Active Directory

Интеграция Active Directory (AD) с ServiceDesk Plus позволяет импортировать сведения о пользователях с сервера Active Directory, настроить импорт по расписанию, синхронизацию удалённых пользователей и аутентификацию AD.

 

Необходимая роль: SDAdmin

 

Для настройки AD в конфигурациях без ESM перейдите в Администрирование (Admin) > Пользователи (Users) > Active Directory.

Быстрые ссылки

• Пароль локальной аутентификации импортированных пользователей
• Импорт пользователей
• Импорт пользователей по расписанию
• Синхронизация удалённых пользователей Active Directory
• Настройка аутентификации AD
• Настройка запрета чтения (Deny-Read) в AD для удаления отключённых пользователей
• Предварительные требования для LDAP SSL

Пароль локальной аутентификации импортированных пользователей

Для пользователей, импортируемых из AD, можно задать стандартный пароль локальной аутентификации. Они могут изменить его после первого входа.

 

Чтобы задать пароль локальной аутентификации на странице настройки Active Directory:

1. Наведите указатель на поле Пароль локальной аутентификации (Local Authentication Password) и нажмите Изменить (Edit).
2. Можно создавать случайный пароль для каждого пользователя или задать один предварительно определённый пароль для всех.
3. Нажмите Сохранить (Save).

 

 

Сведения о пароле отправляются пользователям в письмах с данными входа. Настроить уведомления можно в Администрирование (Admin) > Настройка службы поддержки (Helpdesk Customizer) > Правила уведомлений (Notification Rules) > Заявки (Requests) > Отправить данные входа в портал самообслуживания (Send Self-Service Login details).

Импорт пользователей из Active Directory

Пользователей можно импортировать из любого домена Active Directory и его организационных подразделений (OU). По умолчанию используется протокол LDAP и порт 389.

 

Нажмите Импорт пользователей (Import User(s)) на странице настройки Active Directory. Настройте всплывающее окно Импорт из Active Directory (Import From Active Directory) по следующим указаниям.

Имя поля	Описание
Имя домена (Domain Name)*	Выберите домен для импорта пользователей.   Если контроллер домена и учётные данные домена уже указаны в сканировании доменов Windows (Windows Domain Scan), поля Domain Controller и Login автоматически заполняются при выборе домена.
Контроллер домена (Domain Controller)*	Укажите контроллер домена, предоставляющий доступ к ресурсам выбранного домена.
Имя входа (Login Name)*	Введите имя входа вашей учётной записи в выбранном домене.
Пароль (Password)*	Введите пароль этой учётной записи.
LDAP SSL	переключатель LDAP SSL для защищённого обмена между ServiceDesk Plus и Active Directory через порт 636. Перед включением убедитесь, что Active Directory поддерживает SSL.
Выбор полей для импорта (Select fields for import)	Выберите стандартные поля пользователя для импорта из Active Directory. Для точного сопоставления укажите рядом с каждым выбранным полем его имя в Active Directory. Если пользователь уже существует в ServiceDesk Plus, стандартные поля перезаписываются значениями AD. Чтобы избежать этого, снимите выбор соответствующих полей при импорте. Если значение поля в AD равно null, поле в ServiceDesk Plus не обновляется.
Выбор UDF для импорта (Select UDF for import)	Если в ServiceDesk Plus настроены дополнительные поля пользователей, выберите необходимые UDF. Укажите рядом с каждым выбранным полем его имя в Active Directory для сопоставления. Если дополнительные поля ещё не настроены, используйте ссылку Нажмите здесь для настройки (Click here to configure) . Откроется страница дополнительных полей пользователей для настройки полей, импортируемых из Active Directory. Числовые дополнительные поля содержат до 19 цифр. Для значений длиннее 19 цифр используйте текстовое поле.
Перемещать связанные активы (Move associated assets)	Если в Active Directory меняется площадка пользователя или отдела, принадлежащие им активы также должны переместиться на новую площадку. Для обновления этих сведений при каждом импорте выберите Перемещать связанные активы (Move associated assets).
Обновлять пустые значения (Update empty values)	Включите параметр для импорта и обновления данных <empty> из Active Directory. Например, при включённом параметре данные пользователя Имя (First Name): Admin изменённые на Имя (First Name): <empty> в Active Directory, обновляются в приложении. Если параметр отключён, данные Имя (First Name): <empty> не обновляются, и прежние значения сохраняются.

