Abgleich User-Accounts mit LDAP: nur für bereits im kix existierene Accounts?

[ck]

Hallo zusammen,

wir nutzen die Anbindung an LDAP um zu schauen ob und falls ja welche Rollen / Rechte ein gegebener Login / UID hat.

Dabei haben wir in der Regel den folgenden Ablauf:

• Ein Mitarbeiter (kann auch ein komplett neuer Mitarbeiter sein) navigiert im Browser auf unser kix und gibt sein Kürzel (UID) und Passwort ein
• KIX fragt LDAP nach den Credentials ab und falls sie existieren holt es sich noch die Rollen, so das entsprechend auch die Rechte vergeben  bzw. aktualisiert werden
• Dabei wird der Account mit den passenden Rechten neu angelegt falls er noch nicht existieren sollte; Bei bereits existierenden Accounts werden geänderte Rechte vom LDAP übernommen.

Das klappt im Prinzip super und ist auch sehr bequem wenn sich die Berechtigungen des Mitarbeiters mal ändern sollten. Jetzt haben wir aber das Folgende Problem: Wenn Mitarbeiter ausscheiden, werden in unserem LDAP die Rollen entsprechend angepasst bzw. der Account ungültig gesetzt. Da sich aber der entsprechende Mitarbeiter nie wieder versucht am KIX anzumelden, wird leider sein Account auch nie entsprechend aktualisiert.

Ich habe in der Nutzeranleitung gesucht und das hier gefunden: https://docs.kixdesk.com/pro/de/administration/nutzerverwaltung/nutzerauthentifizierung-und--autorisierung/ldap-ad-synchronisation-mittels-job.html

Dort steht: "Sie können das Synchronisations-Script bzw. -Daemon auch für das automatische Deaktivieren von Nutzern und Kontakten verwenden, die nicht mehr in den LDAP-Quellen vorhandenen sind. Dies kann bspw. bei unvollständigen Offboarding-Prozessen vorkommen, in welchen angrenzende Tools nicht informiert werden."

Also habe ich auf unserer kix-dev mal den Befehl Console::Command::Maint::Auth::Sync::Synchronize mit der Option --invalidate-unsynced ausgeführt, in der Hoffnung, dass dieser nur die bereits im kix bekannten Useraccounts mit dem LDAP abgleicht. Leider scheint der sich aber alle User aus dem LDAP zu holen und für diese dann Accounts im kix anzulegen.

Darum meine Frage:
Gibt es eine Möglichkeit, gezielt den Abgleich mit LDAP nur für einen spezifischen User zu triggern? (so wie es passiert wenn der User versucht sich einzuloggen?)
Oder muss man als Admin die entsprechenden Accounts manuell bearbeiten / invalidieren?

Praktisch wäre es für uns halt, wenn das automatisiert ablaufen würde, denn das ist ja auch einer der Gründe warum wir LDAP nutzen.

Vielen Dank und viele Grüße
Christopher

[Corinna Marzahn]

Hallo Christopher, 

Mit dem Befehl Console::Command::Maint::Auth::Sync::Synchronize wird immer alles synchronisiert. Unabhängig davon, ob die Kontakte bereits in KIX existieren oder nicht. Umgehen lässt sich das Verhalten des Neuanlegens beim Sync nicht. 

Allerdings kannst du eine Gruppe im AD anlegen, in der nur Kontakte drin sind, die in KIX existieren sollen. Durch das Einschränken der AD-Anbindung auf diese Gruppe, kann man das Neuanlegen einschränken, sodass nicht mehr alle Kontakte betroffen sind, sondern nur noch die Kontakte, in sich in der Gruppe befinden.
Die Einschränkung der AD-Anbindung erfolgt über "GroupDN". 

Viele Grüße
Corinna

[ck]

Hallo Corinna,

vielen Dank für die Antwort!

Bei uns ist es so: prinzipiell soll sich jeder Eintrag aus dem LDAP im SSP mit den minimalen Rechten für einen normalen Kunden anmelden können. Aber dann haben wir noch die Mitarbeiter / Agenten, die sollen sich mit den entsprechenden Rechten aus LDAP dann zusätzlich auch im Agentenportal anmelden können.

Ist es möglich, das entsprechend in kix zu konfigurieren, und dann den Sync nur auf der LDAP-Gruppe mit den Agenten zu machen?

Viele Grüße
Christopher

[mk268]

Ja, das geht.
Wir syncen auch mehrere AD-Gruppen und alle mit eigenen Berechtigungen.
Eine AD-Gruppe gibt grundsätzlich die Agent Berechtigung, dann aufgeteilt 10 weitere AD-Gruppen für einzelne Zugriffe auf verschiedene Teams/Queues (nicht nur unsere IT nutzt KIX, auch andere Bereiche und die brauchen nicht unsere Tickets sehen) + eine AD-Gruppe wo alle unsere Mitarbeitenden ohnehin immer drinnen sind (in dem Fall ist es sogar eine Verteilerliste - die ist immer aktuell), um die Customer SSP Berechtigung zu vergeben. Abschließend noch eine AD-Gruppe mit den KIX-Admins. Nur die bekommen das Admin-Dashboard.
Unsere BaseDN zeigt nur auf die OU, wo alle unsere User liegen, damit keine unnötigen Daten gesynct werden. Das haben wir auf den harten Weg gelernt. Damals wurde einfach alles gesynct und jetzt haben wir den ganzen "Müll" in KIX :D

Das muss alles in dem Sysconfig Key "Authentication###000-Default" eingerichtet werden.
Darauf greift der Console::Command::Maint::Auth::Sync::Synchronize Befehl zu.
Der Befehl wird dann mit dem entsprechenden Timer alle 24h nachts ausgeführt (Daemon::SchedulerCronTaskManager::Task###AuthSynchronize).
Wichtig: In Maint::Auth::Sync::Synchronize::Skip alle User eintragen, die nicht durch den Parameter --invalidate-unsynced deaktiviert werden sollen, um ein Aussperren zu verhindern.

Vorher haben wir nur mit dem entsprechenden LDAP-Sync-Job gearbeitet. Da ließ sich das aber nicht so genau einstellen.