;
  • planifiée, selon un format de type cron, permettant ainsi n'importe quelle fréquence d'activation
  • désactivée : dans ce cas, la tâche planifiée n'est pas exécutée.
Bm_legend
bm_legendTâche planifiée de l'import Active Directory

Suivi des tâches planifiées

L'écran de suivi des tâches planifiées permet de vérifier la bonne exécution de celles-ci. La copie d'écran suivante montre ainsi les tâches de synchronisation réalisées, leur date d'exécution et le résultat de l'opération :

Mapping Active Directory - BlueMind

Attributs des utilisateurs

BlueMindAttribut Active DirectoryNote
loginsAMAccountName
title*personalTitleTitre de civilité : Monsieur, Madame, Mademoiselle...
firstnamegivenName

lastname

sn
jobtitle*titleTitre professionnel : chef de service, DSI, etc.
descriptiondescription
mail

mail

otherMailbox

proxyAddresses (samba4)

L'attribut Active Directory mail est défini comme adresse mail par défaut dans BlueMind.
Si ce champ est absent ou non renseigné, l'adresse BlueMind par défaut est définie par la première des valeurs trouvées dans les champs suivant (dans l'ordre) :

  1. la première valeur du champ otherMailbox
  2. la valeur du champ proxyAddresses :
    1. la première préfixée par "SMTP:"
    2. la première remontée parmi celles préfixées par "smtp:", si pas d'email préfixé par "SMTP:"
    NB : seules les adresses préfixées par "SMTP:" ou "smtp:" sont prises en compte (syntaxe définie par Microsoft)

 Si aucun de ces champs n'est renseigné alors l'utilisateur n'aura pas de messagerie dans BlueMind

streetstreetAddress
zippostalCode
townl
countryco
statest
Work phones

telephoneNumber

otherTelephone


Home phones

homePhone

otherHomePhone


Mobile phones

mobile

otherMobile


Fax

facsimileTelephoneNumber

otherFacsimileTelephoneNumber


Pager

pager

otherPager


memberOfmemberOfListe des groupes dont l'utilisateur est membre. L'utilisateur BlueMind n'est ajouté qu'aux groupes déjà importés
servicedepartmentA partir de BlueMind v3.0
photoIDthumbnailPhotoPhoto de l'utilisateur : le contenu de cet attribut est importé comme photo du compte correspondant
user.value.contactInfos.organizational.org.companycompany
user.value.contactInfos.organizational.org.departmentdepartment

Attributs des groupes

BlueMindAttribut Active DirectoryNote
namesAMAccountName
descriptiondescription
mailmail
membermemberSeuls les groupes et utilisateurs synchronisés sont ajoutés aux membres du groupe BlueMind

Attribution des droits

À partir de BlueMind 3.5, l'accès aux applications passe par la gestion des rôles qui sont attribués aux utilisateurs.

L'import AD ne gérant pas les rôles, les utilisateurs n'en ont donc aucun une fois qu'ils ont été importés et n'accèdent pas aux applications (webmail, contacts, calendrier).

La façon la plus simple et efficace de gérer cela est de passer par les groupes :

  • dans l'AD, attribuer un groupe commun aux utilisateurs (ou plusieurs, si souhaité)
  • lancer un 1er import : le(s) groupe(s) est importé dans BlueMind avec les utilisateurs
  • se rendre dans l'administration et affecter les rôles souhaités au groupe
Astuce

Lors des imports et mises à jour suivants, les rôles seront conservés.

Par la suite, pour les nouveaux utilisateurs, il suffira de les affecter à ce(s) groupe(s) afin de leur attribuer les rôles souhaités.

Forcer ou corriger un UID

L'UID d'un utilisateur peut être renseigné ou corrigé dans la fiche d'administration de l'utilisateur dans BlueMind.

Pour cela, se rendre dans la console d'administration > Annuaires > Entrées d'annuaire > choisir la fiche de l'utilisateur > onglet Maintenance : renseigner le champ ExtrenalID ExternalID avec l'UID de l'utilisateur dans l'AD puis enregistrer.

Remarque

L'ExternalID doit être préfixé par "ad://".

Par exemple :

Bloc de code
ad://5d6b50-399a6-1e6f2-d01267d1f-0fbecb
Sv translation
languageen

Introduction

The professional BlueMind subscription includes access to tools that facilitate the integration of BlueMind into your information system.

This article describes the functionalities of the Active Directory access module.

Active Directory scope

The admin console can be used to create and manage users, groups and other entities directly in BlueMind.