*Обозначает обязательные поля

 

Нажмите Далее (Next).

 

 

В мастере импорта можно выбрать OU или ввести имена групп домена для импорта пользователей. Пользователей также можно добавить вручную.

• Для выбора OU установите флажок OU . Отметьте нужные OU для импорта пользователей.
• Для выбора групп AD установите флажок Группа (Group) . Введите sAMAccountName групп в текстовое поле через запятую.

 

 

 

Нажмите Импортировать сейчас (Import Now). Если импорт AD по расписанию включён, пользователей можно импортировать позднее, выбрав Сохранить и импортировать по расписанию (Save and Import in Schedule).

 

Импортированные пользователи отображаются в списке пользователей в разделе Администрирование (Admin) > Пользователи (Users). В списке можно выполнять дальнейшие действия: изменять сведения, связывать рабочие станции и т. д.

 

SDAdmin получают результаты импорта через колокольчик:

• При немедленном импорте уведомление содержит число добавленных, перезаписанных и неудачно импортированных записей.
• При импорте по расписанию уведомление отправляется после его выполнения.
• Недопустимые имена групп сообщаются вместе с результатами текущего импорта и в виде баннера при следующем импорте.
• Если выбраны и OU, и группы, число импортированных пользователей отслеживается отдельно для OU и групп. Пользователь, присутствующий в OU и группе, учитывается дважды.
• Сообщается общее число пользователей выбранных OU и групп.

 

Импорт AD по расписанию

Регулярный импорт Active Directory поддерживает синхронизацию хранилища пользователей с AD. Данные всех доменов приложения импортируются через заданное число дней. Пользователи и их сведения синхронизируются с ServiceDesk Plus двумя способами:

• Полная синхронизация (Full Sync) — Синхронизирует все данные пользователей.
• Синхронизация изменений (Delta Sync) — Синхронизирует изменённые сведения и новые учётные записи каждые 30 минут.

 

Для настройки расписания импорта:

1. Наведите указатель на Расписание импорта (Import Schedule) и нажмите Изменить (Edit).
2. Включите параметр Импортировать AD каждые (Schedule AD import once in every) и задайте период импорта.
3. Укажите дату и время начала расписания.
4. Нажмите Сохранить (Save).

 

 

Сведения пользователей доменов импортируются через указанное число дней после даты и времени начала. Изменения обновляются каждые 30 минут. В разделе Import Schedule доступны время последнего импорта и следующего запуска.

 

 

 

Критерии перезаписи учётных записей при импорте пользователей Active Directory:

При импорте пользователей из Active Directory:

 

Критерий 1:ObjectGUID — если ObjectGUID учётной записи ServiceDesk Plus совпадает с учётной записью Active Directory, запись ServiceDesk Plus перезаписывается.

 

Критерий 2:Имя входа и домен — если имя входа и домен учётной записи ServiceDesk Plus совпадают с учётной записью Active Directory, запись ServiceDesk Plus перезаписывается.

 

Критерий 3:Адрес электронной почты — если параметр 'Override based on EmailId' включён в разделе Каталог ESM (ESM Directory) > Настройки приложения (Application Settings) и адрес электронной почты учётной записи ServiceDesk Plus совпадает с учётной записью Active Directory, запись ServiceDesk Plus перезаписывается.

 

Критерий 4:Имя входа и домен '-' (не связан) — если учётная запись ServiceDesk Plus содержит имя входа и электронную почту без связи с доменом, а имя входа совпадает с учётной записью AD, запись ServiceDesk Plus перезаписывается.

 

При импорте из AD ObjectGUID пользователя используется как уникальный идентификатор для обновления сведений в ServiceDesk Plus. Если ObjectGUID не совпадает ни с одним пользователем ServiceDesk Plus:

Синхронизация удалённых пользователей Active Directory



Этот параметр синхронизирует удалённых пользователей AD с ServiceDesk Plus. Синхронизация удалений выполняется после ручного импорта.

 

После синхронизации отображается список удалённых пользователей. В зависимости от типа пользователя их можно удалять из списка следующим образом:

• заявителей — Для пользователей, не являющихся специалистами, можно включить автоматическое удаление. При удалении заявителя из Active Directory он также удаляется из ServiceDesk Plus.
• Специалисты (Technicians) — Удалённых специалистов можно проверить в списке и удалить вручную. Автоматическое удаление для специалистов недоступно.

