Comparaison des versions

Ancienne version 7

changes.mady.by.user Sabine Prouvost

Sauvegardée le

comparé à

Nouvelle version Actuel

changes.mady.by.user Marie Piochon

Sauvegardée le

Légende

  • Ces lignes ont été ajoutées. Ce mot a été ajouté.
  • Ces lignes ont été supprimées. Ce mot a été supprimé.
  • La mise en forme a été modifiée.
Commentaire: Published by Scroll Versions from space DA and version BM-3.5
Sv translation
languagefr

Présentation

BlueMind permet d'importer les utilisateurs et groupes depuis un annuaire LDAP (par exemple OpenLDAP). L'import LDAP est incrémental (les nouvelles entrées sont ajoutées, les données modifiées sont prises en comptecompte). L'import LDAP se configure et s'exécute par domaine.

Les mots de passe des utilisateurs importés sont alors validés auprès du serveur LDAP.

Un nouvel utilisateur peut se connecter à BlueMind même s'il n'a pas encore été importé. Son compte BlueMind sera créé à la volée si l'authentification aboutit.

Le peuplement des utilisateurs et groupes BlueMind à partir de l'annuaire  LDAP est donc fait :

  • lors de l'installation et la configuration, lors de l'import initial,
  • régulièrement de manière automatique via les tâches planifiées
  • et lorsqu'un utilisateur se connecte, à la volée, lorsqu'il n'existe pas.
Info

La synchronisation LDAP est conçue pour s'appuyer sur un schema d'annuaire de type InetOrgPerson.

Volet
borderWidth3

Sur cette page :

Sommaire
maxLevel2

En rapport :

Installation

Afin d'accéder aux fonctionnalités de synchronisation avec un annuaire ldap, il est nécessaire d'installer le plugin ldap-import.

Pour cela, se connecter sur le serveur et taper la commande suivante pour lancer l'installation du plugin :

Bloc de code
languagebash
titleDebian/Ubuntu
sudo aptitupdeaptitude update
sudo aptitude install bm-plugin-admin-console-ldap-import bm-plugin-core-ldap-import
Bloc de code
languagebash
titleRedHat/CentOS
yum update
yum install bm-plugin-admin-console-ldap-import bm-plugin-core-ldap-import

Une fois l'installation terminée, redémarrer le composant bm-core à l'aide de la commande suivante :

Bloc de code
languagebash
bmctl restart

Configuration

Seul l'administrateur global peut configurer la synchronisation LDAP pour un domaine. Les administrateurs de domaine peuvent quant à eux voir les paramètres et lancer la tâche d'import.

  • Se connecter en tant qu'administrateur global admin0@global.virt
  • Aller dans le menu Gestion du système > Domaines supervisés et sélectionner le domaine à configurer
  • Aller sur l'onglet "Annuaires"

ChampNote
Nom ou IP du serveur LDAP

Nom d'hôte ou adresse IP Adresse IP ou FQDN du serveur LDAP.

Syntaxe :

  • hostname : se connecter au serveur LDAP en utilisant une connexion en clair sur le port 389
  • ssl:hostname : se connecter au serveur LDAP en utilisant une connexion SSL sur le port 636
    • tls:hostname : se connecter au serveur LDAP en utilisant une connexion TLS sur le port

    ProtocoleChoisir le protocole à utiliser:
    • PLAIN
    • SSL
    • SSL/accepter tous les certificats
    • TLS
    • TLS/accepter tous les certificats

    Selon le choix, le port utilisé sera automatiquement :

    • PLAIN : 389
    • SSL : 636
    • TLS : 389
    Racine de l'annuaireSpécifier la racine LDAP
    DN de l'utilisateurDN de l'utilisateur root utilisé pour se connecter au serveur LDAP
    Mot de passeMot de passe de l'utilisateur utilisé pour se connecter au serveur LDAP
    Filtre des utilisateurs LDAPSeuls les utilisateurs validés par ce filtre sont importés dans BlueMind
    Filtre des groupes LDAPSeuls les groupes validés par ce filtre sont importés dans BlueMind
    ID externeAttribut correspondant à un identifiant d'entrée LDAP invariant et unique. Utilisé pour faire le lien entre une entrée LDAP et une entrée BlueMind
    Groupe de segmentation du domaine

    Ce champ peut être vide.

