Abgleich User-Accounts mit LDAP: nur für bereits im kix existierene Accounts?

[ck]

Hallo zusammen,

wir nutzen die Anbindung an LDAP um zu schauen ob und falls ja welche Rollen / Rechte ein gegebener Login / UID hat.

Dabei haben wir in der Regel den folgenden Ablauf:

• Ein Mitarbeiter (kann auch ein komplett neuer Mitarbeiter sein) navigiert im Browser auf unser kix und gibt sein Kürzel (UID) und Passwort ein
• KIX fragt LDAP nach den Credentials ab und falls sie existieren holt es sich noch die Rollen, so das entsprechend auch die Rechte vergeben  bzw. aktualisiert werden
• Dabei wird der Account mit den passenden Rechten neu angelegt falls er noch nicht existieren sollte; Bei bereits existierenden Accounts werden geänderte Rechte vom LDAP übernommen.

Das klappt im Prinzip super und ist auch sehr bequem wenn sich die Berechtigungen des Mitarbeiters mal ändern sollten. Jetzt haben wir aber das Folgende Problem: Wenn Mitarbeiter ausscheiden, werden in unserem LDAP die Rollen entsprechend angepasst bzw. der Account ungültig gesetzt. Da sich aber der entsprechende Mitarbeiter nie wieder versucht am KIX anzumelden, wird leider sein Account auch nie entsprechend aktualisiert.

Ich habe in der Nutzeranleitung gesucht und das hier gefunden: https://docs.kixdesk.com/pro/de/administration/nutzerverwaltung/nutzerauthentifizierung-und--autorisierung/ldap-ad-synchronisation-mittels-job.html

Dort steht: "Sie können das Synchronisations-Script bzw. -Daemon auch für das automatische Deaktivieren von Nutzern und Kontakten verwenden, die nicht mehr in den LDAP-Quellen vorhandenen sind. Dies kann bspw. bei unvollständigen Offboarding-Prozessen vorkommen, in welchen angrenzende Tools nicht informiert werden."

Also habe ich auf unserer kix-dev mal den Befehl Console::Command::Maint::Auth::Sync::Synchronize mit der Option --invalidate-unsynced ausgeführt, in der Hoffnung, dass dieser nur die bereits im kix bekannten Useraccounts mit dem LDAP abgleicht. Leider scheint der sich aber alle User aus dem LDAP zu holen und für diese dann Accounts im kix anzulegen.

Darum meine Frage:
Gibt es eine Möglichkeit, gezielt den Abgleich mit LDAP nur für einen spezifischen User zu triggern? (so wie es passiert wenn der User versucht sich einzuloggen?)
Oder muss man als Admin die entsprechenden Accounts manuell bearbeiten / invalidieren?

Praktisch wäre es für uns halt, wenn das automatisiert ablaufen würde, denn das ist ja auch einer der Gründe warum wir LDAP nutzen.

Vielen Dank und viele Grüße
Christopher