Brugerkonto Agent

Brugerkonto Agent udfører OS2sofds kontoordrer lokalt hos kommunen. Den opretter, aktiverer, deaktiverer og sletter brugerkonti i Active Directory og Exchange på baggrund af de bestillinger, OS2sofd danner. Dette dokument beskriver installation og konfiguration.

Forudsætninger#

Windows Server#

Servicen skal installeres på en Windows maskine med:

• Netværksmæssig adgang til kommunens AD og Exchange server
• Netværksmæssig adgang til SOFD Core i skyen via HTTPS.
• .NET Framework 4.8 eller nyere

Service konto i AD#

Der skal oprettes en service konto i kommunes AD.

Kontoen skal have skriveadgang til alle de bruger-attributter der skal opdateres fra SOFD Core, inkl CPR nummer attributten.

Kontoen skal ligeledes have lov til at oprette AD konti, sætte kodeord på AD konti, samt oprette Exchange konti via powershell remoting (Enable-Mailbox og Enable-RemoteMailbox kommandoer).

Det sidste kræver at brugerkontoen er medlem af gruppen “Organization Management”.

API bruger til SOFD Core backend#

Der skal i konfigurationen indtastes en API nøgle til SOFD Core. Denne kan oprettes i SOFD Cores administrative brugergrænseflade. Det er vigtigt at denne API nøgle tildeles skriveadgang til SOFD Core, da den skal opdatere SOFD Core med status på bestillinger af brugerkonti.

Installation af Windows Service#

Der skal installeres og konfigureres en Windows Service på en server hvor der er netværksmæssig adgang til kommunens AD og Exchange server samt SOFD Core i skyen via HTTPS.

Download service#

Hent installeren via download-linket øverst på siden eller fra den samlede Download-oversigt.

Konfiguration af service#

Konfiguration af servicen foretages i applicationSettings sektionen i xml-filen SOFD Core User Agent.exe.config som ligger i roden af installationsmappen (default C:\Program Files (x86)\Digital Identity\SofdCoreAccountAgent).

Start af service#

Efter servicen er konfigureret startes den via Windows Services eller tilsvarende kommandolinjeværktøjer. Her er det vigtigt at servicen konfigureres til at starte med den AD konto som har de fornødne rettigheder.

Afvikling af powershell#

Hvis man har slået afvikling af powershell til, skal man opsætte et powershell script på nedenstående måde. Bemærk det er muligt at slå det til “per hændelse”, fx for hhv oprettelse og deaktivere af AD konti og oprettelse af Exchange konti.

For alle hændelsestyper, er det den samme struktur som powershell scriptet skal have

function Invoke-Method {
    param(
        [string] $SAMAccountName = $(throw "Please specify a sAMAccountName."),
        [string] $Name = $(throw "Please specify a name."),
        [string] $Uuid = $(throw "Please specify a uuid.")
    )

    $result = "Creating " + $SAMAccountName + ", " + $Name + ", " + $Uuid;

    $result | Out-File 'c:\logs\log.txt'
}

Der skal være en funktion i scriptet der hedder “Invoke-Method”, som tager 3 obligatoriske argumenter, hhv

• sAMAccountName
• Name
• Uuid

Disse 3 værdier vil indeholde hhv kontonavnet på den AD bruger som hændelsen vedrører, det fulde navn på medarbejderen, samt UUID’et på medarbejderen i SOFD, så man kan lave opslag i SOFD for at hente yderligere oplysninger.

Der følger 3 eksempel-scripts med når man installerer servicen, som man kan rette i. De er alle ens, og skriver blot hændelsen til en logfil.

Agenten sender derudover et antal valgfrie navngivne parametre når disse er tilgængelige: EmailAlias (alias for nye Exchange-konti), DC (domain controller), OptionalJson (kontekstdata fra ordren), Date (udløbsdato ved expire-bestillinger) og OrderedBy (id på den administrator der har bestilt handlingen). Disse kan tilføjes til Invoke-Method-funktionen som ekstra param-argumenter, hvis scriptet skal bruge dem.

Exchange Snapin (kun ved GMSA-konto)#

Exchange Snapin er kun relevant, hvis Brugerkonto Agent skal afvikles under en Group Managed Service Account (GMSA). I så fald kan agenten ikke anvende den almindelige Exchange-fjernforbindelse (New-PSSession), men skal bruge Exchange Management Snapin lokalt på serveren. Det aktiveres ved at sætte ExchangeUsePSSnapin til True (se indstillingstabellen ovenfor), hvilket kræver at snap-in’en er installeret som beskrevet nedenfor. Kører agenten under en almindelig domænekonto, er dette afsnit ikke relevant.

For at bruge Exchange Snapin modul skal det installeres. Dette gøres ved at installere Exchange Management Console:

Brug jeres exchange server installations iso fil.

Installerer kun exchange management console, ellers koster det en exchange licens. men tjek med jeres eget licens team i forhold til de aftaler i har.

Installation af Exchange Management Console#

Gennemgå installations-guiden sådan:

1. På “Check for Updates?”: vælg “Don’t check for updates right now”.
2. Setup kopierer de nødvendige filer (“Copying Files…”).
3. På “Introduction”: tryk Next.
4. På “License Agreement”: vælg “I accept the terms in the license agreement” og tryk Next.
5. På “Recommended Settings”: vælg “Use recommended settings” og tryk Next.
6. På “Server Role Selection”: vælg kun “Management tools”, sæt flueben i “Automatically install Windows Server roles and features that are required to install Exchange Server”, og tryk Next.
7. På “Installation Space and Location”: behold stien C:\Program Files\Microsoft\Exchange Server\V15 og tryk Next.
8. På “Readiness Checks” (Prerequisite Analysis) vises eventuelle fejl (fx pending reboot, AD-schema der ikke er opdateret, eller manglende IIS-komponenter).
9. Installér de komponenter, Exchange beder om, og tryk Retry.
10. Tryk Install. (På “Readiness Checks” kan der være advarsler, fx at Setup forbereder organisationen med ‘Setup /PrepareAD’.)
11. Når “Setup Completed” vises, tryk Finish, og genstart computeren for at fuldføre installationen.

Se eventuelt Microsofts vejledning: Install the Exchange management tools.

Rettigheder til service kontoen#

Når Exchange Snapin er installeret, skal service kontoen have læseadgang til Exchange-installationen, og særligt til filen inproxy.dll, der ligger her:

C:\Program Files\Microsoft\Exchange Server\V15\Mailbox\address\smtp\amd64\inproxy.dll

Giv service kontoen se-SofdCore-ADS “Full control” til filen (under “Advanced Security Settings” for inproxy.dll).

Ændringslog#

Ændringslog for Brugerkonto Agent. Nyeste version øverst.