אתם צריכים להחליט אילו דומיינים ראשיים, משתמשים, יחידות ארגוניות וקבוצות אתם רוצים לסנכרן עם חשבון Google שלכם באמצעות Google Cloud Directory Sync (GCDS). צריך גם לחשוב על סיסמאות ואיך למפות את הנתונים של שרת הגילוי.
שלב 3 מתוך 5
איך לארגן את הנתונים
מה הדומיין הראשי שלך?
מזהים את הדומיין של Google שרוצים לסנכרן. תצטרכו את זה כשתגדירו את GCDS.
הערה: אי אפשר לסנכרן כתובות של דומיינים חלופיים באמצעות GCDS. מידע בסיסי על דומיינים
אפשר גם להשתמש בשם דומיין חלופי. החלפת שם דומיין משמשת לרוב לדומיין פיילוט, אבל אפשר להשתמש בה גם אם אתם משתמשים ב-GCDS כדי לעבור לדומיין חדש. אם תציינו דומיין אחר ב-Configuration Manager, תוכלו לייבא רשימה מלאה של משתמשים לדומיין אחר.
מגדירים את הדומיין החדש כדומיין ראשי. לאחר מכן, בהגדרת LDAP באשף ההגדרות, מזינים את הדומיין החדש בתור הדומיין של Google ומציינים אדמין לדומיין הזה. בהגדרת הדומיין של Google, מגדירים את GCDS כך שיחליף את שמות הדומיין בכתובות אימייל של LDAP בשם הדומיין הזה. במהלך הסנכרון, GCDS משנה את כתובות האימייל של כל המשתמשים לדומיין החדש.
בסיום תקופת הפיילוט, אתם יכולים לשנות את שם הדומיין (ואת האדמין ב-Google) לדומיין הראשי שלכם, ולהשאיר את כל שאר אפשרויות ההגדרה ללא שינוי.
אילו נתוני משתמשים צריך לסנכרן?
- משתמשים: עיינו בספריית המשתמשים באמצעות דפדפן LDAP וודאו שאתם מייבאים את מספר המשתמשים הנכון. אם תייבאו יותר משתמשים ממספר הרישיונות שיש לכם, יכול להיות שיופיעו שגיאות במהלך הסנכרון. מידע נוסף על ניהול רישיונות משתמשים
- פרופילי משתמשים: אם שרת הגילוי של LDAP כולל מידע נוסף, כמו כתובות, מספרי טלפון או פרטים ליצירת קשר, אתם יכולים לסנכרן גם את המידע הזה.
- כתובות אימייל חלופיות: אתם יכולים לסנכרן מאפיין אחד או יותר של כתובות אימייל חלופיות מספריית ה-LDAP שלכם לכתובות אימייל חלופיות ב-Google.
- מזהה ייחודי: אם סביר להניח שהמשתמשים שלכם ישנו את שמות המשתמשים (כתובות האימייל) שלהם, הגדירו מאפיין מזהה ייחודי לפני שתגדירו סנכרון, כדי שפרטי המשתמשים לא יאבדו כשהם ישנו את כתובת האימייל שלהם.
- סיסמאות: GCDS תומך בקבוצה מוגבלת של פעולות שקשורות לסיסמאות. אם יש לכם שרת Microsoft Active Directory, אתם יכולים להשתמש בסנכרון סיסמאות כדי לסנכרן את הסיסמאות של ספריית ה-LDAP עם חשבון Google.
- משתמשים שנמחקו והושעו: כברירת מחדל, משתמשים שלא נמצאים בספריית ה-LDAP נמחקים מחשבון Google, ומשתמשים מושעים לא נכללים בסנכרון. אפשר לשנות את הגדרת ברירת המחדל בדף חשבונות המשתמשים ב-Configuration Manager. אם אתם מגדירים את GCDS להשעות משתמשים במקום למחוק אותם, אתם יכולים לראות ולהעביר את הנכסים של המשתמשים כדי לנצל את האפשרות לשחזור נתונים. לחלופין, אתם יכולים למחוק משתמשים מושעים, אבל אתם יכולים רק למחוק או להשעות, לא את שניהם.
איך כדאי לארגן את הקבוצות ורשימות התפוצה?
אתם יכולים לארגן את המשתמשים בחשבון Google לפי רשימת תפוצה או מבנה ארגוני:
רשימת תפוצה
מחליטים אילו רשימות תפוצה רוצים לסנכרן משרת ה-LDAP לחשבון Google. רשימות תפוצה בשרת הגילוי של LDAP מיובאות כקבוצות בחשבון Google.
חלק מהמאפיינים של רשימת התפוצה מכילים כתובת מילולית בפורמט כמו user@example.com. חלק מכילים הפניה לשם ייחודי (DN) בפורמט הבא:
cn=Terri Smith,ou=Executive Team,dc=example,dc=com.
אם רוצים לשמור את רשימות התפוצה בחשבון Google:
- בודקים איזה מאפיין מכיל את החברים ברשימות התפוצה. בדרך כלל זה המאפיין member או mailAddress.