    Ce champ sera ignoré si la fonctionnalité de segmentation de domaine n'est pas configurée pour BlueMind.

    Les mails destinés aux utilisateurs membres de ce groupe sont redirigés vers un autre serveur de messagerie du même domaine (configuré via la segmentation de domaine).

    Mapping LDAP - BlueMind

    Attributs des utilisateurs

    BlueMindAttribut LDAPNote
    loginuid

    Un mapping (remplacement de caractères) est réalisé lors de l'import pour des raisons de compatibilité :

    • remplacement des lettre accentuées par la lettre non accentuée correspondante
    • passage en minuscule
    • remplacement des espaces par des '_'
    firstnamegivenName
    lastnamesn
    descriptiondescription
    mail

    mail
    mailLocalAddress
    mailAlternateAddress
    gosaMailAlternateAddress

    L'adresse mail par défaut de

    BlueMind

    BlueMind est la première définie parmi les attributs LDAP mail, ou mailLocalAddress ou mailAlternateAddress ou gosaMailAlternateAddress.

    Les autres sont utilisées comme des adres ses e-mail alias.

    Image Added Si aucun de ces champs n'est renseigné alors l'utilisateur n'aura pas de messagerie dans BlueMind

    user mail quota

    mailQuotaSize
    mailQuota

    Doit être en octets dans LDAP.

    Le premier de ces attributs LDAP trouvé est utilisé

    work phonestelephoneNumber
    home phoneshomePhone
    mobile phonesmobile
    faxfacsimileTelephoneNumber
    pagerpager
    memberOfmemberOfListe des groupes dont l'utilisateur est membre. L'utilisateur BlueMind ne peut être ajouté qu'à des groupes LDAP déjà importés
    photoIDjpegPhotoPhoto de l'utilisateur : le contenu de cet attribut est importé comme photo du compte correspondant

    user.value.contactInfos.organizational.title

    		title
    user.value.contactInfos.organizational.org.companyo
    user.value.contactInfos.organizational.org.divisionou
    user.value.contactInfos.organizational.org.departmentdepartmentNumber
    address.localityl
    address.postalCodepostalCode
    address.countryNamest
    address.streetAddresspostalAddress
    address.postOfficeBoxpostOfficeBox

    Attributs des groupes

    BlueMindAttribut LDAPNote
    namecn
    descriptiondescription
    mailmail
    membermemberUidSeuls les utilisateurs et groupes déjà importés dans BlueMind sont ajoutés aux membres du groupe

    Attribution des droits

    À partir de BlueMind 3.5, l'accès aux applications passe par la gestion des rôles qui sont attribués aux utilisateurs. L'import LDAP ne gérant pas les rôles, les utilisateurs n'en ont donc aucun une fois qu'ils ont été importés et n'accèdent pas aux applications (webmail, contacts, calendrier).

    La façon la plus simple et efficace de gérer cela est de passer par les groupes :

    • dans le ldap, attribuer un groupe commun aux utilisateurs (ou plusieurs, si souhaité)
    • lancer un 1er import : le(s) groupe(s) est importé dans BlueMind avec les utilisateurs
    • se rendre dans l'administration et affecter les rôles souhaités au groupe
    Info

    Lors des imports et mises à jour suivants, les rôles seront conservés.

    Par la suite, pour les nouveaux utilisateurs, il suffira de les affecter à ce(s) groupe(s) afin de leur attribuer les rôles souhaités.

