同步LDAP域用户

1.1 版本

1.2 應用場景

使用者希望從LDAP伺服器中同步使用者，但是需要把LDAP伺服器中的資料轉存到其他表中，既不安全，又非常麻煩。

使用者希望把LDAP伺服器中的使用者直接同步到數據決策系統中，而且相關的設定可以直接複用LDAP認證的配置。

1.3 功能介紹

透過安裝「同步LDAP域使用者」插件，在進行同步使用者設定的時候，可以直接選擇「從LDAP伺服器中同步」。

2.1 插件安裝

點選下載插件：同步LDAP域使用者

插件安裝方法參照： 插件管理

2.2 插件簡介

插件安裝完成後，在同步使用者時，使用者來源可選擇「從LDAP伺服器中同步」。如下圖所示：

3.1 配置LDAP認證

管理者登入數據決策系統，點選「管理系統>使用者管理>全局設定」，同步使用者的認證方式選擇「LDAP認證」，填寫配置資訊。如下圖所示：

LDAP認證的配置方法請參見：LDAP 認證 。

參數填寫完成後，點選「測試連結」，連結成功後，點選「儲存」，即配置認證方式成功。

3.2 進入同步使用者編輯頁面

1）若管理者首次使用同步使用者

管理者登入FineBI系統，點選「管理系統>使用者管理>所有使用者」，點選「同步使用者」。

跳出提示框「是否保留現有非同步資料，包括匯入/新增的使用者、部門職務、角色」，如下圖所示：

不同選擇對應的更新邏輯如下：

注：根據選擇的更新邏輯，首次同步後有部分使用者資訊被更新。

      之後能被自動更新的只有已變為同步型別的使用者。

      之後的同步，資料集不能再改寫更新內建資料，否則將衝突報錯。

2）若數據決策系統配置過同步使用者

管理者直接點選「同步使用者管理」，選擇「編輯」按鈕，即可進入同步使用者配置頁面。

3.3 配置同步使用者

使用者來源選擇「從LDAP伺服器中同步」，系統自動讀取 3.1 節 LDAP 認證中的配置，並測試連結。同步使用者配置如下圖所示：

注1：若之前配置過「同步使用者」，且使用者來源為「伺服器資料集」，切換時會跳出提示「切換使用者來源後將清空原有同步資料，包括使用者及其部門、職務、角色、權限等，應答切換？」，點選「確定」，即可完成LDAP使用者同步。

注2：若 3.1 節 LDAP 認證連結失敗，則在此步驟中會出現紅色提示「提示：LDAP連結失敗，請在同步的使用者-LDAP認證中應答相關配置」。

3.3.1 同步頻率

支援透過兩種方式執行同步使用者操作：簡單重複執行、表式設定。

1）簡單重複執行

從LDAP伺服器中自動同步使用者的間隔時間，預設為 43200 秒。

同步使用者設定了同步頻率，可自動進行多次同步，到達設定頻率後自動進行同步，不斷把LDAP伺服器中變化的資料同步到平台。

注：同步頻率不宜過高，否則會導致後臺日誌不斷重新整理，日誌體積無限膨脹。

2）表式設定

支援透過 Cron 表式設定任務執行的時間點，該任務可以是每天重複執行，隔日重複執行或者是單次執行等等各種不同組合的觸發時間點。

Cron 表式的文法和寫法請參見：Cron 表式

3.3.2 使用者可編輯

「使用者可編輯」按鈕預設不勾選，勾選後，同步狀態下使用者資訊可編輯。

使用者可編輯姓名、手機、郵箱，已存在使用者的以上欄位在自動同步/手動同步時將不再更新。具體功能如下表所示：

注：由於開啓了同步使用者LDAP認證，除了超管使用者和內建使用者外，所有的同步使用者涉及密碼相關的操作都是不可用的：包括設定加密方式、忘記密碼、修改密碼、重置密碼等。

3.3.3 使用者屬性

對於使用者屬性欄位，需要先選擇ObjectClass，再選擇ObjectClass內的屬性值。

注1：配置「同步使用者」時，不需要配置密碼，實際認證走 LDAP 密碼認證。

注2：使用者屬性支援搜尋，支援手動輸入，支援批量貼上，貼上值透過換行識別。

3.3.4 部門屬性

對於部門屬性欄位，需要先選擇ObjectClass，再選擇ObjectClass內的屬性值。

部門屬性可不配置，但若選擇了ObjectClass，則必須配置部門名稱/部門ID。

注：部門屬性支援搜尋，支援手動輸入，支援批量貼上，貼上值透過換行識別。

3.3.5 角色屬性

對於角色屬性欄位，需要先選擇ObjectClass，再選擇ObjectClass內的屬性值。

角色屬性可不配置，但若選擇了ObjectClass，則必須配置角色名稱/角色ID。

注：角色屬性支援搜尋，支援手動輸入，支援批量貼上，貼上值透過換行識別。

3.4 效果查看

若 LDAP 系統認證成功，且LDAP域使用者同步成功。

使用者輸入LDAP伺服器中儲存的帳號、LDAP伺服器中的密碼，即可進入數據決策系統，按照該使用者在平台中的權限進行相應操作。如下圖所示：

注1：若在平台中不存在輸入帳號，或平台中對應的使用者被禁用，或開啓了平台使用使用者限制且不包含使用者，則不與 LDAP 伺服器進行通訊，直接提示「帳號或密碼錯誤」或「使用者不可用」。

注2：LDAP 伺服器中儲存的帳號，不可使用雙位元組日語、繁體中文或朝鮮文字元。否則平台登入時提示「帳號或密碼錯誤」。

         LDAP 伺服器中儲存的密碼，不可使用雙位元組日語、繁體中文、簡體中文或朝鮮文字元。否則平台登入時提示「帳號或密碼錯誤」。