However, information systems often include a centralized directory – such as LDAP or Active Directory – which we recommend that you use to manage users and groups centrally. When you do, user management can be delegated to an Active Directory directory and automatic account creation enabled through periodic synchronization. 

Active Directory synchronization allows BlueMind to:

  • transparently import your directory's users and groups database periodically. 
  • authenticate BlueMind users directly against the Active Directory.

This tool avoids having to manage a user database in BlueMind and prevents issues with multiple passwords. Passwords are centralized in the AD directory and BlueMind does not know or import them.

Active Directory authentication

Users that are imported from the directory are authenticated against this directory as the BlueMind database does not know Active Directory passwords.

Volet
borderWidth3

On this page:

Sommaire
maxLevel2

Related:
Scheduled Jobs

How AD synchronization works

BlueMind allows you to import and use users and groups from an Active Directory system.

An Active Directory incremental import is carried out on each domain on the BlueMind side.

The passwords of imported users are validated directly against the Active Directory. BlueMind does not store any passwords.

New users can connect to a BlueMind server even if they haven't been imported yet. Their BlueMind account will be created upon request automatically if the authentication process is successful. 

User or group provisioning (creation or modification) from the Active Directory to BlueMind therefore takes place:

  • when the server is configured, during the initial import,  
  • periodically during the day, through scheduled jobs
  • or automatically when a user logs in.

Installation

Access to AD directory synchronization functionalities requires the ad-import plugin to be installed.

To start the plugin installation, log into the server and enter the command below:

Bloc de code
languagebash
titleDebian/Ubuntu
sudo aptitupde update
sudo aptitude install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import
Bloc de code
languagebash
titleRedHat/CentOS
yum update
yum install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import

When installation is complete, restart the bm-core component using the following command:

Bloc de code
languagebash
bmctl restart

Set up

  • Log into the target BlueMind server as global administrator.
  • Browse the admin console and select System Management > Modify Domain and select the domain you want to set up AD synchronization for. 
  • Select the Directories tab and go to the AD synchronization section

  • Fill in the information requested with the Active Directory parameters provided in the table below: 
Parameter RequestedActive Directory Value
AD user login

Login ID used to make queries to the Active Directory server.
Any user account with browsing rights in the Active Directory tree in read-only mode can be used.

Values are mapped on import for compatibility reasons:

  • accented letters are replaced by their non-accented equivalent
  • all letters are changed to lowercase
  • spaces are replaced by '_'
AD user passwordPassword for the account entered in the AD user login box
AD server hostname or IP

Active Directory server IP or FQDN address. This field can be left empty if the server can be located using a DNS SRV record.

Pas de format
nopaneltrue
_ldap._tcp.dc._msdcs.domain

(see the following Technet article)

AD root DNRoot for Active Directory search. If left empty, searches are made using the root DN.
Used to limit the search to a sub-section of the Active Directory tree. 
AD users filter

Filter for searching user entries in the AD.
LDAP filter syntax can be used.
For example, to display all persons whose telephone number is stored in the database:

Bloc de code
(&(objectclass=person)(telephoneNumber=*))

see http://ldapbook.labs.libre-entreprise.org/book/html/ch03s02.html

Or, to display all accounts whose accountStatus is "MAIL" and are not included in the MAILSHARE branch of the directory:

Bloc de code
(&(!(ou:dn:=MAILSHARE))(&(objectClass=posixAccount)(accountStatus=MAIL)))
AD groups filter

Filter for searching group entries in the AD.
LDAP syntax can be used.
For example, to display exclusively groups of branches whose DN contain cn=system or cn=users:


Bloc de code
(&(objectClass=group)(|(cn:dn:=System)(cn:dn:=Users)))

Or groups with a description:

Bloc de code
(&(objectCategory=group)(description=*))

see https://social.technet.microsoft.com/wiki/contents/articles/5392.active-directory-ldap-syntax-filters.aspx#Examples

Split domain group

This field can be left empty.

It will be ignored if the split domain functionality is not configured for BlueMind.

Emails addressed to members of this group will be redirected to another mail server in the same domain (configured via domain segmentation).

Connection method

The BlueMind Active Directory plugin is not restrictive and does not require a specific schema, just the following information:

  • the hostname (or IP address) of the Active Directory server
  • AD directory credentials ("username" and "password") to allow connections.

By default, all users and groups are imported from the Active Directory. Filters that are used to query part of the directory can be configured with the following information:

  • root directory
  • filters to use for user and group synchronization, to apply restrictions to imported data.

