Le module Synchronisation Active Directory de Portail ZAPP crée et tient à jour les comptes des personnes de votre annuaire Active Directory (ou de tout annuaire LDAP), et l'appartenance de ces comptes aux groupes de l'application. La synchronisation va toujours dans un seul sens : de l'annuaire vers Portail ZAPP. Elle ne modifie jamais l'annuaire.
Les écrans sont réservés aux administrateurs. On y accède par Administration › Connecteurs et automatisation › Sync AD.
Les règles
La page Synchronisation Active Directory (/ad-sync) liste les règles de synchronisation. Une règle correspond à un annuaire : elle porte son serveur, son secret, ses sources, ses mappings et sa planification. Pour chaque règle, la liste affiche son statut (Active, Inactive ou Incomplète), sa planification et sa dernière synchronisation.
Nouvelle règle ouvre le formulaire ; Ouvrir affiche une règle existante.
Configurer la connexion
Le bloc Configuration LDAP d'une règle contient :
- Nom : unique parmi les règles ;
- Serveur LDAP/AD : nom d'hôte ou adresse IP, par exemple
ldap.example.com; - Port LDAP : 389 en standard, 636 en LDAPS ; Utiliser LDAPS (SSL/TLS) chiffre la connexion. Un avertissement s'affiche si le port et la case LDAPS ne concordent pas, ou si la connexion n'est pas chiffrée (le mot de passe de liaison circulerait alors en clair) ;
- Compte de connexion AD : sous la forme UPN (
compte@example.com), NetBIOS (DOMAINE\compte) ou DN complet ; - DN de base : le point de départ des lectures, par exemple
dc=example,dc=com; - Secret du mot de passe de liaison : le nom d'un secret du module Coffre de secrets. Le mot de passe n'est jamais saisi ni stocké dans la règle. Si le Coffre de secrets n'est pas installé, vous saisissez le nom du secret à la main ;
- Agent Outpost : laissez Direct : le serveur interroge l'annuaire quand le serveur de Portail ZAPP joint l'annuaire. Choisissez un agent (module Agents Outpost) pour lire un annuaire distant que le serveur ne peut pas joindre ; le mot de passe est joint à chaque commande et l'agent ne le conserve pas. Un message prévient si l'agent n'est pas actif ou s'il est trop ancien pour la synchronisation d'annuaire ; sous Linux, préférez LDAPS ;
- Comportement pour les orphelins et Frein orphelins (%) : voir plus bas ;
- Planification (cron) : voir plus bas ;
- Active : une règle active doit être complète (serveur, compte, DN de base, secret). Une règle incomplète peut être enregistrée comme brouillon, inactive.
Tester la connexion vérifie les valeurs du formulaire tel qu'il est, même avant d'enregistrer. Avec un agent Outpost, le test est envoyé à l'agent : le message « En attente de la réponse de l'Outpost... » s'affiche, avec un bouton Annuler, jusqu'à la réponse.
Sources et mappings
Une fois la règle enregistrée, deux blocs s'ajoutent (avant, le message « Enregistrez la règle pour configurer ses sources et ses mappings. » s'affiche).
Synchronisation des utilisateurs : les sources de la règle, c'est-à-dire les endroits de l'annuaire où lire les comptes. Choisissez le type, Unité d'organisation (OU) ou Groupe, recherchez-le dans l'annuaire de la règle, puis Ajouter une source. La recherche passe aussi par l'agent Outpost s'il y en a un.
Synchronisation de l'appartenance aux groupes : les mappings, qui relient un groupe de l'annuaire à un groupe de Portail ZAPP. À chaque synchronisation, les membres du groupe de l'annuaire qui ont un compte dans Portail ZAPP sont ajoutés au groupe correspondant ; ceux qui n'en font plus partie en sont retirés. Les groupes imbriqués ne sont pas développés : seuls les membres directs comptent.
Ce que fait une synchronisation
Pour chaque personne lue dans les sources :
- compte absent : il est créé, avec son prénom, son nom et son adresse ; l'identifiant de connexion est l'adresse de messagerie. Une entrée sans identifiant (
sAMAccountName) ou sans adresse est ignorée et comptée en erreur ; - compte déjà créé par l'annuaire : le prénom, le nom et l'adresse de contact sont mis à jour s'ils ont changé dans l'annuaire. Un attribut vide dans l'annuaire n'efface rien, et l'identifiant de connexion ne change jamais. Un compte est reconnu par son identifiant d'annuaire, même si son adresse a changé ;
- compte qui n'est pas issu d'un annuaire (compte local, compte d'un autre fournisseur) : il n'est ni modifié, ni suivi, ni désactivé par la synchronisation ;
- compte désactivé dans l'annuaire : il n'est jamais créé ; s'il était suivi, il est traité comme un orphelin.
