Versions Compared

Old Version 62

changes.mady.by.user Sophie Lepissier

Saved on

compared with

New Version Current

changes.mady.by.user Sophie Lepissier

Saved on

Key

  • This line was added.
  • This line was removed.
  • Formatting was changed.

...

Sv translation
languageen
Remarque

This page is no longer being updated. From BlueMind 4.8, please refer to the new BlueMind documentation

Introduction

The professional BlueMind subscription includes access to tools that facilitate the integration of BlueMind into your information system.

This article describes the functionalities of the Active Directory access module.

Active Directory scope

The admin console can be used to create and manage users, groups and other entities directly in BlueMind.

However, information systems often include a centralized directory – such as LDAP or Active Directory – which we recommend that you use to manage users and groups centrally. When you do, user management can be delegated to an Active Directory directory and automatic account creation enabled through periodic synchronization. 

Active Directory synchronization allows BlueMind to:

  • transparently import your directory's users and groups database periodically. 
  • authenticate BlueMind users directly against the Active Directory.

This tool avoids having to manage a user database in BlueMind and prevents issues with multiple passwords. Passwords are centralized in the AD directory and BlueMind does not know or import them.

Active Directory authentication

Users that are imported from the directory are authenticated against this directory as the BlueMind database does not know Active Directory passwords.

Volet
borderWidth3

On this page:

Sommaire
maxLevel2

Related:
 Les taches planifiees

How AD synchronization works

BlueMind allows you to import and use users and groups from an Active Directory system.

An Active Directory incremental import is carried out on each domain on the BlueMind side.

The passwords of imported users are validated directly against the Active Directory. BlueMind does not store any passwords.

New users can log into a BlueMind server even if they haven't been imported yet. Their BlueMind account will be created upon request automatically if the authentication process is successful. 

User or group provisioning (creation or modification) from the Active Directory to BlueMind therefore takes place:

  • when the server is configured, during the initial import,  
  • periodically during the day, through scheduled jobs
  • or automatically when a user logs in.

Installation

Access to AD directory synchronization functionalities requires the ad-import plugin to be installed.

To start the plugin installation, log into the server and enter the command below:

Bloc de code
languagebash
titleDebian/Ubuntu
sudo aptitude update
sudo aptitude install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import
Bloc de code
languagebash
titleRedHat/CentOS
yum update
yum install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import

When installation is complete, restart the bm-core component using the following command:

Bloc de code
languagebash
bmctl restart

Set up

  • Log into the target BlueMind server as global administrator.
  • Browse the admin console to System Management > Modify Domain > select the domain > AD import tab: 
  • Check "Enable AD import" (from BlueMind 4.3.0)
  • Fill in the information requested with the Active Directory parameters provided in the table below: 
Parameter RequestedActive Directory Value
AD user login

Login ID used to make queries to the Active Directory server.
Any user account with browsing rights in the Active Directory tree in read-only mode can be used.

Values are mapped on import for compatibility reasons:

  • accented letters are replaced by their non-accented equivalent
  • all letters are changed to lowercase
  • spaces are replaced by '_'
AD user passwordPassword for the account entered in the AD user login box
AD server hostname or IP

Active Directory server IP or FQDN address. This field can be left empty if the server can be located by using a DNS SRV record.

Pas de format
nopaneltrue
_ldap._tcp.dc._msdcs.domain

(see the following Technet article)

AD root DNRoot for Active Directory search. If left empty, searches are made using the root DN.
Used to limit the search to a sub-section of the Active Directory tree. 
AD users filter

Filter for searching user entries in the AD.
LDAP filter syntax can be used.
For example, to display all persons whose telephone number is stored in the database:

Bloc de code
(&(objectclass=person)(telephoneNumber=*))

see http://ldapbook.labs.libre-entreprise.org/book/html/ch03s02.html

Or, to display all accounts whose accountStatus is "MAIL" and are not included in the MAILSHARE branch of the directory:

Bloc de code
(&(!(ou:dn:=MAILSHARE))(&(objectClass=posixAccount)(accountStatus=MAIL)))
AD groups filter

Filter for searching group entries in the AD.
LDAP syntax can be used.
For example, to display exclusively groups of branches whose DN contain cn=system or cn=users:

Bloc de code
(&(objectClass=group)(|(cn:dn:=System)(cn:dn:=Users)))

Or groups with a description:

Bloc de code
(&(objectCategory=group)(description=*))

see https://social.technet.microsoft.com/wiki/contents/articles/5392.active-directory-ldap-syntax-filters.aspx#Examples

Split domain group

This field can be left empty.

