Перейти к основному содержимому

LDAP

При использовании ONLYOFFICE Apps первое, что необходимо сделать, — создать учетные записи для всех сотрудников вашей компании. Но если в вашей компании более 50 человек, процесс создания новых пользователей рабочего пространства займет много времени. Параметр Настройки LDAP позволяет буквально за несколько минут импортировать нужных пользователей и группы с LDAP-сервера (например, OpenLDAP Server или Microsoft Active Directory) в ваше рабочее пространство. Вновь созданным пользователям, в свою очередь, не нужно запоминать новые пароли и логины, так как они будут входить в рабочее пространство с учетными данными, хранящимися на вашем LDAP-сервере.

Пользователи будут импортированы сразу после сохранения настроек. Пользователи, добавленные позже, будут импортированы при первом входе в рабочее пространство.

Чтобы разрешить вход только через LDAP, отключите приглашение новых участников через Контакты в настройках Безопасность -> Invitations.

Это платная функция (доступна только на платном тарифе Business).

Импорт пользователей и групп​

Перед началом импорта

Если вы подключаетесь к Active Directory, в котором более 1000 пользователей, необходимо увеличить ограничение AD MaxPageSize = 1000 с помощью ntdsutil. Подробные инструкции о том, как это сделать, доступны здесь.

  1. Войдите в свое рабочее пространство ONLYOFFICE Apps.

  2. Нажмите меню Значок параметров в левом нижнем углу и выберите пункт Настройки.

  3. Откройте страницу Настройки LDAP в разделе Интеграция на левой боковой панели.

  4. Нажмите переключатель LDAP-аутентификация (если вы изменяете настройки не в первый раз, используйте ссылку Показать рядом с заголовком Настройки LDAP, чтобы отобразить форму параметров).

  5. В разделе Тип соединения выберите один из вариантов: Незашифрованное общение (используется по умолчанию), StartTLS, чтобы защитить соединения с помощью технологии StartTLS (в этом случае используется порт по умолчанию 389), или SSL, чтобы использовать протокол SSL (в этом случае используется порт 636).

  6. Заполните поля, необходимые для импорта пользователей (обязательные поля отмечены звездочкой):

    Настройки LDAP - пользователи

    Внимание

    Обратите внимание: если вы уже импортировали некоторых пользователей и изменили некоторые настройки (например, Сервер, Фильтр пользователей, DN пользователя, Фильтр групп, DN группы), существующие пользователи и все их данные, включая документы, электронную почту и т. д., не соответствующие новым настройкам, будут ОТКЛЮЧЕНЫ. Настоятельно рекомендуем создать резервную копию перед изменением любых настроек.

    • в поле Сервер введите URL-адрес LDAP-сервера в формате протокол://хост, например LDAP://example.com для обычного подключения LDAP или LDAPS://example.com для защищенного подключения LDAP по SSL. Вместо DNS-имени можно также указать IP-адрес сервера: LDAP://192.168.3.202;

    • укажите Номер порта, используемый для доступа к LDAP-серверу. Порт по умолчанию для обычных подключений LDAP — 389. Если вы включили параметр StartTLS, также используется порт по умолчанию 389. Если включен параметр SSL, используется порт 636;

    • в поле DN пользователя (User Distinguished Name) укажите абсолютный путь к каталогу верхнего уровня, содержащему пользователей, которых вы хотите импортировать. Этот параметр определяет узел, с которого начинается поиск. Вы можете указать корневой каталог, например dc=example,dc=com, чтобы искать пользователей во всем каталоге, или указать определенную область поиска, например ou=groupname,dc=example,dc=com, чтобы искать пользователей в указанной группе;

    • укажите значение Атрибут логин (атрибут в записи пользователя, соответствующий логину, который пользователи LDAP-сервера будут использовать для входа в ONLYOFFICE);

      Обратите внимание

      Для OpenLDAP Server используйте следующие настройки:

      • Фильтр пользователей — (uid=*)
      • Атрибут логин — uid

      Для Active Directory используйте следующие настройки:

      • Фильтр пользователей — (userPrincipalName=*)
      • Атрибут логин — sAMAccountName

    • заполните поле Фильтр пользователей, если необходимо импортировать пользователей, соответствующих указанным критериям поиска. Значение фильтра по умолчанию (uid=*) или (userPrincipalName=*) позволяет импортировать всех пользователей;

      Обратите внимание

      Примеры синтаксиса поисковых фильтров можно найти здесь.

