Zobrazení zdroje stránky Synchronizace uživatelů s Active Directory (AD)

Uživatelé systémů Serie/M mohou být synchronizováni vůči Active Directory (AD). Zvláště v případě, kdy je využíváno [[Způsoby přihlašování do M/User|přihlášení přebírané z Windows]], při kterém není třeba zadávat jméno a heslo uživatele, je synchronizace s AD výhodná a doporučovaná.

Pro synchronizaci slouží aplikace MU_AD_synchro.exe. Synchronizace je jednosměrná směrem z AD do M/User, tzn. v AD se neprovádějí žádné změny.
Parametry spouštění se nastavují v INI souboru Serie_m.ini nebo Parent.ini v sekci [M/USER AD].

Synchronizace se spouští ve tvaru <br>
<p style="margin-left:30px;font-family: 'Lucida Console', Monaco, monospace">MU_AD_synchro.exe AD_Name AD_Password</p>
Parametry aplikace jsou uživatelské jméno a heslo z AD. Lze využít libovolný účet z AD, doporučuje se vytvořit speciální účet, který nemá povoleno přihlašování.


Všichni uživatelé, kteří byli založeni pomocí MU_AD_Synchro, mají u sebe uložen příznak ([[Atributy ve správě uživatelů M/User|atribut]] UserFromAD=True), který popisuje způsob jejich vytvoření. Uživatelé bez tohoto příznaku, tzn. "ručně" vytvoření, nebudou při synchronizaci bráni v potaz.


==Příklad nastavení parametrů v INI souboru==
<pre>
[M/USER AD]
synchfirm=KADEL
synchdepartment=IT
ADgroupForSynch=MTBUsers
ADserver=ADSERVERNAME
deleteroles=false
properties=givenName;mobile
pop3name=previous
pop3suffix=AD
synchuserswithoutfirstname=false 
createMUSERgroups=false
createMUSERtemplates=false
deactivateUsers=FALSE
synchByGUID=TRUE
createOU=FALSE
test=false
debugmode=false
Password=DontDelete
DefaultPassword=DefPass123
</pre>



==Popis jednotlivých klíčů==
<pre>ADServer</pre> Název serveru (případně IP adresa), na kterém je AD spuštěné.

<pre>ADGroupForSynch</pre> Skupina v AD, která se bude s M/User synchronizovat.

<pre>SynchFirm</pre> Název firmy, ve které se budou uživatelé vytvářet (v aplikaci M/User).

<pre>SynchDepartment</pre> Název oddělení, ve kterém se budou uživatelé standardně vytvářet (v závislosti na nastavení CreateOU).

<pre>CreateOU</pre>
Synchronizace uživatelů dle organizačních jednotek v AD, výchozí hodnota False<br>
True - uživatelé se budou zakládat v M/User dle organizačních jednotek v AD, uživatelé, kteří nejsou zařazeni do žádné OU, budou založeni v oddělení zadaném svým jménem v SynchDepartment<br>
False - uživatelé se budou zakládat nezávisle na organizačních jednotkách v AD do oddělení zadaného v SynchDepartment<br>

<pre>ADouSynch</pre> 
Bude se prohledávat pouze uvedená organizační jednotka a její podsložky.<br>
Synchronizovat se budou uživatelé z této organizační jednotky, kteří mají přiřazenou skupinu ADGroupForSynch.<br>
Tato položka není povinná a pokud není nastavena, tak se prohledává celý strom organizačních jednotek.<br>
Pořadí v jakém mají být organizační jednotky uvedeny směrem od listů, tzn. že dle příkladu je SERVIS vnořen do KADEL: ADouSynch=OU=Servis,OU=KadeL<br>

<pre>DeleteRoles</pre>
Parametr určující, zda budou při synchronizaci uživatele smazány v M/User role, které neexistují jako skupiny v AD<br>
True - Role budou z M/User mazány<br>
False - Role budou v M/User ponechány<br>

<pre>Properties</pre> 
Standardně se přenášejí základní vlastnosti uživatele jako např. jméno, příjmení, login, email, atd. V případě požadavku na přenos jiných vlastností se jejich seznam uvede v tomto parametru. Jednotlivé klíče jsou odděleny středníkem. Přenesené vlastnosti se uloží jako atributy uživatele.

<pre>POP3Name</pre> 
Nastavení POP3 schránky pro uživatele, výchozí nastavení Login<br>
Emtpy - uživatelům toto pole vymaže<br>
Previous - nechá nastavenou předchozí hodnotu, tzn. POP3 jméno může být nastavováno z M/User, aniž by bylo při synchronizaci smazáno<br>
Login - uživatelům se nastaví stejné POP3 jméno, jako mají login v AD<br>

<pre>POP3Suffix</pre> 
Tvar adresy, ze které se budou odesílat maily. <br>
AD -  mailová adresa bude načtena z AD<br>
pro ostatní hodnoty bude e-mailová adresa vygenerována ve tvaru Login@POP3Suffix.cz<br>