It will be ignored if the split domain functionality is not configured for BlueMind.

Emails addressed to members of this group will be redirected to another mail server in the same domain (configured via domain segmentation).

Connection method

The BlueMind Active Directory plugin is not restrictive and does not require a specific schema, just the following information:

  • the hostname (or IP address) of the Active Directory server
  • AD directory credentials ("username" and "password") to allow logging in.

By default, all users and groups are imported from the Active Directory. Filters that are used to query part of the directory can be configured with the following information:

  • root directory
  • filters to use for user and group synchronization, to apply restrictions to imported data.

Finally, you can specify the split domain group.

The synchronization tool allows you to check directly if the directory is available and access has been configured correctly.

How the synchronization tool works

User accounts

The Active Directory plugin has three interdependent functions:

  • global import of all users
  • incremental import 
  • real-time import on authentication 

The global import browses through all Active Directory users and groups (taking into account the AD root and filters) and imports them into BlueMind. Those that do not exist are created, and existing ones are modified if necessary. 

The incremental import works the same way, but only browses through the users modified since the last import.

Finally, import on authentication looks for the user unknown to BlueMind in the Active Directory. If the user is found, it is imported and authenticated in the Active Directory, giving the user immediate access to BlueMind.

Account status 

Accounts imported from an Active Directory that complies with the LDAP filter are activated automatically.

Conversely, accounts can be suspended or deleted from the Active Directory thereby forbidding them access to the mail system. A user deleted in the Active Directory is merely suspended in BlueMind.

Scheduled Active Directory synchronization

Incremental import 

When the Active Directory plugin is installed, BlueMind creates a scheduled job whose purpose is to synchronize user and group databases against the Active Directory at regular intervals.

Incremental imports only processes the data that has been created, deleted or modified since the last import.

As shown in the screenshot below, a scheduled job can be:

  • automatic: activated based on criteria from earlier imports, at 4-hour intervals at the most;
  • scheduled: with a cron-type scheduling format, which allows any activation frequency;
  • disabled: in this case, the scheduled job is not executed.
Bm_legend
bm_legendImport Active Directory scheduled job

Scheduled jobs monitoring

The scheduled jobs monitoring page allows you check that they are performed correctly. The screenshot below shows a log of synchronization jobs performed, execution date and results:

Active Directory-BlueMind mapping

User attributes

BlueMindActive Directory AttributeNote
loginsAMAccountName
title*personalTitlePersonal title: Mr., Mrs., Ms., Miss
firstnamegivenName

lastname

sn
jobtitle*titleJob title: Manager, IT Director, etc.
descriptiondescription
mail

mail

otherMailbox

proxyAddresses

The mail Active Directory attribute is set as the default email address in BlueMind.

If this field is missing or empty, the default BlueMind email address is populated with the first value found in the following fields (in that order): 

  1. otherMailbox 
  2. proxyAddresses:
    1. the first with the "SMTP:" prefix
    2. the first with the "smtp:" prefix if no email has the "SMTP:" prefix
    NB: only addresses with the "SMTP:" or "smtp:" prefix are taken into account (Microsoft-defined syntax)

 If none of these fields is populated, the user will not have a mail service.

streetstreetAddress
zippostalCode
townl
countryco
statest
Work phones

telephoneNumber

otherTelephone


Home phones

homePhone

otherHomePhone


Mobile phones

mobile

otherMobile


Fax

facsimileTelephoneNumber

otherFacsimileTelephoneNumber


Pager

pager

otherPager


memberOfmemberOfList of groups the user is a member of. The BlueMind user is added to groups previously imported only.
servicedepartmentBlueMind v.3.0 and above.
photoIDthumbnailPhotoProfile picture: the attribute content is imported as profile picture for the related account
user.value.contactInfos.organizational.org.companycompany
user.value.contactInfos.organizational.org.departmentdepartment

Group attributes 

BlueMindActive Directory AttributesNote
namesAMAccountName
descriptiondescription
mailmail
membermemberOnly synchronized groups and users are added to members of the BlueMind group.