- בודקים אם מאפיין ה-LDAP של חברי רשימת התפוצה מכיל כתובת אימייל או שם ייחודי של משתמש.
מבנה ארגוני
כברירת מחדל, GCDS מסנכרן את כל המשתמשים למבנה שטוח אחד. האפשרות הזו מתאימה לארגונים קטנים או אם רוצים שלכל המשתמשים יהיו אותן הגדרות והרשאות. היא גם מתאימה אם אתם בודקים קבוצה קטנה לפני השקה רחבה יותר.
אם אתם רוצים להשתמש בהיררכיה של יחידות ארגוניות בחשבון Google, אתם יכולים לסנכרן את ההיררכיה של הארגון משרת ה-LDAP שלכם. אם כן, קודם צריך לעיין ביחידות הארגוניות באמצעות דפדפן LDAP כדי לוודא שאתם מסנכרנים את המבנה הנכון. יכול להיות שיש לכם יחידות ארגוניות מיוחדות שלא צריך להעביר לחשבון Google, כמו יחידה ארגונית למדפסות.
אם אתם רוצים ליצור יחידות ארגוניות באופן ידני בחשבון Google, אתם יכולים להגדיר אותן ב-Google ואז להגדיר ל-GCDS להעביר משתמשים לארגונים האלה בלי לשנות את הארגונים הקיימים. בוחרים באפשרות הזו בדף יחידות ארגוניות ב-Configuration Manager. בכל כלל חיפוש משתמשים, מציינים את הארגון שצריך להכיל משתמשים עבור הכלל הזה, או מאפיין LDAP שמכיל את שם הארגון המתאים.
רוצה לנהל רישיונות באמצעות GCDS?
אם אתם רוצים לנהל רישיונות באמצעות GCDS, אתם צריכים ליצור קבוצות רישיונות ספציפיות ולשייך אליהן משתמשים. לחלופין, אפשר להגדיר מאפיין ספציפי בכל חשבון משתמש.
מערכת GCDS משתמשת בקבוצה או במאפיין כדי לקבוע את הרישיון הנכון שצריך להחיל על החשבון.
רוצה לסנכרן את אנשי הקשר המשותפים ואת משאבי היומן?
GCDS יכול לסנכרן משאבי LDAP אחרים, כמו אנשי קשר משותפים ומשאבי יומן, עם חשבון Google שלכם.
- אנשי קשר משותפים: הפרטים ליצירת קשר של אנשי קשר משותפים גלויים לכל המשתמשים ברשימת אנשי הקשר. בנוסף, אם מגדירים אנשי קשר משותפים, ההשלמה האוטומטית של כתובות אימייל מופעלת ב-Gmail לכל משתמש ברשימה. כדי לייבא כתובות לחשבון Google כאנשי קשר משותפים, מפעילים את האפשרות אנשי קשר משותפים בדף הגדרות כלליות במנהל ההגדרות. אחרי שמסנכרנים את אנשי הקשר המשותפים, יכול להיות שיעברו עד 24 שעות עד שהשינויים יופיעו בדומיין של Google.
הערה: GCDS מסנכרן רק אנשי קשר משותפים. אנשי הקשר האישיים לא מסונכרנים
- משאבים ביומן: אם אתם רוצים לייבא משאבים ביומן (כמו חדרי ישיבות) מספריית ה-LDAP לחשבון Google, אתם צריכים להגדיר סנכרון של משאבים ביומן כדי שהמשאבים יהיו גלויים לכל המשתמשים.
-
אתם צריכים לציין פורמט למתן שמות למשאבים לתזמון ביומן. חשוב לזכור שהכללים לגבי שמות של משאבי יומן שונים מהכללים לגבי מידע מסונכרן אחר. השמות לא יכולים להכיל רווחים או תווים מיוחדים.
איך מתבצע הסנכרון של הסיסמאות?
טיפ: אתם יכולים להשתמש בסנכרון סיסמאות כדי לסנכרן את הסיסמאות של המשתמשים ב-Google Workspace עם הסיסמאות שלהם ב-Active Directory.
GCDS תומך בקבוצה מוגבלת של פעולות שקשורות לסיסמאות. הוא יכול לייבא סיסמאות רק במאפיין LDAP שמאחסן סיסמאות בפורמט של טקסט פשוט, Base64, MD5 ללא גיבוב (salt) או SHA-1 ללא גיבוב (salt). אין תמיכה בערכי גיבוב אחרים שמוצפנים באמצעות סיסמה וערך גיבוב מומלח. רוב שרתי הגילוי לא תומכים בפורמטים האלה באופן מובנה, ואחסון סיסמאות המשתמשים בפורמטים האלה בשרת הדואר עלול לגרום להשלכות אבטחה חמורות.
