Синхронизация списка пользователей с LDAP-каталогом (AD)

Связанные статьи:

Настройка протокола Kerberos для использования доменной аутентификации в Linux

Включение LDAP аутентификации на портале (кнопка "Вход через Windows")

Настройка утилиты выполняется в следующей последовательности:

1. Настройка параметров запуска утилиты.
2. Настройка расписания в планировщике заданий.
   1. Настройка расписания в ОС Linux на примере задания на запуск утилиты синхронизации ОШС c AD/LDAP

Общая информация

1. Синхронизация сотрудников и подразделений из LDAP каталога со списками "Пользователи" и "Должности" в Vitro-CAD (версия MP) выполняется с помощью утилиты "Vitro.Server.OrgStructureLdap".
2. Корневой каталог утилиты - каталог, где располагается исполняемый файл утилиты.  Для примера, на системах с Windows это каталог: "c:\Program Files\Vitro Software\Vitro\Server\Tools\OrgStructureLdap\". 
3. Настройки располагаются в файле "org_structure_ldap.json" каталога расположения основных конфигурационных файлов (для Linux: /etc/Vitro/Server/Conf, для Windows: C:\Program Files\Vitro Software\Vitro\Server\Conf).
4. В файле "org_structure_ldap.json" можно указывать настройки для нескольких доменов синхронизации. 
   Mode

   [
   	{
   		// настройки синхронизации #1
   		"Mode": "Org",
   		...
   	},
   	{
    		// настройки синхронизации #2
   		"Mode": "List",
   		...
   	},
   	...
   	{
     		// настройки синхронизации #N
   		... 
   	}
   ]

5. Утилита записывает результаты работы в лог. Файлы логов размещаются в папке \logs корневого каталога утилиты. Имя файла лога формируется по маске "Sync-%date{yyyyMMdd-HHmm}.log", где date - текущая дата.

Настройка параметров запуска утилиты

Режим работы утилиты. Позволяет задавать разные подходы при построении дерева организационно-штатной структуры (ОШС).

"Mode": "Org" - режим по умолчанию. Дерево ОШС строится по атрибутам "Отдел" (включение пользователя в подразделение) и "Руководитель" (построение связей между подразделениями) на закладке "Организация" карточки пользователя в AD.
"Mode": "List" - пользователи синхронизируются без построения дерева ОШС, единым линейным списком. При этом, корневым подразделением этого списка, будет папка из параметра "ListRootDepartment" (см. ниже).

Для пользователей создаются функциональные группы (ФГ), которые соответствуют группам безопасности в AD. 
Внимание! Функциональные группы в Vitro-CAD создаются только для тех групп безопасности AD, в которых есть пользователи. Для пустых групп безопасности функциональный группы не создаются.
Если есть вложенные группы безопасности, то все пользователи из них выбираются рекурсивно, но при этом ФГ создается только для самой верхней (родительской) группы безопасности.
Значение по умолчанию: false.

"FunctionalGroup": false - не создавать ФГ
"FunctionalGroup": true - создавать ФГ

Указывается guid узла, в котором будут создаваться функциональные группы. Параметр не обязательный. По умолчанию, создаваемые ФГ будут размещаться в папке "Группы" ОШС.

"FunctionalGroupRoot": "3047412c-dc93-4852-be34-f7081f65a57d"

Имя домена.

"DomainName": "vitro"

Номер порта для подключения к LDAP каталогу. Для подключения к LDAPS используется порт с номером 636 или 3269.
Значение по умолчанию: 389. 

"PortNumber": 389

Контейнер AD, откуда будут браться данные для синхронизации.
Примечание: если в контейнере есть группы, то выбираются все участники группы, аналогично и для вложенных групп, т.е. рекурсивно.

"Container": "CN=Users,DC=vitro,DC=dev"

Имя пользователя для доступа к LDAP каталогу пользователей.

"LdapUserName": "LdapUser"

Пароль пользователя для доступа к LDAP каталогу пользователей.

"LdapPassword": "LdapUserPassword"

Тип аутентификации при подключении к LDAP каталогу пользователей.

