Автоматическая синхронизация пользователей из LDAP

ℹ️ О разделе

IDENTYX может поддерживать список пользователей в актуальном состоянии, сверяясь с доменом по расписанию: создавать новые учётные записи, обновлять имена и email, блокировать отключённые и пропавшие из домена учётки. Всё это настраивается на вкладке «Синхронизация» карточки LDAP-домена. Поддерживаются Active Directory и FreeIPA/OpenLDAP.

Содержание раздела

Как работает синхронизация

При каждом проходе синхронизации система сверяет учётные записи из области синхронизации домена с пользователями IDENTYX и выполняет следующие действия:

  • Создаёт учётные записи для новых активных пользователей домена — ещё до их первого входа в систему
  • Обновляет отображаемое имя и email, если они изменились в домене
  • Блокирует пользователей, отключённых в домене или пропавших из области синхронизации (если выбрано действие «Блокировать»)
  • Разблокирует пользователей, которых ранее заблокировала сама синхронизация, если их учётная запись снова включена в домене
⚡ Инкрементальный проход

Выполняется каждые ~10 минут. Запрашивает у каталога только учётные записи, изменившиеся с прошлого прохода, поэтому проходит быстро даже в больших доменах.

🔄 Полный проход

Выполняется раз в сутки. Перебирает все учётные записи области синхронизации и дополнительно обрабатывает пропавших — пользователей, которых в области больше нет (удалены или перемещены за её пределы).

ℹ️ Если автосинхронизация выключена

Даже при выключенной автосинхронизации система периодически обновляет имена и email уже привязанных к домену пользователей. Автосинхронизация добавляет к этому создание новых пользователей, блокировку отключённых и пропавших, а также ограничение областями синхронизации (OU).

Все действия синхронизации — создание пользователей, блокировки, разблокировки и обнаруженные расхождения — записываются в журнал событий.

Включение автосинхронизации

Как включить

  1. Перейдите в раздел Интеграции → Ldap домены
  2. Откройте карточку нужного домена
  3. Перейдите на вкладку «Синхронизация»
  4. В блоке «Синхронизация пользователей из LDAP» установите флажок «Автоматическая синхронизация пользователей»
  5. При необходимости настройте области синхронизации и действие для отключённых и пропавших пользователей (см. ниже)
  6. Сохраните карточку домена
ℹ️ Первый проход

Первый проход после включения — всегда полный: система перебирает всю область синхронизации и создаёт учётные записи для всех найденных активных пользователей домена. Перед включением воспользуйтесь кнопкой «Проверить область синхронизации», чтобы оценить, сколько пользователей будет создано.

Области синхронизации (OU)

По умолчанию синхронизируется весь домен. Если нужно ограничить синхронизацию отдельными подразделениями, укажите их в списке «Области синхронизации (OU)»:

Как настроить области

  1. На вкладке «Синхронизация» нажмите кнопку «Добавить OU»
  2. Введите полное различающееся имя подразделения (DN), например: OU=Managers,OU=Company,DC=corp,DC=example,DC=com
  3. При необходимости добавьте ещё несколько областей — синхронизироваться будут пользователи из всех перечисленных OU
  4. Лишнюю область можно удалить кнопкой с корзиной рядом с полем
ℹ️ Пустой список — весь домен

Если список областей пуст, в интерфейсе отображается подсказка «Нет OU — будет синхронизирован весь домен»: синхронизация охватит все учётные записи домена.

После проверки области под каждым полем OU появляется результат: «Найдено: N» — количество пользователей в этом подразделении, либо текст ошибки, если DN указан неверно.

Отключённые и пропавшие пользователи

Поле «Если пользователь отключён или пропал из области» определяет, что делать с учётными записями, которые отключены в домене или больше не находятся в области синхронизации (удалены из домена либо перемещены за пределы указанных OU):

Действие Поведение
Блокировать (по умолчанию) Пользователю блокируется доступ в IDENTYX. Когда учётная запись снова включена в домене или вернулась в область, блокировка снимается автоматически на следующем проходе.
Только записывать в журнал Никакие изменения не вносятся — в журнал событий добавляется запись о расхождении (учётная запись отключена в домене или пропала из области, но активна в IDENTYX).
ℹ️ Когда обрабатываются пропавшие

Отключение учётной записи в домене отслеживается на каждом проходе. Пропажа из области (удаление или перемещение) обнаруживается только при полном проходе — раз в сутки или при ручном запуске полной синхронизации.

Проверка области синхронизации

Кнопка «Проверить область синхронизации» на вкладке «Синхронизация» подключается к домену с текущими настройками карточки и показывает, сколько пользователей попадает в область:

  • «Всего пользователей в области: N» — общее количество учётных записей, которые будут синхронизироваться
  • «Разбивка по OU:» — количество пользователей по каждой указанной области («N польз.») либо текст ошибки, если область недоступна или DN указан неверно
✅ Рекомендация

Всегда проверяйте область перед включением автосинхронизации. Так вы заранее увидите ошибки в DN подразделений и оцените, сколько учётных записей будет создано — это важно, если лицензия ограничивает количество пользователей.

Расписание синхронизации

Синхронизация выполняется фоновым сервисом автоматически, без участия администратора:

Проход Периодичность Что делает
Инкрементальный Каждые 10 минут Обрабатывает только учётные записи, изменившиеся с прошлого прохода: новые пользователи, изменённые атрибуты, включение/отключение учётных записей
Полный Раз в сутки Перебирает все учётные записи области синхронизации и дополнительно обрабатывает пропавших из области

Помимо расписания, любой проход можно запустить вручную из карточки домена — в том числе если автосинхронизация выключена.