Role assignment

From BlueMind 3.5, access to applications is subject to the roles users are assigned. As AD imports do not handle roles, imported users are not assigned any roles and they are unable to access applications (webmail, contacts, calendar).

The easiest and most effective way of handling this is through groups:

  • in AD, assign one (or several, if desired) common group to users
  • launch a first import: group(s) are imported into BlueMind along with users
  • go to the admin section and assign the desired roles to the group(s)
Astuce

Roles will be maintained during subsequent imports and updates.

In the future, simply assign new users to this/these group(s) in order to give them the desired roles.

Forcing or correcting a UID

A user's UID can be populated or corrected in the user's admin page in BlueMind.

To do this, go to the admin console > Directories > Directory Browser > select user > Maintenance tab: enter the user's AD UID in the ExternalID box then save.

Remarque

ExternalID must be prefixed by "ad://"

For example :

Bloc de code
ad://5d6b50-399a6-1e6f2-d01267d1f-0fbecb
Sv translation
languagede
Remarque

Diese Seite ist nicht mehr aktuell. Ab der Version BlueMind 4.8 finden Sie alle Infos in der neuen Dokumentation

Präsentation

Das BlueMind-Abonnement für den professionellen Gebrauch bietet Zugang zu Tools, die die Integration von BlueMind in das Informationssystem erleichtern.

In diesem Abschnitt werden die Funktionen beschrieben, die das Modul für den Zugriff auf ein Active Directory-Verzeichnis bietet.

Umfang des Active Directory

Die BlueMind-Administrationskonsole ermöglicht das Anlegen und Verwalten von Benutzern, Gruppen und anderen Entitäten direkt in BlueMind.

In einem Informationssystem gibt es jedoch oft ein zentrales Verzeichnis, wie z. B. LDAP oder Active Directory, das für die zentrale Verwaltung von Benutzern und Gruppen vorzuziehen ist. In diesem Fall kann die Benutzerverwaltung an ein Active Directory delegiert und die Kontoerstellung durch regelmäßige Synchronisation automatisiert werden.

Durch die Active Directory-Synchronisation ist Blue Mind in der Lage:

  • seine Benutzerbasis und Gruppen in regelmäßigen Abständen auf transparente Weise aus dem Verzeichnis zu importieren
  • BlueMind-Benutzer direkt für das Active Directory zu authentifizieren.

Dieses Tool vermeidet die Verwaltung einer Benutzerbasis in Blue Mind und die Probleme der Passwortvervielfältigung. Das Passwort ist im AD-Verzeichnis zentralisiert und ist BlueMind weder bekannt noch wird es importiert.

Authentifizierung im Active Directory

Für die aus dem Verzeichnis importierten Benutzer erfolgt die Authentifizierung bei diesem Verzeichnis, die Blue Mind-Datenbank verfügt nicht über die Active Directory-Passwörter.

Volet
borderWidth3

Auf dieser Seite:

Sommaire
maxLevel2

Verwandt:
 Geplante Aufgaben Les taches planifiees

Funktionsprinzip

BlueMind ermöglicht den Import und die Verwendung von Benutzern und Gruppen aus einem Active Directory-System.

Der Active Directory-Import wird BlueMind-seitig für jede Domain schrittweise durchgeführt.

Die Passwörter der importierten Benutzer werden direkt mit dem Active Directory abgeglichen. BlueMind speichert keine Passwörter.

Ein neuer Benutzer kann eine Verbindung zu einem BlueMind-Server herstellen, auch wenn dieser noch nicht importiert wurde. Sein BlueMind-Konto wird automatisch erstellt, wenn der Authentifizierungsprozess erfolgreich ist.

Das Provisioning (Anlegen oder Ändern) eines Benutzers oder einer Gruppe aus dem Active Directory in BlueMind erfolgt:

  • bei Serverkonfiguration, während des ersten Imports
  • regelmäßig im Laufe eines Tages, über geplante Aufgaben
  • oder automatisch, wenn sich ein Benutzer anmeldet.