 

Для настройки синхронизации удалений:

1. Наведите указатель на поле Синхронизировать удалённых пользователей Active Directory (Sync Deleted User(s) from Active Directory) и нажмите Изменить (Edit).
2. Выберите автоматическое или ручное удаление. Даже при автоматическом способе удалённые специалисты не удаляются автоматически.
3. Для периодической синхронизации удалённых пользователей включите параметр Синхронизировать удаления каждые (Schedule delete sync once in every) .
4. Укажите периодичность синхронизации.
5. Введите дату и время начала синхронизации удалённых пользователей.
6. Нажмите Сохранить (Save).

 

 

После настройки расписания время последнего импорта и следующего запуска отображается в разделе синхронизации удалённых пользователей (Sync Deleted Users).

 

 

Если включено ручное удаление, ссылка на список удалённых пользователей отображается как примечание в верхней части страницы настройки Active Directory. Откройте список по ссылке и проверьте пользователей перед их удалением из ServiceDesk Plus.

Аутентификация Active Directory

Вход пользователей в ServiceDesk Plus можно аутентифицировать через Active Directory двумя способами:

 

Вход с учётными данными AD:

Позволяет пользователям входить в ServiceDesk Plus с системными именем входа и паролем.

1. Наведите указатель на Аутентификация Active Directory (Active Directory Authentication) и нажмите Изменить (Edit).
2. Установите флажок Включить аутентификацию Active Directory (Enable Active Directory Authentication) .
3. Нажмите Сохранить (Save).

На экране входа пользователи указывают системные или AD-учётные данные и выбирают Домен (Domain) для входа в ServiceDesk Plus. Чтобы обойти аутентификацию AD, выберите Локальная аутентификация в списке Домен (Domain) и укажите учётные данные локальной аутентификации.

 

 

Единый вход (SSO) с учётными данными AD:

SSO предоставляет мгновенный доступ к ServiceDesk Plus без ввода учётных данных. Пользователи автоматически аутентифицируются через поставщика удостоверений (IdP). SSO для пользователей AD можно включить в разделе SAML , настроив ADFS как IdP. Подробнее — здесь.

 

 

Настройка запрета чтения (Deny-Read) в AD для удаления отключённых пользователей

Из соображений безопасности клиенты хотят удалить пользователей ServiceDesk Plus, отключённых в AD. Даже без доступа к домену они сохраняют доступ через другие механизмы аутентификации. Сейчас процесса одновременного удаления таких пользователей нет, но доступно следующее обходное решение:

 

Шаг 1: Переместите отключённых пользователей в отдельное OU.

Шаг 2: Убедитесь, что это OU не выбрано для импорта в ServiceDesk Plus/Asset Explorer.

Шаг 3: Настройте запрет чтения для OU.

Шаг 4: Импортируйте пользователей для проверки настройки.

 

Рассмотрим подробно шаг 3.

 

Организационные подразделения (OU) AD позволяют логически группировать объекты: пользовательские, служебные и компьютерные учётные записи. Этим записям назначаются права доступа для управления объектами OU.

 

Далее описана настройка полного запрета для OU после перемещения в него отключённых пользователей.

 

Права OU наследуются дочерними объектами. Однако явно заданные права дочернего объекта переопределяют наследуемые. Поэтому полный запрет родительского OU может не действовать на дочерние объекты. В таких случаях нужно удалить явные разрешения.

 

В AD используется следующий порядок приоритетов:

 

 

Рассмотрим настройку разрешения Запрет чтения (Deny-Read) для OU, чтобы отключённые пользователи удалялись при синхронизации удалённых пользователей (Deleted Users Sync) или не импортировались при импорте пользователей AD.

 

В примере используется следующая структура OU:

 

Сначала ограничьте доступ служебной учётной записи к OU Disabled Users : нажмите OU правой кнопкой мыши и выберите Свойства (Properties). Затем перейдите на вкладку Безопасность (Security) , как показано ниже:

Правой кнопкой мыши нажмите OU > Свойства (Properties) > Безопасность (Security). Затем установите флажок Полный доступ (Full control) > Запретить (Deny) .

 

 

Если её нет в списке, нажмите Добавить (Add) , чтобы включить запись в список, как показано ниже:

 

 

Права наследуются пользователями OU Disabled Users, но не его дочерними OU Departments или Finance.

 

Чтобы права Disabled Users автоматически наследовались OU Design и Finance и их пользователями, нажмите кнопку Дополнительно (Advanced) .