<pre>Password</pre> 
Heslo do M/User, může nabývat hodnot Empty, FromParam, DontDelete<br>
Empty - smazání hesla do M/User<br>
FromParam - nastaví heslo do MTB podle třetího parametru, se kterým se volal MU_AD_Synchro.exe<br>
DontDelete - novému uživateli nastaví heslo dle klíče DefaultPassword, stávajícímu uživateli heslo nemění<br>

<pre>DefaultPassword</pre> 
Výchozí heslo pro nově přidané uživatele z AD<br>
Začíná-li zde uvedené heslo znakem '#', pak jde o zakryptované heslo! <br>
Pro získání zakryptovaného hesla kontaktujte servisní oddělení firmy KadeL, které Vám jej vytvoří nástrojem StringEncryption.<br>

<pre>SynchUsersWithoutFirstname</pre> 
Synchronizace uživatelů bez zadaného křestního jména v AD, výchozí hodnota True<br>
True - synchronizovat bez ohledu na to, zda je křestní jméno uživatele v AD zadané<br>
False - nesychronizovat uživatele, kteří nemají v AD zadané křestní jméno.<br>
Využívá se např. pro omezení synchronizace technických uživatelů uložených v AD.

<pre>CreateMUserGroups</pre> 
Zakládání SKUPIN v M/User dle skupin v AD, výchozí hodnota True<br>
True - z AD se budou přenášet skupiny a budou se podle nich zakládat skupiny v M/User<br>
False - nesychronizovat skupiny AD do M/User<br>

<pre>CreateMuserTemplates</pre> 
Zakládání ROLÍ v M/User dle skupin v AD, výchozí hodnota True<br>
True - z AD se budou přenášet skupiny a budou se podle nich zakládat role v M/User<br>
False - nesychronizovat skupiny AD s rolemi v M/User<br>

<pre>DeactivateUsers</pre> 
Mazání / deaktivace uživatelů v M/User, výchozí hodnota True<br>
True - uživatelé budou deaktivovaní v M/User, pokud již nejsou v AD<br>
False - !!!uživatelé budou VYMAZANÍ z M/User, pokud již nejsou v AD!!!<br>

<pre>SynchByGUID</pre> 
Synchronizace dle GUID zadaného v AD, výchozí hodnota False<br>
True - uživatelé jsou synchronizováni dle GUID zadaného v AD a GUID v M/User<br>
False - uživatelé jsou synchronizovaní dle uživatelského jména<br>
V případě, že nastavujete synchronizaci AD uživatelů společně s prvotní instalací celého systému, můžete zadat přímo hodnotu True. Pokud ale nasazujete synchronizaci AD uživatelů na již používaný M/User, je třeba ji nejprve spustit s parametrem False. Při této synchronizaci dojde k uložení uživatelských GUID z AD k již existujícím uživatelům v M/Useru. Teprve poté nastavte pravidelnou synchronizaci s parametrem True.

<pre>Test</pre> 
Test připojení k AD, výchozí hodnota False <br>
True - synchronizace s AD se neprovádí, pouze je vypsáno připojení k AD serveru pro ověření nastavení<br>
False - synchronizase M/User s AD se provádí bez omezení<br>

<pre>DontDelete</pre> 
Název role v M/User, jejíž uživatelé nebudou mazáni, tj. pokud uživatel má nastavenu tuto roli, nebude nikdy smazán.

<pre>ErrorLevel</pre> 
Nastavuje úroveň logování aplikace viz [[#Logování|Logování]]. Pokud klíč není uveden, loguje se podle klíče uvedeném v sekci [SERIE M/...].

==Logování==
Úroveň logování se nastavuje v klíči <code>Errorlevel</code>.<br>
<code>Errorlevel=4</code> nastaví logovaní informací o průběhu synchronizace.<br>
<code>Errorlevel=5</code> nastaví logovaní informací a podrobnosti (debugovací informace) o průběhu synchronizace.

==Příklad spuštění MU_AD_synchro.exe==
Spuštění synchronizace bez přenášení hesel pro pop3 účty:

<p style="margin-left:30px;font-family: 'Lucida Console', Monaco, monospace">MU_AD_synchro.exe ADjmeno ADheslo</p>


Spuštění synchronizace s generováním hesel pro POP3 účty:

Heslo pro pop3 účet bude vytvořeno sloučením uživatelského jména a kombinací znaků popsaných níže.
 
Aby nebyla část vašeho hesla viditelná lze soubor s údaji zakryptovat pomocí níže uvedeného postupu:
* do souboru MU_AD_synchro.vbs zapsat jako třetí parametr část Vašeho hesla (bez části, která je stejná jako uživatelské jméno)<br>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Např.: WshShell.Run "<font style="font-family: 'Lucida Console', Monaco, monospace">MU_AD_synchro.exe ADjmeno ADheslo 1234</font>"  (číslice 1234 nahraďte Vaší alternativou)<br>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Pro uživatele "strych" a klíč "POP3Suffix=kadel" pak bude nastaven POP3 účet "strych@kadel.cz" a heslo "strych1234" 
* spustit soubor Encrypt.bat ... dojde k vytvoření zakryptovaného souboru MU_AD_synchro.vbe
* pro bezpečnost smažte MU_AD_synchro.vbs