Sincronización de directorio
La sincronización de directorio mantiene las cuentas de usuario de su empresa al día con un directorio corporativo. Lee a las personas de Microsoft 365 (Entra ID) o de un servidor LDAP o Active Directory, y crea, actualiza y deshabilita las cuentas correspondientes en MonoPbx.
Los usuarios creados por una sincronización no tienen contraseña. Inician sesión con inicio de sesión único, o un administrador les da una contraseña. La sincronización de directorio no usa SCIM.
Antes de empezar
- Necesita el permiso
settings:writepara agregar una fuente, yusers:writepara ejecutar una sincronización real. - Decida a qué departamento alimenta cada fuente. Cada fuente tiene un departamento de destino.
- Para Microsoft 365, necesita un registro de aplicación con el permiso de aplicación User.Read.All y el consentimiento de un administrador.
- Para LDAP, necesita una cuenta que pueda leer el directorio, y la autoridad certificadora del servidor si es privada.
Agregar una fuente de Microsoft 365
- Elija el proveedor de inicio de sesión que tiene el registro de la aplicación de Microsoft. La sincronización reutiliza su secreto de cliente; el secreto nunca se copia a la fuente.
- Escriba el departamento de su directorio que quiere sincronizar, si solo quiere una parte de la empresa. Use una fuente por departamento, por ejemplo Ventas y Soporte.
- Elija el departamento de MonoPbx al que se unen las cuentas nuevas.
Los usuarios invitados no se sincronizan.
Agregar una fuente de LDAP o Active Directory
Solo se permiten conexiones seguras. La dirección debe empezar con ldaps:// y el puerto predeterminado es 636. No hay ldap:// sin cifrar ni StartTLS, así que la contraseña de enlace nunca se envía en texto claro.
- El certificado del servidor se verifica contra su nombre de host. Para una autoridad certificadora privada, pegue su certificado en el campo Certificado de la CA.
- Se permiten direcciones de red privada, porque un directorio vive en la red de la empresa. Las direcciones de loopback y de enlace local se rechazan.
Use estos ajustes de búsqueda para los directorios habituales:
| Ajuste | OpenLDAP | Active Directory |
|---|---|---|
| Filtro de usuarios | (&(objectClass=inetOrgPerson)(mail=*)) | (&(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2))) |
| Id único | entryUUID | objectGUID |
| Correo, nombre y apellido | mail, givenName, sn | mail, givenName, sn |
La búsqueda lee todas las páginas de resultados, así que el límite de 1000 entradas de Active Directory no recorta la lista. Una entrada se considera deshabilitada cuando está deshabilitada en el directorio.
La contraseña de enlace
La contraseña de la cuenta del directorio solo se escribe. Se cifra con la clave de su empresa y nunca se muestra, se registra ni se escribe en el registro de auditoría. La fuente solo indica si hay una contraseña guardada.
Si cambia la dirección del servidor, escriba la contraseña de nuevo. Una contraseña guardada nunca se envía a un servidor distinto.
Ejecutar una sincronización
- Primero haga una vista previa de la sincronización. Una vista previa es una simulación: informa qué cambiaría y no cambia nada.
- Revise la vista previa.
- Ejecute la sincronización de verdad.
Cada ejecución queda registrada, con sus conteos y cualquier problema. Revise el historial de ejecuciones si una cuenta no es lo que espera.
Las cuentas creadas por una sincronización se unen al departamento de la fuente. Una persona cuya entrada del directorio está deshabilitada no se crea ni la sincronización la mantiene activa.