多域LDAP认证增强版插件

基于原同步 LDAP 域用户插件，新增支持从多域同步以及 LDAPS

新增支持同步时重新同步用户类型，优化同步速度，删除插件不会清空配置，支持部分特殊账号，支持多域重名用户同步，新增用户类型选择限制（当前用户类型配置需要同时勾选“平台用户”类型才能生效）

新增适配集群

新增支持维持用户名大小写不变

新增支持同步用户属性扩展

ldap 动态配置页面新增“节点名称”编辑框

ldap 同步页面新增显示“节点名称”，支持搜索名称

ldap 动态支持备份同步

新增 GetUserAdDomain() 函数，可通过函数获取用户所属域

优化SSL认证证书验证（详情见本文 3.2 节）

优化账号重复策略、账号转换策略体验过程（详情见本文 3.4 节）

如果现有用户不在同步数据集中，该用户信息和权限将被保留，不修改

如果现有用户在同步用户来源中（账号相同）：

• 该用户的账号不变，权限保留

• 该用户的姓名、密码、手机、邮箱将被改写更新

• 该用户当前所属的部门职务、角色若存在于同步用户来源中，则改写更新

• 该用户当前所属的部门职务、角色若不存在于同步用户来源中，则保留不变

平台现有「手动新增/导入的用户」的账号、姓名、密码、手机、邮箱、部门、职位、角色、权限均被删除，重新同步用户

支持通过两种方式执行同步用户操作：简单重复执行、表达式设置。

1）简单重复执行

从 LDAP 服务器中自动同步用户的间隔时间，默认设置为 43200 秒。

同步用户设置了同步频率后，可自动进行多次同步，达到设置频率后自动进行同步，不断将 LDAP 服务器中变化的数据同步到平台。

注：同步频率不宜过高，否则会导致后台日志不断重新整理，日志体积无限膨胀。

2）表达式设置

支持通过 Cron 表式设置任务执行的时间点，该任务可以是每天重复执行、隔日重复执行或单次执行等各种不同组合的触发时间点。

Cron 表式的语法和写法请参见：Cron 表式

「用户可编辑」按钮默认不勾选；勾选后，在同步状态下用户信息可编辑。

用户可以编辑姓名、手机、邮箱，已存在用户的上述字段在自动同步/手动同步时将不再更新。

具体功能如下表所示：

注：由于开启了同步用户 LDAP 认证，除了超级管理员用户和内置用户外，所有同步用户涉及密码相关的操作都是不可用的，包括设置加密方式、忘记密码、修改密码、重置密码等。

支持 2 种处理方式：自动覆盖、提示重复信息并中断同步

特殊情况：

当设置多个同步任务（如 任务A 和 任务B ），从不同的 LDAP域（如 域A 和 域B ）中同步用户时，如果这些域中存在重复用户（假设为 User1 ），且不具有安全组结构，并且用户名重复策略选择「自动覆盖」，则在 任务A 暂停后，同步 任务B 时会按以下逻辑处理重复用户（ User1 ）的信息：

• 如果 域B 在 域A 之上：域B 中的 User1 信息会覆盖 FineDB 中原先从 域A 中同步的 User1 的信息。

• 如果 域B 在 域A 之下：保留 任务A 上次同步成功的 User1 的信息。

注：仅支持 V1.8.7 及之后版本。

1）V1.7.9 之前的版本

同步用户时，会将用户名统一转换成小写。

2）V1.7.9 及之后的版本

新增「用户名转换策略」，支持 2 种策略：

注1：无特殊需求建议不勾选此项，默认以小写形式存入数据库。

注2：若同时勾选两种策略，效果等同于勾选「转大写」。

• 维持大小写不变：勾选后同步用户时，保持原用户名大小写不变。

• 转大写：勾选后同步用户时，会将原用户名转为大写。

LDAP 内大小写不同的用户将被视为同一个用户，同步时根据上一步中选择的「用户名重复策略」进行自动覆盖或中断同步任务。

当同步任务成功后：

a）若外接数据库大小写敏感：用户需根据设置的「用户名转换策略」，使用转换为大写/小写后的用户名进行登录决策系统。

b）若外接数据库大小写不敏感：使用大写/小写用户名均能登录决策系统。

注：若外接数据库大小写敏感且历史同步过 LDAP 用户时，切换「用户名转换策略」会导致同步失败，需要清空历史数据后重新同步。

修改配置后重新同步可能会导致部分用户配置权限丢失，例如：ANNA 原先同步时入库保存为 anna ，勾选「维持大小写不变」后重新同步，该用户将保存为 ANNA ，此时，原先分配给 anna 的角色配置将丢失，ANNA 无法继承 anna 的角色配置。

