Active Directory

Интеграция Active Directory (AD) с ServiceDesk Plus позволяет импортировать сведения о пользователях с сервера Active Directory в ServiceDesk Plus, настроить импорт по расписанию, синхронизацию удалённых пользователей и аутентификацию AD.

Необходимая роль: SDOrgAdmin

Для настройки параметров AD в средах ESM перейдите в Каталог ESM (ESM Directory) > Пользователи (Users) > Active Directory.

Быстрые ссылки

• Пароль локальной аутентификации импортированных пользователей
• Импорт пользователей
• Импорт пользователей по расписанию
• Синхронизация удалённых пользователей Active Directory
• Настройка аутентификации AD
• Предварительные требования для LDAP SSL

Пароль локальной аутентификации импортированных пользователей

Для пользователей, импортируемых из AD, можно задать стандартный пароль локальной аутентификации. Они могут изменить его после первого входа.

Чтобы задать пароль локальной аутентификации на странице настройки Active Directory:

1. Наведите указатель на поле Пароль локальной аутентификации (Local Authentication Password) и нажмите Изменить (Edit).
2. Можно создавать случайный пароль для каждого пользователя или задать один предварительно определённый пароль для всех.
3. Нажмите Сохранить (Save).

Пользователи получают сведения о пароле на свой адрес электронной почты для входа. Уведомления настраиваются в разделе ESM > Общие настройки (General Settings) > Правила уведомлений (Notification Rules) > Отправить данные входа в портал самообслуживания (Send Self-Service Login details).

Импорт пользователей из Active Directory

Пользователей можно импортировать из любого домена Active Directory и его организационных подразделений (OU). По умолчанию используется протокол LDAP и порт 389.

НажмитеИмпорт пользователей (Import User(s)) на странице настройки Active Directory. Настройте всплывающее окноИмпорт из Active Directory (Import From Active Directory) по следующим указаниям.

*Обозначает обязательные поля

Нажмите Далее (Next).

В мастере импорта выберите OU или введите имена групп домена для импорта пользователей. Пользователей также можно добавить вручную.

• Для выбора OU установите флажок OU . Отметьте нужные OU для импорта пользователей.
• Для выбора групп AD установите флажок Группа (Group) . Введите sAMAccountName групп в текстовое поле через запятую.

Нажмите Импортировать сейчас (Import Now). Если импорт AD по расписанию включён, пользователей можно импортировать позднее, выбрав Сохранить и импортировать по расписанию (Save and Import in Schedule).

Импортированные пользователи отображаются в списке пользователей в разделе Каталог ESM (ESM Directory) > Пользователи (Users). В списке можно выполнять дальнейшие действия, например изменять сведения или связывать рабочие станции.

SDOrgAdmin получают результаты импорта через уведомления колокольчика:

• При немедленном импорте уведомление содержит число добавленных, перезаписанных и неудачно импортированных записей.
• При импорте по расписанию уведомление отправляется после его выполнения.
• Недопустимые имена групп сообщаются вместе с результатами текущего импорта и в виде баннера при следующем импорте.
• Если выбраны и OU, и группы, число импортированных пользователей отслеживается отдельно для OU и групп. Пользователь, присутствующий в OU и группе, учитывается дважды.
• Сообщается общее число пользователей выбранных OU и групп.

Импорт AD по расписанию

Регулярный импорт Active Directory поддерживает синхронизацию хранилища пользователей с AD. Данные всех доменов приложения импортируются через заданное число дней. Пользователи и их сведения синхронизируются с ServiceDesk Plus двумя способами:

• Полная синхронизация (Full Sync) — Синхронизирует все данные пользователей.
• Синхронизация изменений (Delta Sync) — Синхронизирует изменённые сведения и новые учётные записи каждые 30 минут.

Для настройки расписания импорта:

1. Наведите указатель на поля расписания импорта (Import Schedule) и нажмите Изменить (Edit).
2. Включите параметр Импортировать AD каждые (Schedule AD import once in every) и задайте период импорта.
3. Укажите дату и время начала расписания.
4. Нажмите Сохранить (Save).