  7. Раздел Сопоставление атрибутов позволяет установить соответствие между полями данных пользователя в рабочем пространстве и атрибутами в записи пользователя на LDAP-сервере. Укажите атрибуты LDAP-сервера, соответствующие следующим полям пользователя рабочего пространства:

    Настройки LDAP - сопоставление атрибутов

    • Имя (атрибут в записи пользователя, соответствующий имени пользователя)
    • Фамилия (атрибут в записи пользователя, соответствующий фамилии пользователя)
    • Почта (атрибут в записи пользователя, соответствующий адресу электронной почты пользователя)
    • Фото профиля (атрибут в записи пользователя, соответствующий фотографии пользователя)

    Вы также можете добавить следующие атрибуты:

    • Пользовательская квота — чтобы задать квоту хранилища для этого пользователя, введите целое значение для этого атрибута в каталоге LDAP. Оно будет отображать значение квоты в байтах. Этот атрибут применяется только при первоначальной настройке и может быть изменен вручную в разделе Контакты. Чтобы использовать этот атрибут, включите пользовательскую квоту в настройках Управления хранилищем.
    • Тип пользователей — все пользователи будут добавлены в рабочее пространство с выбранным типом (Пользователь, Администратор комнаты, Полный администратор). По умолчанию выбран тип Пользователь. Пользователи могут получать доступ только к комнатам, в которые их пригласили администраторы, и не могут создавать собственные комнаты, папки или файлы. Выберите другой тип, чтобы предоставить больше прав. В противном случае вы можете изменить тип вручную в разделе Контакты.

  8. Включите переключатель Членство в группе, если хотите добавить группы с LDAP-сервера в рабочее пространство, и заполните необходимые поля:

    Обратите внимание

    Обратите внимание: если вы решите добавить группы, будут добавлены только пользователи, принадлежащие хотя бы к одной группе.

    Настройки LDAP - группы

    Внимание

    Обратите внимание: если вы уже импортировали некоторых пользователей и изменили некоторые настройки (например, Сервер, Фильтр пользователей, DN пользователя, Фильтр групп, DN группы), существующие пользователи и все их данные, включая документы, электронную почту и т. д., не соответствующие новым настройкам, будут ОТКЛЮЧЕНЫ. Настоятельно рекомендуем создать резервную копию перед изменением любых настроек.

    • в поле DN группы (Group Distinguished Name) укажите абсолютный путь к каталогу верхнего уровня, содержащему группы, которые вы хотите импортировать, например ou=Groups,dc=example,dc=com.

    • заполните поле Фильтр групп, если необходимо импортировать группы, соответствующие указанным критериям поиска. Значение фильтра по умолчанию (objectClass=posixGroup) или (objectClass=group) позволяет импортировать все группы.

    • следующие параметры заданы по умолчанию, но при необходимости их можно изменить:

      • Атрибут пользователя (атрибут, определяющий, является ли этот пользователь членом групп)
      • Атрибут названия группы (атрибут, соответствующий названию группы, в которую входит пользователь)
      • Атрибут группы (атрибут, указывающий пользователей, которых включает группа)
      Обратите внимание

      Для OpenLDAP Server используйте следующие настройки:

      • Фильтр групп — (objectClass=posixGroup)
      • Атрибут пользователя — uid
      • Атрибут группы — memberUid

      Для Active Directory используйте следующие настройки:

      • Фильтр групп — (objectClass=group)
      • Атрибут пользователя — distinguishedName
      • Атрибут группы — member

  9. Включите переключатель Аутентификация, если у текущего пользователя Windows нет прав на чтение с LDAP-сервера/Active Directory. В полях Логин и Пароль введите учетные данные пользователя, имеющего права на чтение данных с LDAP-сервера (по умолчанию задаются логин и пароль текущего сеанса Windows).

