Synchronisierung INFOCENTER - AD

Transkript

1 Synchronisierung INFOCENTER - AD Angelegt von: Peter Frank Kurgartenstrasse Fürth peter.frank@sellbytel.de Anlagedatum:

2 Dokumentinformation Projekt: Angelegt von: Peter Frank Version: 1.0 Titel: Versionsdatum: Geprüft von: Geprüft am: Mitglieder Name Abteilung Kontakt ( ) Peter Frank ADS Verantwortliche Name Abteilung Kontakt ( ) Peter Frank ADS Elisabeth Preisler ADS Sven Blossfeld Tech. Direktor Zusätzliche Personen Name Abteilung Kontakt ( ) Siegfried Burkhardt AD Admin IT Department Germany Dokumentenhistorie Version Datum von Beschreibung Peter Frank Initiale Erstellung Peter Frank Hinweis zum Umgang mit EXCHANGE eingefügt SELLBYTEL Group GmbH Seite 2 von 9

3 Zweck des Dokumentes Dieses Dokument beschreibt die grundsätzliche Vorgehensweise zur Anlage von Mitarbeitern und Computer in der AD S01.sbt-group.com sowie die Besonderheiten die notwendig sind um eine reibungslose Synchronisierung mit Mitarbeitern und PCs in INFOCENTER zu ermöglichen. In einer späteren Version von INFOCENTER sollen Mitarbeiter sowie deren Gruppenzugehörigkeit und Zusatzeinstellungen (z.b. EXCHANGE Accounts) in der AD über INFOCENTER angelegt und geändert werden und nicht mehr direkt in der AD. Um das zu ermöglichen müssen die Bestandsdaten in beiden Systemen synchron sein. Die notwendigen Vorgehensweisen sind ebenfalls in diesem Dokument beschrieben. Die hier beschriebenen Vorgehensweisen sind verbindlich von jedem AD Administrator einzuhalten. Eventuell notwendige Abweichungen die benötigt werden um bestimmte Anforderungen abzudecken, sind umgehend zu melden und in diesem Dokument zu dokumentieren. Jede Änderung an dem Projekt muss hier dokumentiert werden. Mit jeder neuen Version verlieren alle Vorgängerversionen dieses Dokumentes Ihre Gültigkeit. Wichtiger Hinweis: In der Vergangenheit gab es immer wieder Probleme mit Mailaccounts. Es ist deshalb verbindlich festgelegt das EXCHANGE Accounts nur von den EXCHANGE Verwalterteam angelegt werden dürfen. Wird nicht das zentrale EXCHANGE/NOTES System verwendet darf das Feld Mailadresse in der AD nicht gefüllt werden. In keinem Fall das das Feld mit externen unbekannten Domainen gefüllt werden. Einträge wie sind nicht zulässig und führen zu massiven Fehlern. SELLBYTEL Group GmbH Seite 3 von 9