Сведения пользователей доменов импортируются через указанное число дней после даты и времени начала. Изменения данных обновляются каждые 30 минут. В разделе Import Schedule можно посмотреть время последнего импорта и следующего запуска.

Критерии перезаписи учётных записей при импорте пользователей Active Directory:

При импорте пользователей из Active Directory:

Критерий 1:ObjectGUID — если ObjectGUID учётной записи в ServiceDesk Plus совпадает с учётной записью в Active Directory, запись ServiceDesk Plus перезаписывается.

Критерий 2:Имя входа и домен — если имя входа и домен учётной записи в ServiceDesk Plus совпадают с учётной записью Active Directory, запись ServiceDesk Plus перезаписывается.

Критерий 3:Адрес электронной почты — если параметр 'Override based on EmailId' включён в разделе Каталог ESM (ESM Directory) > Настройки приложения (Application Settings) и адрес электронной почты учётной записи ServiceDesk Plus совпадает с учётной записью Active Directory, запись ServiceDesk Plus перезаписывается.

Критерий 4:Имя входа и домен '-' (не связан) — если учётная запись ServiceDesk Plus содержит имя входа и адрес электронной почты без связи с доменом, а имя входа совпадает с учётной записью Active Directory, запись ServiceDesk Plus перезаписывается.

При импорте из AD ObjectGUID пользователя используется как уникальный идентификатор для обновления сведений в ServiceDesk Plus. Если ObjectGUID не совпадает ни с одним пользователем ServiceDesk Plus:

Синхронизация удалённых пользователей Active Directory



Этот параметр синхронизирует удалённых пользователей Active Directory с ServiceDesk Plus. Синхронизацию удалений можно запланировать после ручного импорта пользователей.

После синхронизации отображается список удалённых пользователей. В зависимости от типа пользователя их можно удалять из списка следующим образом:

• заявителей — Для пользователей, не являющихся специалистами, можно включить автоматическое удаление. При удалении заявителя из Active Directory он также удаляется из ServiceDesk Plus.
• Специалисты (Technicians) — Удалённых специалистов можно проверить в списке и удалить вручную. Автоматическое удаление для специалистов недоступно.

Для настройки синхронизации удалений:

1. Наведите указатель на флажокСинхронизировать удалённых пользователей Active Directory (Sync Deleted User(s) from Active Directory) и нажмите Изменить (Edit).
2. Выберите автоматическое или ручное удаление. Даже при автоматическом способе удалённые специалисты не удаляются автоматически.
3. Для периодической синхронизации удалённых пользователей включите параметр Синхронизировать удаления каждые (Schedule delete sync once in every) .
4. Укажите периодичность синхронизации.
5. Введите дату и время начала синхронизации удалённых пользователей.
6. Нажмите Сохранить (Save).

После настройки расписания время последнего импорта и следующего запуска отображается в разделе синхронизации удалённых пользователей (Sync Deleted Users).

Если включено ручное удаление, ссылка на список удалённых пользователей отображается как примечание в верхней части страницы настройки Active Directory. Откройте список по ссылке и проверьте пользователей перед их удалением из ServiceDesk Plus.

Аутентификация Active Directory

Вход пользователей в ServiceDesk Plus можно аутентифицировать через Active Directory двумя способами:

Вход с учётными данными AD:

Позволяет пользователям входить в ServiceDesk Plus с системными именем входа и паролем.

1. Наведите указатель на Аутентификация Active Directory (Active Directory Authentication) и нажмите Изменить (Edit).
2. Установите флажок Включить аутентификацию Active Directory (Enable Active Directory Authentication) .
3. Нажмите Сохранить (Save).

На экране входа пользователи указывают системные или AD-учётные данные и выбирают Домен (Domain) для входа в ServiceDesk Plus. Чтобы обойти аутентификацию AD, выберите Локальная аутентификация в списке Домен (Domain) и укажите учётные данные локальной аутентификации.

Единый вход (SSO) с учётными данными AD:

SSO предоставляет мгновенный доступ к ServiceDesk Plus без ввода учётных данных. Пользователи автоматически аутентифицируются через поставщика удостоверений (IdP). SSO для пользователей AD можно включить в разделе SAML , настроив ADFS как IdP. Подробнее — здесь.