  10. Установите флажок Отправить приветственное письмо в разделе Дополнительные параметры, если хотите отправить приглашения по электронной почте всем новым пользователям. Приветственное сообщение содержит кнопку, позволяющую пользователям перейти на страницу входа в рабочее пространство и активировать адрес электронной почты. Этот параметр доступен только в том случае, если настроено сопоставление атрибута почты.

  11. Установите флажок Отключить проверку электронной почты в разделе Дополнительные параметры, если хотите отключить активацию электронной почты для пользователей LDAP. Если этот флажок установлен, пользователям LDAP не нужно будет подтверждать свой адрес электронной почты после первой авторизации в рабочем пространстве.

  12. Нажмите кнопку Сохранить. Чтобы вернуть форму к значениям по умолчанию, используйте расположенную рядом кнопку Настройки по умолчанию.

  13. В появившемся окне Confirmation of import нажмите кнопку ОК, чтобы начать импорт пользователей.

Процесс импорта займет некоторое время в зависимости от количества пользователей, групп, характеристик компьютера и т. д.

Обратите внимание

Обратите внимание: адрес электронной почты пользователя рабочего пространства будет взят из настройки Атрибут почты. Если он отсутствует, он будет сформирован следующим образом: Атрибут логин + @ + домен LDAP.

  • Если в рабочем пространстве уже есть ранее созданный пользователь с таким адресом электронной почты, этот пользователь будет автоматически синхронизирован с пользователем LDAP.
  • Если такого адреса электронной почты нет, пользователь не будет получать уведомления рабочего пространства.

Есть некоторые особенности:

  • изменение прав доступа через LDAP не влияет на владельца рабочего пространства;
  • если владелец рабочего пространства был исключен из фильтра пользователей/групп, он перестает быть пользователем LDAP, но всегда остается активным;
  • при отключении LDAP все права доступа, предоставленные пользователям через LDAP, отзываются;
    • если пользователь, отключивший LDAP, должен лишиться прав администратора, его права администратора не затрагиваются, и пользователь получает уведомление;
  • если пользователь был исключен из фильтра пользователей/групп, он остается активным и получает уведомление о том, что пароль LDAP больше не действует и его необходимо изменить на странице настроек профиля;
  • если пользователь пытается лишить себя прав администратора (как через настройки прав доступа, так и исключив себя из фильтра пользователей/групп), его права администратора не затрагиваются, и пользователь получает уведомление.

Аутентификация пользователей LDAP​

Каждый импортированный пользователь сможет входить в рабочее пространство с помощью логина, сформированного по одной из следующих схем:

  • Атрибут логин, например Andrew.Stone
  • Атрибут логин + @ + домен LDAP, например Andrew.Stone@example.com
  • Домен LDAP + \ + атрибут логин (поддерживаются неполные доменные имена), например example\Andrew.Stone

На странице авторизации доступен параметр Sign in to domain, позволяющий передавать пароль в явном виде. Пользователи рабочего пространства вне домена могут снять этот флажок. В таком случае пароль будет передаваться в хэшированном виде.

Импортированные профили пользователей в разделе Контакты будут отмечены для администраторов рабочего пространства значком Значок LDAP. Поля профиля пользователя, импортированные с помощью LDAP, заблокированы для редактирования, за исключением Тип пользователей и Пользовательская квота, указанных как начальные.

Синхронизация данных LDAP​

Если вы изменяете данные на своем LDAP-сервере (например, добавляете новых пользователей/группы, переименовываете существующие группы или редактируете информацию в записи пользователя), вы можете легко синхронизировать данные рабочего пространства с новой информацией с вашего LDAP-сервера.

Настройки LDAP - синхронизация данных LDAP

Чтобы настроить параметры синхронизации, перейдите в раздел Синхронизировать данные LDAP, включите переключатель Автосинхронизация и задайте нужное время автоматической синхронизации: вы можете синхронизировать данные каждый час в указанные минуты, каждый день в указанное время, а также каждую неделю или месяц в указанный день и время. Нажмите Сохранить, чтобы применить настройки. Также можно синхронизировать данные вручную, нажав кнопку Синхронизировать пользователей в разделе Синхронизировать данные LDAP внизу страницы. Либо вы можете использовать кнопку Сохранить под разделом Настройки LDAP.

Информация об отдельном пользователе также будет синхронизироваться после его входа в рабочее пространство.