Синхронизация каталога

Синхронизация каталога поддерживает учётные записи пользователей компании в соответствии с корпоративным каталогом. Она считывает людей из Microsoft 365 (Entra ID) или с сервера LDAP или Active Directory и создаёт, обновляет и отключает соответствующие учётные записи в MonoPbx.

У пользователей, созданных синхронизацией, нет пароля. Они входят через единый вход (SSO) или получают пароль от администратора. Синхронизация каталога не использует SCIM.

Перед началом

• Для добавления источника нужно право settings:write, а для запуска реальной синхронизации — право users:write.
• Определите, в какой отдел поступает каждый источник. У каждого источника один целевой отдел.
• Для Microsoft 365 нужна регистрация приложения с правом приложения User.Read.All и согласием администратора.
• Для LDAP нужна учётная запись, которая может читать каталог, а также центр сертификации сервера, если он частный.

Добавление источника Microsoft 365

1. Выберите поставщика входа, в котором зарегистрировано приложение Microsoft. Синхронизация использует его клиентский секрет; секрет никогда не копируется в источник.
2. Укажите отдел в вашем каталоге для синхронизации, если нужна только часть компании. Используйте по одному источнику на отдел, например «Продажи» и «Поддержка».
3. Выберите отдел MonoPbx, в который будут входить новые учётные записи.

Гостевые пользователи не синхронизируются.

Добавление источника LDAP или Active Directory

Разрешены только защищённые соединения. Адрес должен начинаться с ldaps://, порт по умолчанию — 636. Обычного ldap:// и StartTLS нет, поэтому пароль привязки никогда не передаётся открытым текстом.

• Сертификат сервера проверяется по его имени хоста. Для частного центра сертификации вставьте его сертификат в поле Сертификат ЦС.
• Адреса частной сети разрешены, поскольку каталог находится в сети компании. Адреса loopback и link-local отклоняются.

Для распространённых каталогов используйте такие параметры поиска:

Настройка	OpenLDAP	Active Directory
Фильтр пользователей	(&(objectClass=inetOrgPerson)(mail=*))	(&(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
Атрибут идентификатора	entryUUID	objectGUID
Почта, имя, фамилия	mail, givenName, sn	mail, givenName, sn

Поиск читает все страницы результатов, поэтому ограничение Active Directory в 1000 записей не обрезает список. Запись считается отключённой, если она отключена в каталоге.

Пароль привязки

Пароль учётной записи каталога доступен только для записи. Он шифруется ключом вашей компании и никогда не показывается, не записывается в журнал и не попадает в журнал аудита. В источнике отображается только то, сохранён ли пароль.

Если вы меняете адрес сервера, введите пароль снова. Сохранённый пароль никогда не отправляется на другой сервер.

Запуск синхронизации

1. Сначала выполните предпросмотр синхронизации. Предпросмотр — это пробный запуск: он показывает, что изменилось бы, и ничего не меняет.
2. Проверьте результат предпросмотра.
3. Запустите синхронизацию в реальном режиме.

Каждый запуск записывается вместе с количеством записей и возникшими проблемами. Если учётная запись выглядит не так, как вы ожидаете, посмотрите историю запусков.

Учётные записи, созданные синхронизацией, входят в отдел источника. Человек, запись которого отключена в каталоге, синхронизацией не создаётся и не остаётся активным.