    Astuce
    titleModification des rôles

    Lors de sorties de nouvelles versions, BlueMind est régulièrement amené à apporter de nouveaux rôles au fur et à mesure de ses améliorations, notamment pour des fonctionnalités dont les utilisateurs bénéficiaient déjà.

    Ainsi, par exemple, la version 3.5.9 de BlueMind permet à l'administrateur d'activer ou désactiver la possibilité pour ses utilisateurs de connecter Thunderbird via un nouveau rôle. Jusqu'à cette version tous les utilisateurs avaient cette possibilité là.

    Afin de s'assurer que lors de la mise à jour le nouveau droit sera bien activé chez les utilisateurs déjà existant, il convient de désigner le ou les groupes dans lesquels on a placé les utilisateurs provenant du LDAP comme étant des groupes par défaut.

    Pour cela, se rendre sur la fiche d'administration du groupe, cocher la case ad hoc et enregistrer la fiche :

    Forcer ou corriger un UID

    L'UID d'un utilisateur peut être renseigné ou corrigé dans la fiche d'administration de l'utilisateur dans BlueMind.

    Pour cela, se rendre dans la console d'administration > Annuaires > Entrées d'annuaire > choisir la fiche de l'utilisateur > onglet Maintenance : renseigner le champ ExternalID avec l'UID de l'utilisateur dans le LDAP puis enregistrer.

    Remarque

    L'ExternalID doit être préfixé par "ldap://".

    Par exemple :

    Bloc de code
    dap://5d6b50-399a6-1e6f2-d01267d1f-0fbecb
    Sv translation
    languageen

    Introduction

    BlueMind allows you to import users or groups from an LDAP directory (e.g. OpenLDAP). LDAP imports are incremental (new entries are added, and changes to data are recorded). Set up and execution of LDAP imports are domain-specific.

    Imported user passwords are then validated against the LDAP server.

    New users can connect to BlueMind even if their information has not been imported yet. Their BlueMind account will be created in the process if authentication is successful.

    BlueMind users and groups are populated from the LDAP directory:

    • during installation and set up, through the initial import
    • regularly and automatically through scheduled jobs
    • on the spot, when an unknown user logs in.
    Info

    LDAP synchronization is designed based on a directory schema of the InetOrgPerson type .

    Volet
    borderWidth3

    On this page:

    Sommaire
    maxLevel2

    Related:

    Installation

    To access LDAP synchronization functionalities, you must install the plugin "ldap-import".

    To do this, log into the server and use the following command to start installation:

    Bloc de code
    languagebash
    titleDebian/Ubuntu
    sudo aptitupdeaptitude update
sudo aptitude install bm-plugin-admin-console-ldap-import bm-plugin-core-ldap-import
    Bloc de code
    languagebash
    titleRedHat/CentOS
    yum update
yum install bm-plugin-admin-console-ldap-import bm-plugin-core-ldap-import

    Once installation is complete, restart the "bm-core" component using the following command:

    Bloc de code
    languagebash
    bmctl restart

    Set up

    Only the global administrator is able to configure LDAP synchronization for a domain. Domain administrators are able to view settings and launch import jobs.

    • Log in as global administrator admin0@global.virt
    • Go to System Management > Modify Domains and select the domain you want to set up
    • Go to the "Directories" tab

    Image Modified

    FieldNote
    LDAP server name or IP address

    LDAP server host name or IP address or FQDN.

    Syntax:

  • hostname: connect to the LDAP server using an unencrypted connection on port 389
  • ssl:hostname : connect to the LDAP server using an SSL connection on port 636
    • tls:hostname : connect to the LDAP server using a TLS connection on port

    Protocol

    Choose which protocol to use:

    • PLAIN
    • SSL
    • SSL/accept all certificates
    • TLS
    • TLS/accept all certificates

    Depending on the protocol, the port will automatically be set to:

    • PLAIN : 389
    • SSL : 636
    • TLS : 389
    Root directorySpecify the LDAP root directory
    User DNDN of the root user used to connect to the LDAP server
    PasswordThe user password used to connect to the LDAP server
    LDAP filter for usersOnly users validated by this filter will be imported into BlueMind
    LDAP filter for groupsOnly users validated by this filter will be imported into BlueMind
    External IDAttribute of an invariant and unique LDAP entry identifier used to bind an LDAP entry to a BlueMind entry.
    Split domain group

    This field can be left empty.