Installation

Um auf die Synchronisationsfunktionen mit einem AD-Verzeichnis zugreifen zu können, muss das ad-import-Plugin installiert werden.

Verbinden Sie sich dazu mit dem Server und geben Sie den folgenden Befehl ein, um die Installation des Plugins zu starten:

Bloc de code
languagebash
titleDebian/Ubuntu
sudo aptitude update
sudo aptitude install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import
Bloc de code
languagebash
titleRedHat/CentOS
yum update
yum install bm-plugin-admin-console-ad-import bm-plugin-core-ad-import

Starten Sie die Komponente bm-core nach Abschluss der Installation mit dem folgenden Befehl neu:

Bloc de code
languagebash
bmctl restart

Konfiguration

  • Verbinden Sie sich mit dem BlueMind-Zielserver als globaler Administrator admin0
  • Gehen Sie zu Systemadministration > Überwachte Domains > Domain wählen > Registerkarte AD-Import:

  • Aktivieren Sie das Kontrollkästchen "AD-Import aktivieren" (ab BlueMind Version 4.3.0)

  • Füllen Sie die angeforderten Informationen mit den Active Directory-Einstellungen aus:

    Angeforderte ParameterActive Directory-Wert
    Benutzername AD

    Login, das für Abfragen auf dem Active Directory-Server verwendet wird
    Jedes Benutzerkonto mit Rechten zum Durchsuchen der Active Directory-Baumstruktur kann im schreibgeschützten Modus verwendet werden.

    Beim Import wird aus Kompatibilitätsgründen ein Mapping (Zeichenersetzung) durchgeführt:

    • Ersetzen von Buchstaben mit diakritischen Zeichen durch den entsprechenden Buchstaben ohne diakritisches Zeichen
    • Umwandlung in Kleinbuchstaben-
    • Ersetzen von Leerzeichen durch '_'
    AD-Benutzer-PasswortPasswort, das mit dem im Feld AD user login ausgefüllten Konto verknüpft ist
    Name oder IP des AD-Servers

    IP-Adresse oder FQDN des Active Directory-Servers. Dieses Feld kann leer sein, wenn der Serverstandort über die DNS-Speicherung vom Typ SRV ermittelt werden kann

    Bloc de code
    _ldap._tcp.dc.msdcs.domain

    (siehe diesen Technet-Artikel)

    Root des AD-VerzeichnissesRoot der Active Directory-Suche. Wenn leer, wird die Suche mit dem Root-DN durchgeführt.
    Wird verwendet, um die Suche auf einen Teilbereich der Active Directory-Baumstruktur zu beschränken 
    AD-Benutzerfilter

    Filter für die Suche nach Benutzereinträgen im AD.
    Es kann die Syntax von LDAP-Filtern verwendet werden.
    Zum Beispiel, um alle Personen anzuzeigen, deren Telefonnummer in der Datenbank eingetragen ist:

    Bloc de code
    (&(objectclass=person)(telephoneNumber=*))

    siehe http://ldapbook.labs.libre-entreprise.org/book/html/ch03s02.html

    Oder alle Konten, die den accountStatus "MAIL" haben und sich nicht im MAILSHARE-Zweig des Verzeichnisses befinden:

    Bloc de code
    (&(!(ou:dn:=MAILSHARE))(&(objectClass=posixAccount)(accountStatus=MAIL)))
    AD-Gruppenfilter

    Filter für die Suche nach Gruppeneinträgen im AD.
    Es kann die Syntax von LDAP-Filtern verwendet werden.
    Zum Beispiel, um nur die Gruppen von Zweigen anzuzeigen, deren DN cn=system oder cn=users enthält:

    Bloc de code
    (&(objectClass=group)(|(cn:dn:=System)(cn:dn:=Users)))

    Oder Gruppen mit der Beschreibung:

    Bloc de code
    (&(objectCategory=group)(description=*))

    siehe https://social.technet.microsoft.com/wiki/contents/articles/5392.active-directory-ldap-syntax-filters.aspx#Examples

    Domain-Segmentierungsgruppe

    Dieses Feld darf leer sein.

    Dieses Feld wird ignoriert, wenn die Domainsegmentierungsfunktion für BlueMind nicht konfiguriert ist.