4 Beschreibung Um die später geplante Steuerung der User und Computerobjekte in der AD direkt über INFOCENTER vornehmen zu können müssen im ersten Schritt die Bestandsdaten synchronisiert werden. Regeln für Userobjekte: 1. INFOCENTER verwaltet alle User AD Objekte die sich ab der OU OU=SBT,DC=s01,DC=sbt-group,DC=com befinden. Objekte außerhalb dieses Kontextes werden von INFOCENTER nicht berücksichtigt. 2. Der INFOCENTER Anmeldename, der in INFOCENTER automatisch aus Vorname.Nachname gebildet wird, muss mit dem AD samaccountname übereinstimmen. Da der samaccountname auf 20 Zeichen beschränkt ist, INFOCENTER beim Anlegen der Anmeldung den Anmeldenamen aber nicht kürzt ist ein geeigneter Name zu setzen. Dabei sollten wenn möglich bevorzugt die Vornamen gekürzt werden. z.b. Franz Günther von Hohenstein sollte wenn möglich als franz.hohenstein eingetragen werden. Die Lösung franz.guenther.ho ist sicherlich die unpassendere. Grundsätzlich sollten jegliche Sonderlaute sowie andere Sonderzeichen außer. vermieden werden. 3. Die bei der Benutzeranlage automatisch gebildete AD-ID muss, so wie sie in INFOCENTER gebildet ist, in das AD Feld employeenumber übertragen werden. Über dieses Feld versucht INFOCENTER die Zuordnung zwischen INFOCENTER und AD herzustellen. Gelingt dies, speichert INFOCENTER die unveränderliche und einmalige Objectsid aus AD. Damit ist der AD User und der INFOCENTER Mitarbeiter verknüpft. Die AD-ID aus INFOCENTER, bzw. die employeenumber aus AD sollten, außer in der initialen Synchronisierungsaktion nicht verändert werden. Beachten Sie bitte das Sie die AD-ID inklusive der führenden Nullen verwenden ist nicht dasselbe wie und wir Nutzt der AD User die CISCO Telefonanlage (hosted in Fürth) ist die AD-ID aus INFOCENTER zusätzlich in das AD Feld employeeid einzutragen. Unterschiedliche Nummern in den Felder employeenumber und employeeid sind nicht zulässig. Eine Nummer in employeenumber und ein leeres Feld employeeid ist zulässig und bedeutet der Mitarbeiter hat einen AD aber keinen CISCO Account. SELLBYTEL Group GmbH Seite 4 von 9

5 5. Ein Überschreiben des Mitarbeiternamens anders als zum Zweck der Korrektur von Tippfehlern oder bei Namenänderung (z.b. durch Heirat) ist weder in INFOCENTER noch in AD zulässig. In der laufenden initialen Synchronisierung liest INFOCENTER einmal pro Stunde die AD und versucht gemachte Korrekturen zu übertragen und alle INFOCENTER Mitarbeiter mit AD Userkonten zu verbinden. INFOCENTER kennt 5 verschiedene Mitarbeitertypen: Mitarbeitertyp Beschreibung AD Sync Administratoren Administratoren innerhalb von X INFOCENTER. Benutzer/Mitarbeiter Mitarbeiter innerhalb von INFOCENTER X Anonymous Anonyme Accounts in INFOCENTER. X Z.B. generische Anmeldungen für RealTime Displays Kunden Kundenaccounts X Testbenutzer Testbenutzer Anonymous Accounts sind möglichst zu vermeiden. Als Grundsatz gilt alle Mitarbeiter die namentlich zu benennen sind und Datenänderungen durchführen können, müssen auch eigene Accounts besitzen. Accounts die Zugriffrechte auf Project bzw. Departmentverzeichnisse haben, auf denen Produktionsdaten liegen, sind grundsätzlich namentlich zu benennen. Dieser Regel folgend sind Account wie gast1, gast2, training1 zulässig (ohne Zugriff auf Project, bzw. Departmentverzeichnisse). Accounts wie Azubi1, PraktikantHR jedoch nicht. Diese müssen gelöscht und gegen namentlich benannte Accounts ersetzt werden. In beiden Systemen wird es immer Mitarbeiter geben die im jeweiligen anderen System nicht zur Verfügung stehen müssen. Beispielsweise werden an die Reinigungsfirma bzw. den Sicherheitsdienst Zutrittskarten ausgegeben. Da diese im Zugangskontrollsystem in NBG/FUE verwaltet werden und dort eine Personalnummer belegen, müssen diese in INFOCENTER angelegt werden, damit INFOCENTER die Personalnummer nicht doppelt vergibt, erscheinen jedoch nie in der AD. Umgekehrt gibt es in der AD Benutzerkonto (z.b. für Serviceaccounts etc.), die nie in INFOCENTER erscheinen müssen. INFOCENTER erstellt während der Synchronisierung ein Fehlerprotokoll in dem jedes Problem aufgezeichnet wird. Dieses Fehlerprotokoll wird an ein noch zu definierendes Team regelmäßig versendet. Um zu vermeiden dass oben beschriebene Fälle im Fehlerprotokoll SELLBYTEL Group GmbH Seite 5 von 9