    It will be ignored if the split domain functionality is not configured for BlueMind.

    Emails sent to members of this group will be redirected to another mail server in the same domain (through split domain configuration).

    LDAP-BlueMind mapping

    User attributes

    BlueMindLDAP AttributeNote
    loginuid

    Values are mapped on import for compatibility reasons:

    • accented letters are replaced by their non-accented equivalent
    • all letters are changed to lowercase
    • spaces are replaced by '_'
    firstnamegivenName
    lastnamesn
    descriptiondescription
    mail

    mail

    mailLocalAddress

    mailAlternateAddress

    gosaMailAlternateAddress

    BlueMind's default email address is defined from the first LDAP attribute of the following: "mail", "mailLocalAddress", "mailAlternateAddress", or "gosaMailAlternateAddress".

    The others will be used as alias email addresses.

    Image Added If none of these fields is filled in, the user will not have a mail service.

    user mail quota

    mailQuotaSize

    mailQuota

    Must be expressed in bytes in LDAP.

    The first of these LDAP attributes to be found is used.

    work phonestelephoneNumber
    home phoneshomePhone
    mobile phonesmobile
    faxfacsimileTelephoneNumber
    pagerpager
    memberOfmemberOfList of groups the user is a member of. BlueMind users can only be added to LDAP groups imported previously.
    photoID jpegPhotoProfile picture: attribute content is imported as profile picture for related account 

    user.value.contactInfos.organizational.title

    		title
    user.value.contactInfos.organizational.org.companyo
    user.value.contactInfos.organizational.org.divisionou
    user.value.contactInfos.organizational.org.departmentdepartmentNumber
    address.localityl
    address.postalCodepostalCode
    address.countryNamest
    address.streetAddresspostalAddress
    address.postOfficeBoxpostOfficeBox

    Group attributes

    BlueMindAttribut LDAPNote
    namecn
    descriptiondescription
    mailmail
    membermemberUidOnly users and groups already imported into BlueMind will be added to the group

    Role assignment

    From BlueMind 3.5, access to applications goes through is subject to the roles that users are assigned to users. As LDAP imports do not handle roles, no roles imported users are assigned to users when not assigned any roles and they are imported and users are unable to access applications (webmail, contacts, calendar).

    The easiest and most effective way of handling this is through groups:

    • in LDAP, assign one (or several, if desired) common group to users
    • launch an initial a first import: the group(s) are imported into BlueMind along with the users
    • go to the admin section and assign the desired roles to the group(s)
    Info

    Roles are maintained during subsequent imports and updates.

    In the future, simply ascribe assign new users to those groups this/ese group(s) in order to assign give them the desired roles.

    Astuce
    titleEditing Roles

    As new versions are released, new roles and improvements to features are regularly added to BlueMind.

    E.g. BlueMind version 3.5.9 allows administrators to enable or disable the ability for BlueMind users to connect to Thunderbird through new roles. In earlier versions, all users had this ability.

    To make sure that after the update the new right will be enabled for existing users, you must set the group(s) in which LDAP users have been ascribed to are as default groups.

    To do this, go to the group(s)' admin page, check the "Default group" box and save:

    Forcing or correcting a UID

    A user's UID can be filled in or corrected in the user's admin page in BlueMind.

    To do this, go to the admin console > Directories > Directory Browser > select user > Maintenance tab: enter the user's LDAP UID in the ExternalID box then save.

    Remarque

    The ExternalID must be prefixed by "ldap://".

    For example :

    Bloc de code
    ldap://5d6b50-399a6-1e6f2-d01267d1f-0fbecb