    Mails für Benutzer in dieser Gruppe werden an einen anderen Mailserver in derselben Domain umgeleitet (konfiguriert über Domainsegmentierung).

Verbindungsmethode

Das BlueMind-Plugin für Active Directory legt keine bestimmte Einschränkung oder ein bestimmtes Schema fest. Die folgenden Informationen sind ausreichend:

  • Hostname (oder die IP-Adresse) des Active Directory-Servers
  • ein "Benutzername"/"Passwort"-Paar auf dem AD-Verzeichnis, das die Herstellung von Verbindungen ermöglicht.

Standardmäßig werden alle Benutzer und Gruppen aus dem Active Directory abgerufen. Filter für die Abfrage eines Teils des Verzeichnisses können durch Einstellung der folgenden Informationen konfiguriert werden:

  • Root des Verzeichnisses
  • die für die Benutzer- und Gruppensynchronisation zu verwendenden Filter, mit denen die importierten Daten eingeschränkt werden können.

Ein letzter Parameter wird verwendet, um die Domain-Segmentierungsgruppe anzugeben.

Mit dem Tool können Sie direkt prüfen, ob das Verzeichnis erreichbar und der Zugriff richtig konfiguriert ist.

So funktioniert das Synchronisationswerkzeug

Benutzerkonten

Das Plugin für Active Directory arbeitet auf 3 sich ergänzende Arten:

  • Globaler Import aller Benutzer
  • Inkrementeller Import
  • Import in Echtzeit bei Authentifizierung

Der globale Import durchsucht alle Benutzer und Gruppen im Active Directory (unter Berücksichtigung der AD-Root und Filter) und importiert sie in BlueMind. Diejenigen, die nicht vorhanden sind, werden erstellt, die bereits vorhandenen werden ggf. geändert.

Der inkrementelle Import funktioniert auf die gleiche Weise, wobei aber nur nach Benutzern gesucht wird, die seit dem letzten Import geändert wurden.

Der Import sucht bei der Authentifizierung den Benutzer im Active Directory, wenn er in BlueMind nicht bekannt ist; wenn er ihn findet, importiert er ihn und authentifiziert ihn im Active Directory, um ihm sofortigen Zugriff auf BlueMind zu ermöglichen.

Konto-Status

Aus einem Active Directory importierte Konten, die den konfigurierten LDAP-Filter berücksichtigen, werden automatisch aktiviert.

Umgekehrt können sie im Active Directory suspendiert oder gelöscht werden, um sie am Zugriff auf E-Mails zu hindern. Ein im Active Directory gelöschter Benutzer wird in BlueMind einfach suspendiert.

Geplante Active Directory-Synchronisierung

Inkrementeller Import

Wenn das Active Directory-Plugin installiert ist, erstellt BlueMind eine geplante Aufgabe, um in regelmäßigen Abständen die Benutzer- und Gruppendatenbanken mit dem Active Directory zu synchronisieren.

Der inkrementelle Import verarbeitet nur Daten, die seit dem letzten Import angelegt, gelöscht oder geändert wurden.

Wie im folgenden Bildschirmfoto gezeigt, kann die geplante Aufgabe:

  • automatisch sein: aktiviert nach spezifischen Kriterien für die bereits getätigten Importe, mit einer maximalen Häufigkeit von 4 Stunden;
  • geplant sein: in einem Cron-Format, das eine beliebige Häufigkeit der Aktivierung erlaubt
  • deaktiviert sein: in diesem Fall wird die geplante Aufgabe nicht ausgeführt.
Bm_legend
bm_legendTâche planifiée de l'import Active Directory

Verfolgung der geplanten Aufgaben

Auf dem Bildschirm zur Verfolgung von geplanten Aufgaben können Sie überprüfen, ob diese korrekt ausgeführt wurden. Der folgende Screenshot zeigt die durchgeführten Synchronisationsaufgaben, ihr Ausführungsdatum und das Ergebnis des Vorgangs:

Active Directory-Mapping - BlueMind

Benutzer-Attribute

Avertissement

Der BlueMind AD-Import basiert zur Ermittlung von Zugehörigkeiten auf member und memberOf und unterstützt daher keine primäre Gruppenverwaltung.