6 landen, können Mitarbeiter sowohl in INFOCENTER als auch in AD markiert werden als Konten die nicht zu synchronisieren sind. In INFOCENTER geschieht dies durch setzten des Ankreuzfeldes keine AD Synchronisierung auf der Registerkarte Rechte 1. In der AD geschieht das durch eintragen des Textes not in IC im AD Feld info (zu setzen über ADSI Edit). Benutzen Sie beide Optionen bitte mit Bedacht und nur für Mitarbeiter, für die es tatsächlich nicht notwendig ist, dass sie in beiden Systemen aktiv sind. SELLBYTEL Group GmbH Seite 6 von 9

7 Aufbau des Fehlerprotokolls: Protokolleintrag Employees in IC but not in AD Employees in AD but not in IC AD-NR mismatch AD-ID mismatch Aktion Der genannte Mitarbeiter ist in INFOCENTER angelegt, kann jedoch mit keinem AD Mitarbeiter verknüpft werden. Die Verknüpfung wird versucht über die Felder employeenumber, employeeid und samaccountname. Der genannte Mitarbeiter ist in AD angelegt, kann jedoch mit keinem INFOCENTER Mitarbeiter verknüpft werden. Die Verknüpfung wird versucht über die Felder AD-ID und Anmeldename. Es wäre eine Verknüpfung möglich (z.b. über samaccountname) allerdings ist die AD-ID in INFOCENTER unterschiedlich vom AD Feld employeenumber. Korrigieren Sie in diesem Fall entweder die AD-ID in INFOCENTER oder die employeenumber in der AD. Es wäre eine Verknüpfung möglich (z.b. über samaccountname) allerdings ist die AD-ID in INFOCENTER unterschiedlich vom AD Feld employeeid. Korrigieren Sie in diesem Fall entweder die AD-ID in INFOCENTER oder die employeeid in der AD. AD Config error - samaccountname mismatch Prüfen Sie bitte vorher ob der Mitarbeiter aktiver Nutzer der CISCO Telefonanlage ist. Wenn ja, sollten Sie die AD-ID in INFOCENTER ändern und nicht die employeeid in AD da ansonsten die Mitarbeitereinstellungen und Skill Zuordnungen in der CISCO Telefonanlage verloren gehen. Der AD samaccountname ist unterschiedlich vom Anmeldenamen in INFOCENTER. Es handelt sich hierbei nur um eine Warnung; d.h. die Verknüpfung zwischen INFOCENTER und AD ist erfolgt. Der SELLBYTEL Group GmbH Seite 7 von 9

8 AD Config error - employeenumber is different from employeeid Fehler sollte jedoch durch Anpassen des Anmeldenamens in INFOCENTER oder durch Korrektur des samaccountnamen in AD bereinigt werden. Die AD empoyeenumber ist unterschiedlich von der employeeid. Es handelt sich hierbei nur um eine Warnung; d.h. die Verknüpfung zwischen INFOCENTER und AD ist erfolgt. Der Fehler sollte jedoch durch Anpassen der Felder bereinigt werden. Prüfen Sie bitte vorher ob der Mitarbeiter aktiver Nutzer der CISCO Telefonanlage ist. Wenn ja, sollten Sie die employeenumber in AD ändern und nicht die employeeid in AD da ansonsten die Mitarbeitereinstellungen und Skill Zuordnungen in der CISCO Telefonanlage verloren gehen. Beachten Sie dabei bitte, das Sie u.u. dann auch die AD-ID in INFOCENTER anpassen müssen. SELLBYTEL Group GmbH Seite 8 von 9

9 Regeln für Computerobjekte: Folgen noch. SELLBYTEL Group GmbH Seite 9 von 9