El módulo Sincronización de Active Directory de Portail ZAPP crea y mantiene al día las cuentas de las personas de tu directorio Active Directory (o de cualquier directorio LDAP), y la pertenencia de esas cuentas a los grupos de la aplicación. La sincronización va siempre en un solo sentido: del directorio a Portail ZAPP. Nunca modifica el directorio.
Las pantallas están reservadas a los administradores. Se accede a ellas desde Administración › Conectores y automatización › Sincronización AD.
Las reglas
La página Sincronización Active Directory (/ad-sync) lista las reglas de sincronización. Una regla corresponde a un directorio: tiene su servidor, su secreto, sus fuentes, sus mapeos y su planificación. Para cada regla, la lista muestra su estado (Activa, Inactiva o Incompleta), su planificación y su última sincronización.
Nueva regla abre el formulario; Abrir muestra una regla existente.
Configurar la conexión
El bloque Configuración LDAP de una regla contiene:
- Nombre: único entre las reglas;
- Servidor LDAP/AD: nombre de host o dirección IP, por ejemplo
ldap.example.com; - Puerto LDAP: 389 en estándar, 636 en LDAPS; Usar LDAPS (SSL/TLS) cifra la conexión. Aparece un aviso si el puerto y la casilla LDAPS no concuerdan, o si la conexión no está cifrada (la contraseña de enlace circularía entonces en texto claro);
- Cuenta de conexión AD: en forma UPN (
cuenta@example.com), NetBIOS (DOMINIO\cuenta) o DN completo; - DN base: el punto de partida de las lecturas, por ejemplo
dc=example,dc=com; - Secreto de la contraseña de enlace: el nombre de un secreto del módulo Almacén de secretos. La contraseña nunca se escribe ni se guarda en la regla. Si el Almacén de secretos no está instalado, escribes el nombre del secreto a mano;
- Agente Outpost: deja Directo: el servidor consulta el directorio cuando el servidor de Portail ZAPP alcanza el directorio. Elige un agente (módulo Agentes Outpost) para leer un directorio remoto que el servidor no puede alcanzar; la contraseña se adjunta a cada comando y el agente no la conserva. Un mensaje avisa si el agente no está activo o si es demasiado antiguo para la sincronización de directorio; en Linux, es preferible LDAPS;
- Comportamiento de huérfanos y Freno de huérfanos (%): ver más abajo;
- Planificación (cron): ver más abajo;
- Activa: una regla activa debe estar completa (servidor, cuenta, DN base, secreto). Una regla incompleta puede guardarse como borrador, inactiva.
Probar conexión comprueba los valores del formulario tal como están, incluso antes de guardar. Con un agente Outpost, la prueba se envía al agente: aparece el mensaje «Esperando la respuesta del Outpost...», con un botón Cancelar, hasta la respuesta.
Fuentes y mapeos
Una vez guardada la regla, se añaden dos bloques (antes, se muestra el mensaje «Guarda la regla para configurar sus fuentes y mapeos.»).
Sincronización de usuarios: las fuentes de la regla, es decir, los lugares del directorio donde se leen las cuentas. Elige el tipo, Unidad organizativa (OU) o Grupo, búscalo en el directorio de la regla y haz clic en Añadir fuente. La búsqueda también pasa por el agente Outpost si lo hay.
Sincronización de membresía de grupos: los mapeos, que vinculan un grupo del directorio con un grupo de Portail ZAPP. En cada sincronización, los miembros del grupo del directorio que tienen una cuenta en Portail ZAPP se añaden al grupo correspondiente; los que ya no forman parte de él se retiran. Los grupos anidados no se desarrollan: solo cuentan los miembros directos.
Qué hace una sincronización
Para cada persona leída en las fuentes:
- cuenta inexistente: se crea con su nombre, sus apellidos y su dirección; el identificador de inicio de sesión es la dirección de correo. Una entrada sin identificador (
sAMAccountName) o sin dirección se omite y se cuenta como error; - cuenta ya creada por el directorio: el nombre, los apellidos y la dirección de contacto se actualizan si cambiaron en el directorio. Un atributo vacío en el directorio no borra nada, y el identificador de inicio de sesión nunca cambia. Una cuenta se reconoce por su identificador de directorio, aunque su dirección haya cambiado;
- cuenta que no procede de un directorio (cuenta local, cuenta de otro proveedor): la sincronización no la modifica, no la sigue y no la desactiva;
- cuenta desactivada en el directorio: nunca se crea; si estaba seguida, se trata como huérfana.
