Configuration et gestion des domaines
Configurer votre domaine Active Directory est l'étape fondamentale pour permettre à ADSelfService Plus de communiquer avec votre environnement AD. Une fois un domaine configuré, l'application récupère et synchronise automatiquement les informations sur les utilisateurs, ordinateurs, groupes, UO et stratégies de domaine à intervalles réguliers. Ces données sont stockées dans la base de données du produit (soit PostgreSQL intégré, soit une base de données externe configurée) et sont essentielles pour les opérations telles que la vérification d'identité, les réinitialisations de mot de passe, le déblocage de compte, les notifications et les rapports.
Prérequis
Pour configurer un domaine avec succès, assurez-vous de respecter les exigences suivantes :
- Permissions du compte de service :You must have an AD account with one of the following privilege levels:
- Membre du groupe Domain Admins (Recommandé) : Le compte est membre du groupe Domain Admins. Bien que plus facile à configurer, cette option est moins sécurisée et généralement déconseillée en environnement de production.
- Permissions déléguées : Le compte se voit accorder des permissions spécifiques et granulaires nécessaires aux opérations d'ADSelfService Plus. Cela suit le principe du moindre privilège et constitue l'approche la plus sécurisée. Pour une liste détaillée des permissions minimales requises, veuillez consulter cette page.
- Connectivité réseau : Le serveur hébergeant ADSelfService Plus doit disposer d'un accès réseau fiable aux contrôleurs de domaine du domaine configuré. Consultez les exigences de ports ici.
- Synchronisation temporelle : Assurez-vous que l'heure système est synchronisée entre le serveur ADSelfService Plus et vos contrôleurs de domaine afin d'éviter les échecs d'authentification Kerberos.
Comment ça fonctionne
ADSelfService Plus agit en tant que client de votre AD. Le processus fonctionne comme suit :
- Lorsqu'un domaine est ajouté, ADSelfService Plus interroge le DNS pour découvrir les contrôleurs de domaine disponibles.
- L'application utilise les identifiants du compte de service fourni pour établir une connexion LDAP avec le contrôleur de domaine prioritaire.
- ADSelfService Plus récupère les objets AD (utilisateurs, UO, stratégies) et les stocke localement. Cela permet à l'application de charger instantanément les tableaux de bord et rapports utilisateurs.
- Si le contrôleur de domaine prioritaire devient inaccessible, l'application redirige automatiquement les requêtes vers le contrôleur de domaine suivant disponible dans la liste configurée.
- Les actions en temps réel, telles que les réinitialisations de mot de passe ou les déblocages de compte, sont exécutées directement contre Active Directory via le contrôleur de domaine connecté.
Étapes pour configurer un nouveau domaine
Bien qu'ADSelfService Plus découvre et ajoute automatiquement les domaines présents dans son réseau au démarrage, vous pouvez ajouter manuellement tout domaine requis.
- Connectez-vous au portail d'administration ADSelfService Plus et cliquez sur le bouton Domain Settings en haut à droite.
- Dans la section Configured Domains, cliquez sur Add New Domain.
- Saisissez le Domain Name.
- Ajouter des contrôleurs de domaine :
- Cliquez sur le bouton Discover. Sélectionnez les contrôleurs de domaine souhaités dans la liste.
- Si aucun contrôleur de domaine n'est trouvé, vous devez les ajouter manuellement en utilisant leurs noms d'hôte DNS pleinement qualifiés. Les adresses IP ne sont pas prises en charge.
- Vous pouvez réorganiser les contrôleurs de domaine dans la liste. Le contrôleur de domaine en tête de liste est prioritaire pour la communication. ADSelfService Plus basculera automatiquement vers le contrôleur de domaine suivant dans la liste si le prioritaire est indisponible.
- Cliquez sur Add pour confirmer votre sélection.
- Provide credentials:
- Cochez la case Authentication.
- Saisissez le Nom d'utilisateur du domaine et le Mot de passe du domaine d'un compte privilégié (voir Prérequis).
- Cliquez sur Save pour finaliser la configuration du domaine.
Fig 1 : Configuration d'un nouveau domaine dans ADSelfService Plus.
Gérer les domaines configurés
La section des domaines configurés offre une vue centralisée de tous vos domaines. Vous pouvez consulter le statut et effectuer des actions de gestion à l'aide des icônes dans la colonne Actions.
| Colonne | Description |
|---|---|
| Nom de domaine | Le FQDN du domaine Active Directory configuré. |
| Domain Controllers | Une liste des contrôleurs de domaine avec lesquels ADSelfService Plus communiquera. |
| Nom d’utilisateur | Le compte de service utilisé pour l'authentification et la synchronisation des données. |
| Nom d'affichage du domaine | Un nom personnalisé et convivial pour le domaine qui apparaît à l'écran de connexion et dans les rapports. |
| Statut | Indique la santé de la connexion au domaine et des permissions. Un statut Success signifie que le compte de service dispose des droits nécessaires et que les DC sont accessibles. Un statut Failure indique un problème de permissions ou qu'un DC est hors ligne. |
Les icônes sous la colonne Actions vous permettent de gérer chaque domaine.
| Icône | Action | Description |
|---|---|---|
| Domaine par défaut | Définir comme domaine par défaut | Définit ce domaine comme sélection par défaut dans le produit. |
| Modifier | Modifier les détails du domaine | Modifier les informations d’identification du compte de service et ajouter ou supprimer des contrôleurs de domaine. Note : La modification des détails du domaine ne déclenche pas la synchronisation AD. La synchronisation se produit uniquement selon le calendrier configuré dans l’AD Synchronizer ou lorsque les informations des objets de domaine sont mises à jour manuellement. |
| Mettre à jour | Mettre à jour les objets de domaine | Déclencher manuellement une synchronisation immédiate avec AD. Vous pouvez choisir de mettre à jour des objets spécifiques tels que les utilisateurs, ordinateurs, UO, groupes ou stratégies de domaine. Note : Le déclenchement d’une synchronisation immédiate des objets de groupe peut prendre un temps considérable, selon le nombre de groupes et d’appartenances aux groupes dans votre domaine. |
| Supprimer | Supprimer le domaine | Supprimer définitivement le domaine et toutes les données associées de ADSelfService Plus, y compris les configurations de stratégie et les informations d’inscription des utilisateurs. Cette action est irréversible. |
Fig 2 : Gestion des domaines configurés dans ADSelfService Plus.
Planifier la synchronisation automatique du domaine
Pour garantir la cohérence des données dans ADSelfService Plus, vous pouvez planifier une synchronisation automatique régulière avec AD.
- Sur la page Domain Settings, cliquez sur le bouton Schedule AD Synchronizer en haut à droite.
- Dans la fenêtre contextuelle, activez l’interrupteur Enable AD Synchronizer sur on.
- Définissez la Schedule Frequency à l’intervalle souhaité (par exemple, Quotidien, Horaire) et l’heure d’exécution de la synchronisation.
- Cliquez sur Enregistrer.
Fig 3 : Planification de la synchronisation du domaine AD dans ADSelfService Plus.
Conseils
- Performance : Dans la liste Domain Controllers, placez en haut de la liste le contrôleur de domaine le plus proche géographiquement ou logiquement du serveur ADSelfService Plus afin de minimiser la latence réseau.
- Intégrité des données : Planifiez l’exécution de l’AD Synchronizer pendant les heures creuses pour garantir que les données sont constamment à jour sans impacter les performances pendant les heures de travail.