Monosign-Verzeichnisse und Benutzerquellen
Was hat sich geändert
Jede Inhaltsänderung wird versioniert. Wählen Sie eine Version, um sie mit der vorherigen zu vergleichen.
Version 2 → 3
Aktualisierung3 Lektionen aktualisiert
Inhaltliche Aktualisierung. Eingeschriebene Lernende wurden benachrichtigt.
Zwei Monosign-Komponenten sprechen mit Verzeichnissen, und sie arbeiten in entgegengesetzter Richtung. Die falsche zu wählen ist der häufigste Entwurfsfehler.
| Anforderung | Komponente |
| --- | --- |
| Benutzer und Gruppen aus einem Verzeichnis **nach** Monosign holen und sie mit dem Verzeichnispasswort anmelden lassen | Eine **Benutzerquelle** (Directory → `Sources`) |
| Ein System, das nur LDAP spricht, **gegen** Monosign-Identitäten authentifizieren lassen | Das **LDAP-Gateway** |
Eine Benutzerquelle importiert. Das LDAP-Gateway stellt bereit. Das Gateway liest nie im Auftrag einer Anwendung im Active Directory, und eine Quelle beantwortet keine LDAP-Binds.
::diagram dir-source-vs-gateway
::shot dir-sources-list
### Eine Quelle anlegen
`Add New` fragt nach dem `User Provider` (`Active Directory or LDAP` oder ein anderer Provider) und einem `Title`. Nach dem Speichern wird der Provider als schreibgeschützter Text angezeigt. Eine mit dem falschen Provider angelegte Quelle lässt sich nicht korrigieren: Sie legen eine neue Quelle an und entfernen die alte. Planen Sie diesen Tausch für ein mit den betroffenen Benutzern vereinbartes Zeitfenster, denn über die alte Quelle können sie sich nach dem Entfernen nicht mehr anmelden, und die neue muss erst ihre erste Synchronisation abschließen.
### Was `Remove` bewirkt
Das Entfernen einer Quelle ist ein weiches Entfernen. Die Quelle bleibt mit dem Status `Removed` und ihrem Verlauf erhalten, alle ihre Benutzer werden auf `Removed` gesetzt und ihre Gruppen entfernt. Die Benutzer der Quelle verlieren ihren Anmeldeweg, und die Seite bietet keine Möglichkeit, das rückgängig zu machen.
### Einstellungen speichern
Die Einstellungsseite des Providers wird als Ganzes gespeichert, jedes Speichern ersetzt also alle gespeicherten Einstellungen.
- Verschlüsselte Felder wie das Bind-Passwort erscheinen beim Öffnen der Seite leer. Bleibt ein solches Feld leer, wird das gespeicherte Geheimnis **beibehalten**; jede Eingabe ersetzt es.
- Jedes andere Feld, das beim Speichern leer ist, wird **geleert**. Wirkt ein optionales Feld wie ein Filter leer, obwohl es früher einen Wert hatte, tragen Sie ihn vor dem Speichern wieder ein.
### Zeitplan
`Enable Auto Sync` schaltet die geplante Synchronisation ein. `Full Sync Cron` steht standardmäßig auf Mitternacht und `Sync Cron` auf jede Minute. Wird `Full Sync Completed` ausgeschaltet, ist der nächste Lauf zwingend eine vollständige Synchronisation. Von den Seiten aus lässt sich kein Lauf starten, anhalten oder abbrechen.
> Tipp: Führen Sie nach jeder Änderung `Test` auf der Einstellungsseite aus. Der Test geht die Verbindungsschritte einzeln durch, sodass ein falscher Host oder falsche Zugangsdaten vor der nächsten geplanten Synchronisation auffallen.
Ein Konnektor, `Active Directory / LDAP User Provider`, bedient Microsoft Active Directory und die anderen unterstützten LDAP-Verzeichnisse. Eine Quelle dieser Art erledigt vier Dinge:
- Sie **synchronisiert** Benutzer, Gruppen und Profile. Gruppen, die Mitglied anderer Gruppen sind, behalten diese Beziehung in Monosign.
- Sie **authentifiziert** Benutzer mit dem eingegebenen Passwort gegen das Verzeichnis.
- Sie **ändert Passwörter** im Verzeichnis, wenn die Quelle es erlaubt (`Allow Password Change`).
- Sie führt Anfragen zum **Entsperren von Konten** im Verzeichnis aus.
Deshalb lautet die Antwort auf eine Anforderung wie "aus dem AD importieren, und die Leute sollen ihr AD-Passwort über Monosign ändern und ihr Konto entsperren können" Benutzerquelle und nichts anderes.
### Verbindungseinstellungen
- **`Domain IP or Host`**: ein oder mehrere Hosts, durch Komma oder Semikolon getrennt. `Find` ermittelt die übrigen Einstellungen vom Host.
- **`Use Secure Connection`**: schaltet LDAPS ein und stellt den Port von 389 auf 636.
- **`Domain UserName` und `Domain Password`**: das alltägliche Bind-Konto. `Use Privileged User` ergänzt ein zweites Konto für Vorgänge, die mehr Rechte brauchen, etwa Passwortrücksetzungen.