Darüber hinaus ist es nicht ratsam, die primäre Benutzergruppe außer in besonderen Fällen zu ändern.

BlueMindActive Directory-AttributHinweis
LoginsAMAccountName
title*personalTitleAnrede Herr, Frau…
firstnamegivenName

lastname

sn
jobtitel*titlePositionsbezeichnung: Abteilungsleiter, CIO, etc.
BeschreibungBeschreibung
mail

mail

otherMailbox

proxyAddresses

Das Active Directory Mail-Attribut wird als Standard-E-Mail-Adresse in BlueMind definiert.
Wenn dieses Feld nicht vorhanden oder nicht ausgefüllt ist, wird die Standard-BlueMind-Adresse durch den ersten der in den folgenden Feldern gefundenen Werte definiert (in dieser Reihenfolge) :

  1. den ersten Wert des Feldes otherMailbox
  2. den Wert des Feldes proxyAddresses:
    1. den ersten mit dem Präfix "SMTP:"
    2. die erste Rückgabe mit Präfix "smtp:", wenn keine E-Mail mit Präfix "SMTP:" vorliegt
    Hinweis: Es werden nur Adressen mit Präfix "SMTP:" oder "smtp:" berücksichtigt (Syntax von Microsoft definiert)

 Wenn keines dieser Felder ausgefüllt ist, hat der Benutzer keinen Posteingang in BlueMind

streetstreetAddress
zippostalCode
townl
countryco
statest
Work phones

telephoneNumber

otherTelephone


Home phones

homePhone

otherHomePhone


Mobile phones

mobile

otherMobile


Fax

facsimileTelephoneNumber

otherFacsimileTelephoneNumber


Pager

pager

otherPager


memberOfmemberOfListe der Gruppen, in denen der Benutzer Mitglied ist. Der BlueMind-Benutzer wird nur zu Gruppen hinzugefügt, die bereits importiert wurden
servicedepartmentAb BlueMind v3.0
photoIDthumbnailPhotoFoto des Benutzers: Der Inhalt dieses Attributs wird als das Foto des entsprechenden Kontos importiert
user.value.contactInfos.organizational.org.companycompany
user.value.contactInfos.organizational.org.departmentdepartment

Gruppen-Attribute

BlueMindActive Directory-AttributHinweis
namesAMAccountName
BeschreibungBeschreibung
mailmail
membermemberNur synchronisierte Gruppen und Benutzer werden zu BlueMind-Gruppenmitgliedern hinzugefügt

Zuweisung von Rechten

Ab BlueMind 3.5 basiert der Zugriff auf Anwendungen auf der Verwaltung der den Benutzern zugewiesenen Rollen .

Der AD-Import verwaltet keine Rollen, so dass Benutzer nach dem Import zunächst keine Rollen haben und nicht auf Anwendungen (Webmailer, Kontakte, Kalender) zugreifen können.

Der einfachste und effektivste Weg, dies zu bewerkstelligen, ist über Gruppen:

  • in der DA weisen Sie den Benutzern eine gemeinsame Gruppe zu (oder mehrere, falls gewünscht)
  • einen 1. Import starten: die Gruppe(n) wird/werden in BlueMind mit den Benutzern importiert
  • gehen Sie in die Administration und weisen Sie der Gruppe die gewünschten Rollen zu
Astuce

Bei den folgenden Importen und Updates werden die Rollen beibehalten.

Danach müssen neue Benutzern nur noch der/den Gruppe(n) zugeordnet werden, um ihnen die gewünschten Rollen zu geben.

Erzwingen oder Korrigieren einer UID

Die UID eines Benutzers kann im Benutzer-Verwaltungsstammsatz in BlueMind ausgefüllt oder korrigiert werden.

Gehen Sie dazu in die Administrationskonsole > Verzeichnisse > Verzeichniseinträge > wählen Sie den Benutzerdatensatz > Registerkarte Wartung: Das Feld ExternalID mit der UID des Benutzers im AD ausfüllen und speichern.

Remarque

Der ExternalID muss "ad://" vorangestellt werden.

Zum Beispiel:

Bloc de code
ad://5d6b50-399a6-1e6f2-d01267d1f-0fbecb