La sincronización crea las cuentas sin contraseña: no configura el inicio de sesión. La forma en que estas personas inician sesión se configura en Autenticación.
En los mapeos, solo las cuentas procedentes del directorio se retiran de un grupo. Una cuenta local colocada a mano en el grupo (administrador, cuenta de servicio) nunca se retira. Si la lista de miembros de un grupo está incompleta, no se retira a nadie de ese grupo. Un grupo ya sincronizado por otra fuente (por ejemplo las organizaciones) no se modifica: el mapeo se omite y se indica en el registro.
Responsable jerárquico
El ajuste AdSync:SyncManagers de la pantalla Configuración (categoría AdSync, desactivado por defecto), puesto en true, hace que también se rellene el responsable jerárquico de las cuentas sincronizadas, según el atributo manager del directorio. El responsable se busca entre las cuentas que siguen todas las reglas: puede venir de otra unidad organizativa. Las reglas son las de la sincronización de Google Workspace:
- un vínculo bloqueado (introducido a mano, por defecto) nunca se modifica;
- el responsable solo se busca entre las cuentas que sigue esta sincronización: un responsable desconocido, o cuya cuenta se creó a mano o con otro conector, no cambia nada;
- a un usuario sin responsable en el directorio solo se le cierra el vínculo si este venía de una sincronización;
- un nuevo responsable cierra el vínculo actual y abre otro: el historial se conserva en la página Responsables e historial de la cuenta, con el origen «Active Directory».
Las cuentas huérfanas
Una huérfana es una cuenta seguida por la regla que ya no aparece en las fuentes, o que está desactivada en el directorio.
- Ignorar: no se hace nada.
- Deshabilitar (valor por defecto): la cuenta se desactiva en Portail ZAPP. Es reversible: si la persona vuelve a aparecer en el directorio, la cuenta se reactiva automáticamente. Solo se reactiva una cuenta desactivada por la regla; una cuenta que desactivaste a mano sigue desactivada.
La sincronización nunca elimina una cuenta. Una cuenta todavía seguida y activa por otra regla no se desactiva.
Un freno protege contra una desactivación masiva. No se trata ninguna huérfana, y el motivo se escribe en el registro, si:
- la lectura del directorio está incompleta (fuente en error, resultado truncado, entrada que no se pudo procesar);
- el directorio no devolvió ningún usuario;
- la proporción de huérfanas supera el Freno de huérfanos (%) de la regla (25 % por defecto, de 1 a 100).
Ejecutar y planificar
Sincronizar ahora ejecuta la regla de inmediato. Si ya hay una sincronización de esta regla en curso (lanzada a mano, por la planificación o por otra instancia), aparece el mensaje «Ya hay una sincronización de esta regla en curso.» y no se relanza nada.
La Planificación (cron) da a la regla su propia tarea en el Planificador. Si se deja vacía, la regla se ejecuta en el barrido nocturno de la tarea «AdSync», cada noche a las 2:00. Esta tarea se entrega desactivada: actívala en el Planificador para que se ejecuten las reglas sin planificación propia. Una expresión cron no válida se rechaza al guardar.
Si la regla a la que apunta una tarea planificada se ha eliminado, el historial de la tarea muestra el código RuleNotFound con el identificador de la regla: elimina la tarea o corrige sus parámetros. Las causas comunes a todas las tareas (base de datos inaccesible, tiempo de espera…) se describen en «Planificar las tareas».
Seguir las sincronizaciones
El bloque Sincronizaciones recientes de la regla indica, para cada ejecución, la fecha, el estado (Success, PartialSuccess si hubo errores parciales, Error), el número de cuentas creadas, actualizadas, desactivadas y reactivadas, la duración y los errores; cuando el módulo Cuadrículas de datos está instalado, la cuadrícula añade los miembros añadidos y retirados de los grupos. Haz clic en el número de errores (o doble clic en la fila de la cuadrícula) para leer el detalle, por ejemplo el motivo de un freno de huérfanos.
Eliminar una regla
Eliminar la regla retira la regla con sus fuentes y sus mapeos. Una regla que ya tiene un historial de sincronizaciones no se puede eliminar: desactívala en su lugar (desmarca Activa).