"AuthType": "Negotiate" - для Windows
"AuthType": "Basic" - для Linux

Подключаться по SSL протоколу. Используется совместно с параметром PortNumber (порт 636 или 3269). 
Значение по умолчанию: false. 

"Ssl": false - не использовать подключение по SSL
"Ssl": true - использовать подключение по SSL

URL-адрес сайта Vitro, на котором размещены списки "Пользователи" и "Должности".

"WebUrl": "http://vitro"

Имя пользователя для доступа к веб-приложению Vitro.

"Login": "VitroUserLogin"

Пароль для доступа к веб-приложению Vitro.

"Password": "VitroUserPassword"

Атрибут, откуда брать ФИО пользователя. Параметр не обязательный, может быть пустой строкой или отсутствовать.
Если параметр не указан, то ФИО формируется по следующей по формуле: 
sn + " " + givenName + " " + middleName. Если полученное значение - пустая строка, то берется значение из атрибута "displayName".

"TitleField": "displayName"

Перечень OU (Organizational Unit), которые будут исключены из синхронизации. 
Значение по умолчанию: [] 

ExcludeOrgUnitList: "[excludeOU1;excludeOU2]"

Перечень групп безопасности и/или пользователей (атрибут "SamAccountName"), которые будут исключены из синхронизации.
Значение по умолчанию: []

ExcludePrincipalList: "[testGroup1;testUser1]"

Если у сотрудника в LDAP указан руководитель и подразделение руководителя = подразделению сотрудника, то добавлять сотрудника в узел руководителя, иначе сотрудник добавляется в узел подразделения.
Значение по умолчанию: false.

"AddPrincipalToDepartmentHeader": false - сотрудник добавляется в узел подразделения
"AddPrincipalToDepartmentHeader": true - сотрудник добавляется в узел руководителя

Подразделение, в которое помещаются сотрудники, у которых нет родительского подразделения. Параметр не обязательный, может быть пустой строкой или отсутствовать.

"DefaultDepartment": "_Без_подразделения"

Только для режима "Mode": "List"!
Корневое подразделение (папка) для синхронизируемого списка пользователей. Параметр не обязательный, может быть пустой строкой или отсутствовать.
Если параметр не указан, то используется параметр "DefaultDepartment", если и он не указан, то пользователи будут создаваться в корне списка "Пользователи".

"ListRootDepartment": "все пользователи"

Тестовый режим работы утилиты (без сохранения/модификации данных и с записью в лог). 
Значение по умолчанию false.

"IsTest": false - утилита работает в режиме синхронизации
"IsTest": true - утилита работает в режиме вывода в лог SP, синхронизация не выполняется

История изменений

25.1.39.15 (17.03.2025)

Добавлен новый параметр - FunctionalGroupRoot.

25.1.39.14 (14.03.2025)

Добавлен возможность синхронизации с несколькими доменами.

25.1.39.12 (09.12.2024)

При синхронизации поиск пользователей выполняется по атрибуту "objectGUID" (атрибут "ldap_object_guid"), если пользователь не найден, то поиск выполняется по атрибуту "mail" (атрибут "email"), при этом атрибут "ldap_object_guid" должен быть пустым.

25.1.39.11 (03.12.2024)

Файл "config.json" переименован в "org_structure_ldap.json" и перенесен в каталог расположения основных конфигурационных файлов (для Linux: /etc/Vitro/Server/Conf, для Windows: C:\Program Files\Vitro Software\Vitro\Server\Conf).

25.1.39.10 (21.11.2024)

Добавлены новые параметры "PortNumber", "Ssl" и "FunctionalGroup".

Удален режим работы "Mode": "Group" (заменен на флаг "FunctionalGroup").

Удален параметр "Action", как более не актуальный.

25.1.39.8 (13.11.2024)

Добавлен новый параметр "TitleField".

25.1.40.16 (05.06.2025)

Исправлена ошибка, при которой не проверялся на равенство тип элемента, при сравнении элементов из списка "Пользователи".