לסנכרון סיסמאות, GCDS מספק את האפשרויות הבאות:
- הטמעת כניסה יחידה (SSO) לדומיין: למשתמשים יש את אותן סיסמאות והרשאות לחשבון Google ולשרת הגילוי של LDAP. אתם יכולים להגדיר שרת Security Assertion Markup Language (SAML) בחשבון שלכם כדי לנהל כניסה יחידה (SSO). במקרה כזה, GCDS יוצר סיסמאות אקראיות במהלך הסנכרון.
הערה: כניסה יחידה תומכת רק באימות באינטרנט. אמצעי אימות אחרים (כמו IMAP, POP ו-ActiveSync) לא תומכים בכניסה יחידה, ועדיין דורשים סיסמה לחשבון Google.
- שימוש במאפיין LDAP של טקסט פשוט לסיסמת ברירת המחדל של משתמשים חדשים: משתמשים באפשרות הזו אם רוצים שלמשתמשים יהיו סיסמאות חד-פעמיות נפרדות. באפשרות הזו, הסיסמאות לחשבון Google נפרדות מהסיסמאות בשרת הגילוי של LDAP. אתם יכולים להשתמש בשיטה הזו כדי ליצור סיסמה זמנית מכל מאפיין LDAP שמכיל נתונים בפורמט של טקסט פשוט.
- להשתמש בכלי של צד שלישי כדי להמיר סיסמאות לא נתמכות לפורמט נתמך: אתם יכולים להשתמש באפשרות הזו אם אתם רוצים ש-Google תשתמש באותן סיסמאות כמו שרת ה-LDAP שלכם, אבל אתם לא יכולים להגדיר שרת SAML. ב-Google Workspace Marketplace יש כלים של צד שלישי שיכולים לעזור בסנכרון סיסמאות. Google לא מספקת תמיכה בכלים של צד שלישי.
- הגדרת סיסמת ברירת מחדל למשתמשים חדשים: כל משתמש חדש מקבל את אותה סיסמה עד שהוא נכנס לחשבון ומשנה אותה. הסיסמאות לחשבון Google נשמרות בנפרד מהסיסמאות בשרת הגילוי של LDAP. כדי להשתמש באפשרות הזו, צריך להגדיר סיסמת ברירת מחדל למשתמשים חדשים, ואז להגדיר את GCDS לסנכרן סיסמאות למשתמשים חדשים ולאלץ אותם לשנות את הסיסמה.
לפעמים משתמשים אחרים יכולים לנחש את הסיסמה, ולכן בדרך כלל לא מומלץ להשתמש באפשרות הזו.
איך ממפים את הנתונים?
אתם צריכים להחליט איך הנתונים של שרת הגילוי ב-LDAP ימופו לנתונים של חשבון Google, ולקבל תמונה ברורה של האופן שבו כל משתמש, קבוצה ומשאב צריכים להסתנכרן. אתם יכולים להגדיר את המיפוי הזה להיררכיה שטוחה, לסנכרון אוטומטי של אחד לאחד או לקבוצה ידנית של כללים בהתאמה אישית. פרטים נוספים זמינים במאמר מה מסתנכרן?
תרחיש לדוגמה
בתור האדמין ב-Google של הארגון לדוגמה, החלטת להעתיק את ההיררכיה הארגונית הקיימת בשרת ה-LDAP לחשבון Google, וזיהית את היחידות הארגוניות שצריך לסנכרן.
החלטתם שצריך לסנכרן את הארגון לדוגמה:
- יחידות ארגוניות
- משתמשים
- כינויים
- קבוצות (רשימות תפוצה)
- אנשי קשר משותפים
- משאבים לתזמון ביומן
רשימות התפוצה בשרת הגילוי של LDAP משתמשות במאפיין member כדי לאחסן את החברים בכל רשימת תפוצה, והמאפיין member מכיל את השם הייחודי (DN) המלא של החברים ברשימת התפוצה, ולא את כתובת האימייל שלהם. כאדמינים ב-GCDS, אתם מציינים את המאפיין הזה, ומציינים שהוא מאפיין הפניה ולא מאפיין מילולי.
מכיוון שהמידע בפרופיל המשתמש ב-LDAP בשרת ה-LDAP לא נמצא בפורמט סטנדרטי בכל הארגונים, כאדמין ב-Google החלטת לא לסנכרן את המידע הזה.
בשרת ה-LDAP, יוצרים מאפיין מותאם אישית ומאכלסים אותו בסיסמה חד-פעמית שנוצרה באופן אקראי. בחשבון Google, אתם מגדירים מיזוג אימיילים כדי לשלוח את הסיסמאות למשתמשים, יחד עם מידע על אופן הפעלת החשבונות שלהם.
ביחידה הארגונית של קבלני המשנה יש כמה משתמשים שכבר לא עובדים בארגון לדוגמה, ואין צורך לסנכרן אותם. אתם בוחנים את הרשימה ומבחינים שכולם תואמים לביטוי רגולרי, כי כל כתובות המשתמשים מתחילות במילה "defunct". בשלב האחרון, יוצרים חריגים למשתמשים האלה בדומיין של Google.
Google, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.