La synchronisation crée les comptes sans mot de passe : elle ne règle pas la connexion. La façon dont ces personnes se connectent se règle dans l'Authentification.
Dans les mappings, seuls les comptes issus de l'annuaire sont retirés d'un groupe. Un compte local placé dans le groupe à la main (administrateur, compte de service) n'en est jamais retiré. Si la liste des membres d'un groupe est incomplète, aucun retrait n'est fait pour ce groupe. Un groupe déjà synchronisé par une autre source (par exemple les organisations) n'est pas modifié : le mapping est ignoré et signalé au journal.
Manager hiérarchique
Le réglage AdSync:SyncManagers de l'écran Configuration (catégorie AdSync, désactivé par défaut), passé à true, fait aussi remplir le manager hiérarchique des comptes synchronisés, d'après l'attribut manager de l'annuaire. Le manager est cherché parmi les comptes suivis par toutes les règles : il peut venir d'une autre unité d'organisation. Les règles sont celles de la synchronisation Google Workspace :
- un lien verrouillé (saisi à la main, par défaut) n'est jamais modifié ;
- le manager n'est cherché que parmi les comptes suivis par cette synchronisation : un manager inconnu, ou dont le compte a été créé à la main ou par un autre connecteur, ne change rien ;
- un utilisateur sans manager dans l'annuaire voit son lien clos seulement si ce lien venait d'une synchronisation ;
- un nouveau manager clôt le lien en cours et en ouvre un autre : l'historique est gardé dans la page Managers et historique du compte, avec l'origine « Active Directory ».
Les comptes orphelins
Un orphelin est un compte suivi par la règle qui n'apparaît plus dans les sources, ou qui est désactivé dans l'annuaire.
- Ignorer : rien n'est fait.
- Désactiver (valeur par défaut) : le compte est désactivé dans Portail ZAPP. C'est réversible : si la personne réapparaît dans l'annuaire, le compte est réactivé automatiquement. Seul un compte désactivé par la règle est réactivé ; un compte que vous avez désactivé à la main reste désactivé.
La synchronisation ne supprime jamais de compte. Un compte encore suivi et actif par une autre règle n'est pas désactivé.
Un frein protège contre une désactivation en masse. Aucun orphelin n'est traité, et la raison est écrite au journal, si :
- la lecture de l'annuaire est incomplète (source en échec, résultat tronqué, entrée qui n'a pas pu être traitée) ;
- l'annuaire n'a renvoyé aucun utilisateur ;
- la part d'orphelins dépasse le Frein orphelins (%) de la règle (25 % par défaut, de 1 à 100).
Lancer et planifier
Synchroniser maintenant lance la règle tout de suite. Si une synchronisation de cette règle est déjà en cours (lancée à la main, par la planification ou par une autre instance), le message « Une synchronisation de cette règle est déjà en cours. » s'affiche et rien n'est relancé.
La Planification (cron) donne à la règle sa propre tâche dans le Planificateur. Si elle reste vide, la règle est reprise par le balayage nocturne de la tâche « AdSync », chaque nuit à 2 h. Cette tâche est livrée désactivée : activez-la dans le Planificateur pour que les règles sans planification propre s'exécutent. Une expression cron invalide est refusée à l'enregistrement.
Si la règle visée par une tâche planifiée a été supprimée, l'historique de la tâche affiche le code RuleNotFound avec l'identifiant de la règle : supprimez la tâche ou corrigez ses paramètres. Les causes communes à toutes les tâches (base de données injoignable, délai…) sont décrites dans « Planifier les tâches ».
Suivre les synchronisations
Le bloc Synchronisations récentes de la règle donne, pour chaque exécution, la date, le statut (Success, PartialSuccess en cas d'erreurs partielles, Error), le nombre de comptes créés, mis à jour, désactivés et réactivés, la durée et les erreurs ; quand le module Grilles de données est installé, la grille ajoute les membres ajoutés et retirés des groupes. Cliquez sur le nombre d'erreurs (ou double-cliquez sur la ligne de la grille) pour lire le détail, par exemple la raison d'un frein sur les orphelins.
Supprimer une règle
Supprimer la règle retire la règle avec ses sources et ses mappings. Une règle qui a déjà un historique de synchronisations ne peut pas être supprimée : désactivez-la plutôt (décochez Active).