Состояние синхронизации

В карточке сохранённого домена на вкладке «Синхронизация» отображается блок «Состояние синхронизации». Нажмите кнопку «Обновить», чтобы загрузить текущее состояние:

  • «Последняя инкрементальная» и «Последняя полная» — дата и время последних проходов (или «Не выполнялась»)
  • «Результат последней синхронизации» с указанием режима (полная или инкрементальная) и счётчиками:
    • Создано — новых учётных записей
    • Обновлено — пользователей с изменёнными именем или email
    • Заблокировано — отключённых в домене
    • Разблокировано — снова включённых в домене
    • Пропало — пропавших из области синхронизации
    • Ошибок — учётных записей, обработать которые не удалось
  • «Последняя ошибка» — текст и время последней ошибки синхронизации, если она была
⚠️ Лимит пользователей лицензии

Если при проходе достигнут лимит пользователей лицензии, в состоянии появится предупреждение «Достигнут лимит пользователей лицензии — создание новых пользователей приостановлено» с количеством не созданных учётных записей. Существующие пользователи продолжают обновляться и блокироваться, а создание новых возобновится после расширения лицензии или освобождения мест.

Ручной запуск и живой прогресс

В блоке «Состояние синхронизации» доступны две кнопки запуска:

▶️ Синхронизировать

Запускает инкрементальный проход — обрабатываются только изменения с прошлого прохода. Если синхронизация ещё ни разу не выполнялась, проход автоматически становится полным.

🔄 Полная синхронизация

Принудительно запускает полный проход: перебираются все учётные записи области, обрабатываются пропавшие. Используйте после изменения областей синхронизации или при подозрении на расхождения.

Ход синхронизации отображается прямо в карточке домена. Панель прогресса показывает текущий этап, режим прохода («Полная» или «Инкрементальная»), счётчик «Обработано» и промежуточные результаты:

  1. Выборка из каталога — запрос учётных записей у контроллера домена
  2. Загрузка привязок — подготовка списка уже привязанных пользователей
  3. Обработка пользователей — создание, обновление и блокировка
  4. Обработка отключённых/пропавших — только при полном проходе
  5. Готово — итоговые счётчики прохода

Если проход завершился ошибкой, панель покажет «Ошибка» и её текст — он же сохранится в поле «Последняя ошибка» состояния синхронизации.

ℹ️ Одновременные запуски

По одному домену не может идти два прохода одновременно: пока синхронизация выполняется, кнопки запуска недоступны, а попытка параллельного запуска завершится сообщением «Синхронизация этого домена уже выполняется». Ручной запуск работает и при выключенной автосинхронизации — это удобно для разового прогона.

Создание новых пользователей

Для каждого активного пользователя домена, у которого ещё нет учётной записи в IDENTYX, синхронизация автоматически создаёт нового пользователя — так же, как при первом входе через домен или массовом импорте:

  • Отображаемое имя и email берутся из LDAP
  • Создаётся привязка к доменной учётной записи, вход через LDAP разрешается
  • Внутренние имя пользователя и пароль генерируются случайно и для входа не используются — пользователь входит только с доменными учётными данными
  • Пользователь добавляется в группы и проекты, указанные на вкладке «Автоматизация» карточки домена (поля «Добавлять новых пользователей в группы» и «Автоматическое добавление в проекты»), а также в проекты, к которым принадлежит сам домен
ℹ️ Отключённые не создаются

Учётные записи, отключённые в домене, синхронизация не создаёт. Пользователь появится в IDENTYX после того, как его учётную запись включат в домене.

⚠️ Лицензионный лимит

Новые пользователи создаются только в пределах лимита пользователей лицензии. При достижении лимита создание приостанавливается до конца прохода, а количество пропущенных учётных записей отображается в состоянии синхронизации.

Блокировка и разблокировка

При действии «Блокировать» синхронизация закрывает доступ пользователям, отключённым в домене или пропавшим из области. Способ блокировки зависит от того, как учётная запись появилась в системе:

Тип учётной записи Что блокируется
Создана автоматически из LDAP (при входе, импорте или синхронизации) Блокируется вся учётная запись — пользователь не сможет войти ни одним способом
Привязана к домену вручную (существующий локальный пользователь) Запрещается только вход через LDAP — локальные способы входа остаются доступны

Синхронизация запоминает, какие блокировки поставила она сама, и снимает только их: когда учётная запись снова включена в домене или вернулась в область, доступ восстанавливается автоматически на следующем проходе.

ℹ️ Ручные блокировки не трогаются

Если администратор заблокировал пользователя вручную, синхронизация не снимет эту блокировку, даже когда учётная запись активна в домене. Решения администратора имеют приоритет.

Защита от ошибок

  • Защита от массовой блокировки. Если полный проход не вернул ни одного пользователя, хотя у домена есть привязанные учётные записи, — это почти наверняка сбой выборки (неверный OU, проблемы с сервисной учётной записью), а не массовое увольнение. В этом случае обработка пропавших пропускается, а проход завершается ошибкой, которая отображается в состоянии синхронизации.
  • Ошибки не останавливают проход. Если отдельную учётную запись обработать не удалось, она учитывается в счётчике «Ошибок», а проход продолжается.
  • Журналирование. Каждое создание, блокировка, разблокировка и расхождение фиксируются в журнале событий с указанием пользователя и причины.
✅ Готовы продолжить?

Общие настройки LDAP-доменов, форматы входа и массовый импорт описаны на странице LDAP/Active Directory.