AD indlæsningsintegration

AD indlæsningsintegration indlæser brugeroplysninger fra Active Directory ind i SOFD Core. Dette dokument beskriver installation og konfiguration.

Forudsætninger#

Windows Server#

Servicen skal installeres på en Windows maskine med:

• Netværksmæssig adgang til kommunens AD
• Netværksmæssig adgang til SOFD Core i skyen via HTTPS.
• .NET Framework 4.6.1 eller nyere

Service konto i AD#

Der skal oprettes en service konto i kommunes AD.

Kontoen skal have læseadgang til alle de bruger-attributter der skal læses fra brugerkonti inkl. den attribut som indeholder brugerens cpr-nummer.

Endelig skal systembrugeren også have rettigheder til at replikere data fra Active Directory. Dette vil brugeren automatisk have hvis denne er domæne administrator, men man kan også nøjes med at tilføje enkelte replikerings-rettigheder til brugeren via nedenstående vejledning

1. Åben “Active Directory Users and Computers” konsollen
2. Vælg domænet, højreklik, og vælg “Properties”.
3. Gå til “Security”-fanen, tilføj systembrugeren, og giv brugeren følgende replikeringsrettigheder (sat til “Allow”). Bemærk at den første formodentlig er den eneste, der er nødvendig (alt afhængig af hvilke attributter der skal synkroniseres): a. Replicating Directory Changes b. Replicating Directory Changes All (kun nødvendigt hvis der skal replikeres hemmelige attributter) c. Replicating Directory Changes In Filtered Set (kun nødvendigt hvis attributter der skal synkroniseres er beskyttede)

Bemærk at der kan gå nogle minutter fra denne rettighed er sat, til den slår igennem. Hvis man under kørsel af softwaren får “Access Denied” i loggen i kaldet til Active Directory, så er det disse synkroniseringsrettigheder der mangler.

API bruger til SOFD Core backend#

Der skal i konfigurationen indtastes et brugernavn og kodeord. Disse udleveres af Digital Identity.

Afklaring af cpr-attribut#

Det skal afklares hvilken attribut i AD der indeholder/skal indeholde brugerens cpr-nummer. Det kan eksempelvis være attributten EmployeeNumber.

Det anbefales at den valgte attribut skjules for almindelige brugere ved at tilføje confidentiality bit på attributten. Bemærk at det ikke er alle felter i AD der understøtter denne mulighed.

Dette kan f.eks. gøres via ADSI Edit MMC snap-in ved at tilføje bit 8 (tal-værdi 128) til searchFlags på attributten. Bemærk at hvis searchFlags har en værdi i forvejen, og den ikke i forvejen har bit 8 sat, skal bit 8 (tal-værdi 128) lægges til denne værdi.

Med dette flag sat er det kun brugere med CONTROL_ACCESS rettighed i AD, der kan læse/skrive attributten (default administratorer).

Den valgte attribut til cpr-nummer angives i indstillingen ActiveDirectory.Property.Cpr under konfiguration i det næste afsnit af denne vejledning.

Afklaring af affiliation-attribut#

Det er muligt at lade Active Directory være master for et organisatorisk tilhørsforhold til den autoritative organisation i SOFD Core.

Normalt defineres dette tilhørsforhold via en integration til f.eks. lønsystemet, men der kan være brugere som kun findes i Active Directory, men hvor man alligevel ønsker at indplacere dem organisatorisk. Det kan eksempelvis være eksterne konsulenter.

Hvis man ønsker denne funktionalitet, kan man i indstillingen ActiveDirectory.Property.Affiliation angive navnet på en AD attribut. Brugere hvor der i denne attribut står en værdi der matcher et masterId fra lønsystemet (LOS ID), vil få oprettet et organisatorisk tilhørsforhold til den tilsvarende organisatoriske enhed i SOFD Core.

Installation af Windows Service#

Der skal installeres og konfigureres en Windows Service på en server hvor der er netværksmæssig adgang til kommunens AD samt SOFD Core i skyen via HTTPS.

Download service#

Hent installeren via download-linket øverst på siden eller fra den samlede Download-oversigt.

Konfiguration af service#

Konfiguration af servicen foretages i appSettings sektionen i xml-filen SOFDCoreAD.Service.exe.config som ligger i roden af installationsmappen (default C:\Program Files (x86)\Digital Identity\SofdCoreADEventDispatcher).

De indstillinger der skal konfigureres under en standardinstallation er fremhævet med gult (markeret med * i tabellen nedenfor).

Skal OS2sofds genaktiverings-flow (Reaktiver-ordrer) bruges, skal deaktiverede AD-konti også indlæses. Sæt ActiveDirectory.TreatDisabledAsEnabled til True, så deaktiverede konti synkroniseres til SOFD Core. Ellers kan OS2sofd ikke danne reaktiverings-ordrer for genansatte.

Såfremt ActiveDirectory.IntegratedSecurity er sat til “true” i xml-konfigurationen skal service kontoen angives på “Log On” fanen i Windows Services.

På “Log On”-fanen vælges “This account”, og domænekontoen (fx domain\sofdservice) angives med tilhørende password.

Start af service#

Efter servicen er konfigureret startes den via Windows Services eller tilsvarende kommandolinjeværktøjer.

Servicen hedder “SOFD Core AD Event Dispatcher” i Windows Services.

Ved start/genstart af servicen foretages altid en fuld synkronisering.

Det er derfor en god idé at kigge i logfilen om alt er gået godt. Logfilens placering kan ses i indstillingen serilog:write-to:RollingFile.pathFormat.

Logfilen bør få sekunder efter opstart indeholde 3 linjer der ser nogenlunde sådan her ud:

2019-09-04 06:00:04 [Information] [SOFDCoreAD.Service.Job.SynchronizeJob] Performing full sync
2019-09-04 06:00:06 [Information] [SOFDCoreAD.Service.ActiveDirectory.ActiveDirectoryService] Found 4860 users in Active Directory
2019-09-04 06:00:12 [Information] [SOFDCoreAD.Service.Job.SynchronizeJob] Full sync complete

Ændringslog#

Ændringslog for AD indlæsningsintegration. Nyeste version øverst.