Finally, you can specify the split domain group.

The synchronization tool allows you to check directly if the directory is available and access has been configured correctly.

How the synchronization tool works

User accounts

The Active Directory plugin has three interdependent functions:

  • global import of all users
  • incremental import 
  • real-time import on authentication 

The global import browses through all Active Directory users and groups (taking into account the AD root and filters) and imports them into BlueMind. Those that do not exist are created, and existing ones are modified if necessary. 

The incremental import works the same way, but only browses through the users modified since the last import.

Finally, import on authentication looks for the user unknown to BlueMind in the Active Directory. If the user is found, it is imported and authenticated in the Active Directory, giving the user immediate access to BlueMind.

Account status 

Accounts imported from an Active Directory that complies with the LDAP filter are activated automatically.

Conversely, accounts can be suspended or deleted from the Active Directory thereby forbidding them access to the mail system. A user deleted in the Active Directory is merely suspended in BlueMind.

Scheduled Active Directory synchronization

Incremental import 

When the Active Directory plugin is installed, BlueMind creates a scheduled job whose purpose is to synchronize user and group databases against the Active Directory at regular intervals.

Incremental imports only processthe data that has been created, deleted or modified since the last import.

As shown in the screenshot below, a scheduled job can be:

  • automatic: activated based on criteria from earlier imports, at 4-hour intervals at the most;
  • scheduled: with a cron-type scheduling format, which allows any activation frequency;
  • disabled: in this case, the scheduled job is not executed.
Bm_legend
bm_legendImport Active Directory scheduled job

Scheduled jobs monitoring

The scheduled jobs monitoring page allows you check that they are performed correctly. The screenshot below shows a log of synchronization jobs performed, execution date and results:

Active Directory-BlueMind mapping

User attributes

BlueMindActive Directory AttributeNote
loginsAMAccountName
title*personalTitlePersonal title: Mr., Mrs., Ms., Miss
firstnamegivenName

lastname

sn
jobtitle*titleJob title: Manager, IT Director, etc.
descriptiondescription
mail

mail

otherMailbox

proxyAddresses

The mail Active Directory attribute is set as the default email address in BlueMind.

If this field is missing or empty, the default BlueMind email address is populated with the first value found in the following fields (in that order): 

  1. otherMailbox 
  2. proxyAddresses:
    1. the first with the "SMTP:" prefix
    2. the first with the "smtp:" prefix if no email has the "SMTP:" prefix
    NB: only addresses with the "SMTP:" or "smtp:" prefix are taken into account (Microsoft-defined syntax)

 If none of these fields is populated, the user will not have a mail service.

streetstreetAddress
zippostalCode
townl
countryco
statest
Work phones

telephoneNumber

otherTelephone


Home phones

homePhone

otherHomePhone


Mobile phones

mobile

otherMobile


Fax

facsimileTelephoneNumber

otherFacsimileTelephoneNumber


Pager

pager

otherPager


memberOfmemberOfList of groups the user is a member of. The BlueMind user is added to groups previously imported only.
servicedepartmentBlueMind v.3.0 and above.
photoIDthumbnailPhotoProfile picture: attribute content is imported as profile picture for related account
user.value.contactInfos.organizational.org.companycompany
user.value.contactInfos.organizational.org.departmentdepartment

Group attributes 

BlueMindActive Directory AttributesNote
namesAMAccountName
descriptiondescription
mailmail
membermemberOnly synchronized groups and users are added to members of the BlueMind group.

Role assignment

From BlueMind 3.5, access to applications is subject to the roles users are assigned. As AD imports do not handle roles, imported users are not assigned any roles and they are unable to access applications (webmail, contacts, calendar).

The easiest and most effective way of handling this is through groups:

  • in AD, assign one (or several, if desired) common group to users
  • launch a first import: the group(s) are imported into BlueMind along with the users
  • go to the admin section and assign the desired roles to the group(s)
Astuce

Roles will be maintained during subsequent imports and updates.

In the future, simply assign new users to this/these group(s) in order to give them the desired roles.

Forcing or correcting a UID

A user's UID can be populated or corrected in the user's admin page in BlueMind.

To do this, go to the admin console > Directories > Directory Browser > select user > Maintenance tab: enter the user's AD UID in the External ID ExternalID box then save.

Remarque

ExternalID must be prefixed by "ad://"

For example :

Bloc de code
ad://5d6b50-399a6-1e6f2-d01267d1f-0fbecb