1）可通过 URL 和节点名称对已添加的节点进行搜索。  

注：V1.8.3 之前的版本无此功能且不显示节点名称。

2）点击按钮，即可编辑该域的用户属性

3）点击按钮，即可控制多个域的同步状态为「已开启」或「已禁用」

4）点击按钮，可以控制同步任务的启动和暂停。

在禁用状态下点击「暂停同步」，提示：请先启动同步。

在禁用状态下点击「启用同步」，提示：确定启动同步，点击确定后恢复到“已启动状态”，并正常同步该节点数据。

处于暂停状态的节点，每次同步时不会丢失之前已经同步成功的数据。

注：V1.8.3 之前的版本无此功能。

可选择通过 用户ID 或 用户名 进行用户重复验证

1）若选择 用户ID，则同步「用户ID 用户名」字段，所在表中的 ID 字段值为同步用户时 LDAP 服务器中的 用户ID。

注：若 LDAP 中 用户A 与平台已有 用户A 重复，此重复 用户A 同步结果为失败，平台中保留之前平台内 A用户 及其配置。

2）若选择用户名，则同步「用户名」字段，所在表中的 用户ID 字段值将由系统随机生成。

注：若 LDAP 中 用户A 与平台已有 用户A 重复，此重复 用户A 同步结果为成功，平台中保留 LDAP 中 A用户 及其配置（去重叠加）。

3）若「用户重复验证字段」选择的字段配置为 cn ，且在 LDAP 源数据中存在 cn 重名的用户时：

• 单域情况下：同步失败。建议此处选择具有唯一性的字段，比如说 AD 域中的登录用户字段 userPrincipalName 或 sAMAccountName 。

• 多域情况下：同步正常进行，用户的部门或角色会去重叠加。

选择用户属性中的 UID（用户ID）

注：仅在「用户重复验证字段」选择「用户ID」时需要填写。

LDAP 服务器中存储的用户名，不可使用双字节的日语、繁体中文或朝鲜文。否则在平台登录时会提示“账号或密码错误”。

适用于开启平台用户分类的场景，若未做相应限制可以忽略此项。

V1.8.3 之前的版本需要手动输入对应属性值；V1.8.3 及之后的版本可直接选择对应字段。

V1.8.3 之前的版本，单节点只支持选择 2 种预设类型，不支持使用 LDAP 中的字段。

若有上述 2 种类型之外的值则报错。

• 用户类型支持多个值，在LDAP中可以用「,」或「;」分隔，例如：platform,platform_mobile 或 platform;platform_mobile。

• 用户类型对应值说明：

• 其他说明

1）1.7.5 版本及之后的版本

每次同步时用户类型均会重新同步，配置变更值或新增值每次同步均生效。若同步时将用户类型设置为空，则该修改同步时不生效，平台中保留之前平台内的用户类型设置。

2）1.7.4 版本及之前的版本

一个用户的用户类型只有在首次配置时同步生效。如果 A用户 在平台已有用户类型配置，LDAP 同步时，即使配置了新的用户类型，A 也不会新增新的用户类型。如需修改，请联系管理员在平台用户类型配置下手动修改。

选择需要同步饿其他内容（支持多选）

注：V1.8.0 及之后的版本支持该功能。设定后数据将以 JSON 格式储存至 FineDB 库的 Fine_Extra_Properties 表中

选择储存部门属性的 ObjectClass

注：不支持部门属性和角色属性使用同一个 ObjectClass 的不同属性

非必填

要么都不填、要么都填

1）若选择 部门ID ，则同步「部门ID 部门名称」字段，所在表中的 ID 字段值为同步用户时 LDAP 服务器中的 ID 。

2）若选择 部门名称 ，则同步「部门名称」字段，所在表中的 ID 字段值将由系统随机生成。

仅在「部门重复验证字段」选择「部门ID」时需要填写

选择部门属性中的 UID（部门ID）

选择储存角色属性的 ObjectClass

注：不支持部门属性和角色属性使用同一个 ObjectClass 的不同属性

非必填

要么都不填、要么都填

1）若选择 角色ID ，则同步「角色ID 角色名称」字段，所在表中的 ID 字段值为同步用户时 LDAP 服务器中的 ID 。

2）若选择 角色名称 ，则同步「角色名称」字段，所在表中的 ID 字段值将由系统随机生成。

仅在「角色重复验证字段」选择「角色ID」时需要填写

选择角色属性中的 UID（角色ID）

选择存储安全组（部门）属性的 ObjectClass。

选择 ObjectClass 后，根据 ObjectClass 加载所有安全组（作为“组选择”对应的下拉复选框组件的选项）。

非必填

要么都不填、要么都填

非必填

若不填，“组选择”下拉选项将默认读取 cn

组选择

组部门映射

非必填

要么都不填、要么都填