Abgleich und Anmeldung

Wann abgeglichen wird

Jedes Verzeichnis hat einen eigenen Zeitplan – das Feld Synchronisation neben seinen Verbindungsdaten:

Bei der Anmeldung ist die leichteste Variante: Es liest nur die eine Person, die sich gerade anmeldet, und aktualisiert Name, E-Mail, Bild und Gruppen. Es legt niemand anderen an und sperrt niemanden. Sollen Ausgeschiedene automatisch gesperrt werden, wählen Sie Stündlich, Täglich oder Wöchentlich.

Was ein Abgleich tut

Für jeden Eintrag, den die aktiven Abfragen finden:

• Neue Person auf einer Ihrer bestätigten Domains – DDM legt Konto und Mitgliedschaft an, als Mitglied. Ohne Einladung, ohne E-Mail; die Adresse gilt als bestätigt, weil Ihr Verzeichnis für sie bürgt.
• Bekannte Person – Name, E-Mail und Bild werden aktualisiert, wenn sie sich im Verzeichnis geändert haben, und die Gruppen nach Ihren Regeln gesetzt.
• Person mit bestehendem DDM-Konto – z. B. von Hand eingeladen, bevor es das Verzeichnis gab – wird übernommen und meldet sich ab dann auch mit dem Firmenkennwort an. Das passiert nur, wenn das Konto allein zu Ihrer Organisation gehört oder seine Adresse auf einer Ihrer bestätigten Domains liegt.
• Geänderte E-Mail-Adresse – DDM erkennt die Person an ihrem Verzeichniseintrag und ändert die Adresse, statt ein zweites Konto anzulegen.

Was er nie tut

• Er löscht niemanden. Ausgeschiedene werden gesperrt – ihre Dokumente, Notizen und ihr Verlauf bleiben.
• Er fasst niemanden an, den er nicht selbst übernommen hat. Wer von Hand eingeladen wurde und nicht im Verzeichnis steht, wird weder gesperrt noch in andere Gruppen verschoben.
• Er entsperrt niemanden. DDM kann nicht unterscheiden, ob jemand vom Abgleich oder absichtlich von der Administration gesperrt wurde. Entsperren Sie bei Bedarf unter Benutzer.
• Er ändert keine Rollen. Wer Administrator ist, entscheiden Sie unter Benutzer.
• Er ändert keine Gruppen, die keine Regel nennt.

Ausgeschiedene

Wer von diesem Verzeichnis übernommen wurde und im Ergebnis nicht mehr vorkommt, wird gesperrt: Die Person kann sich nicht mehr anmelden und sieht die Meldung Ihr Konto ist in dieser Organisation gesperrt. Unter Benutzer steht sie weiter, mit dem Status Gesperrt.

Damit eine fehlerhafte Suche nicht Ihre ganze Firma aussperrt, sperrt DDM niemanden, wenn

• eine der Abfragen fehlgeschlagen ist (Teilweise importiert – mindestens eine Abfrage ist fehlgeschlagen. Es wurde niemand gesperrt.),
• eine Abfrage die Grenze von 5.000 Einträgen erreicht hat,
• die Suche gar keine Einträge gefunden hat,
• mehr als die Hälfte der aus diesem Verzeichnis bekannten Personen auf einmal gesperrt würde – das sieht nach einer verschobenen OU oder einem Tippfehler in der Base DN aus, nicht nach Kündigungen.

Nur Alle jetzt importieren und die geplanten Läufe sperren. Jetzt importieren für eine einzelne Abfrage sperrt nie – die Personen der anderen Abfragen sind dabei schlicht nicht dabei.

Anmelden mit dem Firmenkennwort

Personen aus dem Verzeichnis melden sich im CMS und in der App wie gewohnt an: E-Mail und Passwort – ihr Firmenkennwort. DDM fragt das Verzeichnis, ob das Kennwort stimmt. Das Kennwort wird nie in DDM gespeichert, und eine Kennwortänderung im Verzeichnis gilt in DDM sofort.

So läuft es ab:

1. DDM versucht E-Mail und Passwort zuerst als DDM-Passwort.
2. Passt das nicht, sucht es die Person mit dem Dienstkonto in den Verzeichnissen, die zu ihrem Konto gehören, in der Reihenfolge der Priorität.
3. Dann meldet es sich als die Person mit dem eingegebenen Kennwort am Verzeichnis an. Nimmt das Verzeichnis es an, ist sie drin.

Wer noch kein Konto hat, wird in den Verzeichnissen der Organisation gesucht, der die Domain seiner E-Mail gehört. Ist Konten beim ersten Login anlegen an, bekommt die Person in diesem Moment ihr Konto – mit den Gruppen, die Ihre Regeln ergeben – und ist sofort angemeldet. Ist es aus, sieht sie Ihr Firmenkennwort ist richtig, für Sie besteht hier aber noch kein Konto.

Ein DDM-Passwort kann trotzdem jeder zusätzlich vergeben: Das Firmenkennwort gilt neben einem DDM-Passwort, es ersetzt es nicht.

Fehlersuche

Jeder Import, jedes angelegte oder gesperrte Konto und jede Anmeldung über ein Verzeichnis steht im Audit-Log – siehe Nutzung und Audit-Log.

Für den Betrieb von DDM

• Netzwerk: DDM muss den Port des Verzeichnisses erreichen (meist 636). Auf einer Installation für mehrere Kunden setzen Sie LDAP_PRIVATE_NETWORKS=off, damit Kunden kein Verzeichnis auf Ihr internes Netz richten können; lokale Adressen (127.0.0.1, Link-local) sind immer gesperrt.
• Zertifikate: Mit TLS erzwingen wird das Zertifikat des Verzeichnisses geprüft. Stammt es aus einer Firmen-CA, nehmen Sie diese CA in den Zertifikatsspeicher des DDM-Servers auf (bei Node.js z. B. über NODE_EXTRA_CA_CERTS).
• Zeitplan: Der regelmäßige Abgleich läuft im DDM-Server selbst, jede Stunde zur Minute 15. Läuft der Server nicht, wird nicht abgeglichen.