::shot dir-source-settings
### Domänencontroller nennen, nicht die Domäne
Ein Domänenname in `Domain IP or Host` ist nicht ein Server. Jeder Domänencontroller ist unter diesem Namen registriert, jede Verbindung kann also bei einem anderen Controller landen. Ein einzelner fehlerhafter Controller lässt dann einen Teil der Anmeldungen ohne erkennbares Muster scheitern, und ein neuer Versuch gelingt. Ein einzelner Eintrag schaltet außerdem das Host-Failover ab, denn dafür sind mindestens zwei, in der Praxis drei Einträge nötig. Führen Sie die Domänencontroller ausdrücklich auf.
::diagram dir-domain-controllers
### Zertifikate
Wenn sichere Binds mit TLS-Fehlern scheitern, etwa nachdem die Domänencontroller ihre Zertifikate erneuert haben, besteht die Lösung im Produktivbetrieb darin, die ausstellende CA zu installieren oder den gepinnten `SSL Certificate Thumbprint` zu aktualisieren. `Skip SSL Certificate Validation` auf `Yes` unterdrückt Zertifikatsfehler für jede Anmeldung an der Quelle. Nutzen Sie das nur für eine kurze Diagnose.
### Umfang der Synchronisation
Zwei Einstellungen begrenzen jeden Lauf: `Limit` (Standard 500.000 Objekte) und `Page Size` (Standard 1.000). Ein Verzeichnis, das größer als `Limit` ist, wird **teilweise und ohne jeden Fehler** synchronisiert. Endet eine vollständige Synchronisation sauber, es erscheinen aber weniger Benutzer als im Verzeichnis, prüfen Sie zuerst `Limit` und erhöhen Sie den Wert.
> Hinweis: Monosign schreibt keine Profilattribute in das Verzeichnis zurück. Profildaten fließen nur vom Verzeichnis nach Monosign.
### Zwei Aufzeichnungen einer Synchronisation
Jede Quelle bietet zwei Ansichten, und sie beantworten unterschiedliche Fragen.
| Ansicht | Was sie ist | Grenzen |
| --- | --- | --- |
| `Sync log` | Ein Live-Mitschnitt der laufenden Synchronisation | Nur solange die Seite offen ist, höchstens 2.000 Zeilen und 20 Läufe pro Quelle |
| `Sync history (stored)` | Die dauerhafte Aufzeichnung | 60 Tage aufbewahrt |
Das Live-`Sync log` ist lokal für ein Rechenzentrum. In einer Umgebung mit zwei Rechenzentren erscheint ein Lauf, den ein Serviceknoten am anderen Standort ausgeführt hat, nie auf Ihrer Seite, auch später nicht, obwohl der Status der Quelle auf `Finished` wechselt. Vollständige Synchronisationen schreiben durchaus in das Live-Log, wenn der Lauf lokal ist. Erwarten Sie Zeilen und sehen keine, öffnen Sie `Sync history (stored)` oder Management in dem Rechenzentrum, das die Synchronisation ausgeführt hat.
### Mitgliedschaft einer Verzeichnisgruppe ändern
Eine Gruppe aus einer Verzeichnisquelle gehört dem Verzeichnis. Wenn Sie in Monosign einen Benutzer einer solchen Gruppe zuweisen:
1. Monosign schreibt keine lokale Mitgliedschaft. Sie sehen `Group membership queued for provisioning to the source directory.`
2. Die Bereitstellungswarteschlange schreibt die Mitgliedschaft in das Verzeichnis, normalerweise innerhalb von etwa 10 Sekunden.
3. Das Mitglied erscheint unter `Assigned Objects` der Gruppe erst, nachdem die **nächste eingehende Synchronisation** es importiert hat.
::diagram dir-directory-group-write
Ein Verzeichnis, das das Mitglied schon zeigt, während `Assigned Objects` noch leer ist, ist also der erwartete Zustand zwischen Schritt 2 und 3. Behalten Sie drei Dinge im Blick:
- `queued` bedeutet, dass die Anfrage festgehalten wurde, nicht dass das Verzeichnis sie angenommen hat.
- Die Kontrollkästchen `Provision` und `Deprovision` der Quelle werden auf diesem Weg nicht ausgewertet.
- Geschrieben wird nur die Mitgliedschaft in einer vorhandenen Gruppe. Monosign legt die Gruppe nicht im Verzeichnis an.
Ein fehlgeschlagener Schreibvorgang wird wiederholt. Nach dem 20. Fehlschlag wird die Zeile mit `Maximum retry count (20) reached, no action taken!` geschlossen und nie wieder versucht; die Zuweisung muss also erneut vorgenommen werden, sobald das Verzeichnis wieder gesund ist.
### Benutzernamen, die in mehr als einer Quelle vorkommen
Nach dem Anbinden eines zweiten Verzeichnisses können manche Benutzernamen in beiden vorkommen. Directory → Users → `Duplicated Users` listet jeden Benutzernamen auf, der in mehr als einer Quelle gefunden wird, mit einer Spalte pro Quelle und einer Anzahl unter `Duplication`. Verglichen wird nur der exakte Benutzername, nicht E-Mail oder Profilwerte.
Die Seite ist ein reiner Lesebericht. Sie bietet keine Aktion zum Zusammenführen, Entfernen oder Öffnen, Sie lösen jedes Duplikat also auf den Benutzerseiten. Sie lädt das gesamte Ergebnis auf einmal, was bei sehr großen Verzeichnissen lange dauern kann.
> Tipp: Prüfen Sie `Duplicated Users` gleich nach der ersten Synchronisation einer neuen Quelle, bevor sich Benutzer anmelden.
::shot dir-duplicated-users