• Предварительные требования для LDAP SSL

По умолчанию обмен LDAP между клиентскими и серверными приложениями не шифруется. Это делает его уязвимым для устройств и программ сетевого мониторинга. ServiceDesk Plus использует LDAP SSL для защиты обмена между сервером AD и сервером ServiceDesk Plus.

Для настройки LDAP SSL на сервере AD выполните следующие предварительные требования:

• Убедитесь, что FQDN сервера доступно с клиентского компьютера ServiceDesk Plus. Иначе добавьте запись узла в файл hosts на этом компьютере.
• Для использования сертификата LDAP SSL установите Active Directory Certificate Services, как описано в эту документацию.
• Включите поддержку LDAP over SSL на сервере AD. Нажмите здесь , чтобы узнать порядок действий.
• Сертификат LDAPS, импортированный на сервер AD на предыдущем шаге , нужно получить и импортировать на клиентский компьютер — сервер ServiceDesk Plus — в папку Personal следующим образом:
  • Нажмите Пуск (Start)и введите mmc, ; затем нажмите ОК.
  • Нажмите Файл (File) и выберите Добавить/удалить оснастку (Add/Remove Snap-in).
  • Выберите Сертификаты (Certificates) , затем Добавить (Add).
  • В оснастке Сертификаты (Certificates) выберите учётную запись Компьютер (Computer) и нажмите Далее (Next).
  • На странице хранилища сертификатов нажмите правой кнопкой мыши Личное (Personal) > Импорт сертификата (Import certificate), импортируйте сертификат LDAP из скопированной папки и укажите пароль, заданный при создании сертификата.
• Импортируйте сертификат корневого центра сертификации в Trusted Root Certificate Authority, чтобы клиентский компьютер ServiceDesk Plus доверял сертификату LDAP. Это необходимо, поскольку по умолчанию импортированные сертификаты LDAP не являются доверенными между доменами.
  • Откройте веб-консоль центра сертификации: https://<CA Server>/certsrv и укажите учётные данные администратора. Если URL недоступен, установите Certificate Enrollment Web Service по инструкциям этого руководства.
  • В консоли нажмите Скачать сертификат CA, цепочку сертификатов или CRL (Download a CA certificate, certificate chain, or CRL).
  • На следующей странице нажмите Скачать сертификат CA (Download CA certificate) и сохраните сертификат.
  • Импортируйте скачанный сертификат CA в Доверенные корневые центры сертификации (Trusted Root Certificate Authority) следующим образом:
    • Нажмите Пуск (Start)и введите mmc, ; затем нажмите ОК.
    • Нажмите Файл (File) и выберите Добавить/удалить оснастку (Add/Remove Snap-in).
    • Выберите Сертификаты (Certificates) , затем Добавить (Add).
    • В оснастке Сертификаты (Certificates) выберите учётную запись Компьютер (Computer) и нажмите Далее (Next).
    • На странице хранилища сертификатов нажмите правой кнопкой мышиДоверенные корневые центры сертификации (Trusted Root Certificate Authority) и импортируйте указанный сертификат.

Изменения поведения после обновления до 12000

• Расписания AD и LDAP теперь выполняются независимо; их необходимо настраивать отдельно.
• Сведения, обновлённые в Active Directory, отражаются в ServiceDesk Plus через Delta Sync. Этот запуск выполняется через 30 минут после завершения предыдущего импорта по расписанию.
• Delta Sync можно включить только при включённой Full Sync.
• Синхронизация удалённых пользователей настраивается отдельно от расписания импорта пользователей.
• SDOrgAdmin в конфигурациях ESM и SDAdmin в конфигурациях без ESM получают сведения об успехах и ошибках импорта через колокольчик.
• Защищённый протокол LDAP можно включить при импорте пользователей из AD. При включённом LDAP SSL ServiceDesk Plus подключается к AD через порт 636.
• Для динамического добавления пользователей после включения аутентификации AD нужно хотя бы один раз настроить сведения и атрибуты домена в окне импорта пользователей (Import Users).