 

Затем перейдите в Разрешения (Permissions) и проверьте права служебной учётной записи для Disabled Users.

 

В открывшемся окне можно изменить тип разрешения и его область действия.

 

По умолчанию область разрешения ограничена только объектом. Откройте список Применять к (Applies to) и выберите Этот объект и все дочерние объекты (This Object and All Descendant Objects) , чтобы права наследовались дочерними OU и их пользователями.

 

 

 

Проверьте настройку в параметрах безопасности конкретных дочерних OU. На следующем снимке экрана она задана для OU Design:

 

 

Проверим, удаляет ли запрет чтения отключённых пользователей.

Сначала импортируйте пользователей OU Finance и Design. При ручном импорте укажите правильное имя входа и НЕ нажимайте Enter после него.

OU Design содержит Lisa Arm, а OU Finance — Howard Stern, как показано ниже:

 

                        

 

 

После импорта получены следующие результаты:

 

 

Из двух пользователей, alisa и howard, импортирован один. Настройка удаления сработала для Lisa Arm из Design, но не для Howard Stern из Finance. Howard Stern импортирован из-за явных разрешений OU Finance.

 

Для удаления явных разрешений перейдите в Finance > Свойства (Properties) > Безопасность (Security).

 

Найдите явные разрешения — в данном случае authenticated users — и удалите их, как показано ниже:

 

 

Пользователи будут удалены только при следующей запланированной синхронизации удалённых пользователей (Deleted Users Sync).  

Предварительные требования для LDAP SSL

По умолчанию обмен LDAP между клиентскими и серверными приложениями не шифруется, что делает его уязвимым для устройств и программ сетевого мониторинга. ServiceDesk Plus использует LDAP SSL для защиты обмена между сервером AD и сервером ServiceDesk Plus.

Для настройки LDAP SSL на сервере AD выполните следующие предварительные требования:

• Убедитесь, что FQDN сервера доступно с клиента. Иначе добавьте запись узла в файл hosts клиентского компьютера.
• Для использования сертификата LDAP SSL установите Active Directory Certificate Services, как описано в эту документацию.
• Включите поддержку LDAP over SSL на сервере AD. Нажмите здесь , чтобы узнать порядок действий.
• Сертификат LDAPS, импортированный на сервер AD на предыдущем шаге , нужно получить и импортировать на клиентский компьютер — сервер ServiceDesk Plus — в папку Personal следующим образом:
  • Нажмите Пуск (Start)и введите mmc, и нажмите ОК.
  • Нажмите Файл (File) и выберите Добавить/удалить оснастку (Add/Remove Snap-in).
  • Выберите Сертификаты (Certificates) и нажмите Добавить (Add).
  • В окне Сертификаты (Certificates) выберите учётную запись Компьютер (Computer) и нажмите Далее (Next).
  • На странице хранилища сертификатов нажмите правой кнопкой мыши Личное (Personal) > Импорт сертификата (Import certificate), импортируйте сертификат LDAP из скопированной папки и укажите пароль, заданный при создании сертификата.
• Импортируйте сертификат корневого центра сертификации в Trusted Root Certificate Authority, чтобы клиент доверял сертификату LDAP. Это необходимо, поскольку по умолчанию импортированные сертификаты LDAP не являются доверенными между доменами.
  • Откройте веб-консоль центра сертификации: https://<CA Server>/certsrv и укажите учётные данные администратора. Если URL недоступен, установите Certificate Enrollment Web Service по инструкциям этого руководства.
  • В консоли нажмите Скачать сертификат CA, цепочку сертификатов или CRL (Download a CA certificate, certificate chain, or CRL).
  • На следующей странице нажмите Скачать сертификат CA (Download CA certificate) и сохраните сертификат.
  • Импортируйте скачанный сертификат CA в Доверенные корневые центры сертификации (Trusted Root Certificate Authority) следующим образом:
    • Нажмите Пуск (Start)и введите mmc, и нажмите ОК.
    • Нажмите Файл (File) и выберите Добавить/удалить оснастку (Add/Remove Snap-in).
    • Выберите Сертификаты (Certificates) и нажмите Добавить (Add).
    • В окне Сертификаты (Certificates) выберите учётную запись Компьютер (Computer) и нажмите Далее (Next).
    • На странице хранилища сертификатов нажмите правой кнопкой мышиДоверенные корневые центры сертификации (Trusted Root Certificate Authority) и импортируйте указанный сертификат.