3. LDAP-gegevens ordenen

Wat is je hoofddomein?

Bepaal welk Google-domein u wilt synchroniseren. U heeft dit nodig als u GCDS instelt.

Opmerking: U kunt domeinaliasadressen niet synchroniseren met GCDS. Meer informatie over de basisprincipes van domeinen.

U kunt ook een vervangende domeinnaam gebruiken. Een vervangende domeinnaam wordt meestal gebruikt voor een testdomein, maar kan ook worden gebruikt als u gebruikers naar een nieuw domein verplaatst met GCDS. Als u een ander domein specificeert in de configuratiebeheerder, kunt u een volledige lijst van gebruikers importeren naar een ander domein.

Stel het nieuwe domein in als hoofddomein. Voer vervolgens in de LDAP-instellingen in Configuratiebeheer het nieuwe domein in als uw Google-domein en geef een beheerder op voor dit domein. Stel in de configuratie van het Google-domein in dat GCDS de domeinnamen in LDAP-mailadressen vervangt door deze domeinnaam. GCDS vervangt tijdens de synchronisatie de e-mailadressen van al uw gebruikers door een e-mailadres met het nieuwe domein.

Nadat uw testperiode is voltooid, kunt u de domeinnaam (en Google-beheerder) wijzigen in uw echte hoofddomein en alle andere configuratie-opties hetzelfde laten.

Welke gebruikersgegevens moeten worden gesynchroniseerd?

• Gebruikers: Bekijk uw gebruikersdirectory via een LDAP-browser en controleer of u het juiste aantal gebruikers migreert. Als u meer gebruikers migreert dan waarvoor u licenties heeft, kunnen er fouten optreden tijdens de synchronisatie. Meer informatie over hoe u gebruikerslicenties beheert.
• Gebruikersprofielen: Als uw LDAP-directoryserver aanvullende gegevens bevat, zoals adressen, telefoonnummers of contactgegevens, kunt u deze gegevens ook synchroniseren.
• Aliassen: U kunt een of meer kenmerken voor aliassen synchroniseren vanuit uw LDAP-directory naar Google-adresaliassen.
• Unieke ID: Als uw gebruikers vaak van gebruikersnaam (e-mailadres) wisselen, kunt u een uniek ID-kenmerk instellen voordat u de synchronisatie instelt, zodat gebruikersgegevens niet worden kwijtgeraakt wanneer een gebruiker zijn e-mailadres wijzigt.
• Wachtwoorden: GCDS ondersteunt een beperkt aantal wachtwoordbewerkingen. Als u een Microsoft Active Directory-server heeft, kunt u uw LDAP-directorywachtwoorden gesynchroniseerd houden met uw Google-account via Password Sync.
• Verwijderde en opgeschorte gebruikers: Standaard worden gebruikers die niet worden gevonden in de LDAP-directory verwijderd uit uw Google-account, en worden geblokkeerde gebruikers genegeerd. U kunt de standaardinstelling wijzigen op de pagina Gebruikersaccounts in Configuratiebeheer. Als u GCDS instelt om gebruikers op te schorten in plaats van te verwijderen, kunt u gebruikersitems bekijken en overzetten om gegevensherstel te gebruiken. U kunt geblokkeerde gebruikers ook verwijderen, maar u kunt alleen gebruikers verwijderen of blokkeren, niet allebei.

Hoe moet u uw groepen en mailinglijsten ordenen?

U kunt de gebruikers in uw Google-account ordenen op mailinglijst of organisatiestructuur:

Mailinglijst

Bepaal welke mailinglijsten u wilt synchroniseren van uw LDAP-directoryserver naar uw Google-account. Mailinglijsten op uw LDAP-directoryserver worden geïmporteerd als groepen in het Google-account.

Sommige kenmerken van mailinglijsten bevatten een letterlijk adres en hebben een indeling zoals user@example.com. Sommige bevatten een DN-verwijzing (Distinguished Name) en hebben deze indeling:
cn=Terri Smith,ou=Executive Team,dc=example,dc=com.

Doe het volgende als u de mailinglijsten in het Google-account wilt bewaren:

1. Controleer welk kenmerk de leden van de mailinglijsten bevat. Meestal is dit het kenmerk member of mailAddress.
2. Controleer of het LDAP-kenmerk voor leden van mailinglijsten een e-mailadres of een DN-naam bevat.

Organisatiestructuur

Standaard organiseert GCDS alle gebruikers in één enkele, platte structuur. Dit werkt goed als u een kleine organisatie heeft of als u wilt dat alle gebruikers dezelfde instellingen en rechten hebben. Het werkt ook goed als u een kleinere groep als test gebruikt voordat u de synchronisatie algemeen implementeert.

Als u een structuur met organisatie-eenheden wilt gebruiken in uw Google-account, kunt u de organisatiestructuur van de LDAP-directoryserver synchroniseren. Bekijk dan eerst uw organisatie-eenheden via een LDAP-browser en controleer of u de juiste structuur synchroniseert. U heeft mogelijk speciale organisatie-eenheden die niet moeten worden overgezet naar het Google-account, zoals een organisatie-eenheid voor printers.

Als u handmatig organisatie-eenheden wilt maken in uw Google-account, kunt u deze instellen in Google. Vervolgens kunt u instellen dat GCDS gebruikers naar deze organisatie-eenheden verplaatst zonder de bestaande organisatie-eenheden te wijzigen. Selecteer deze optie op de pagina Organisatie-eenheden in Configuratiebeheer. Voor elke gebruikerszoekregel moet u de organisatie-eenheid opgeven waarin de gebruikers moeten worden geplaatst voor die regel. U kunt ook een LDAP-kenmerk opgeven dat de naam van de juiste organisatie-eenheid bevat.

Wilt u licenties beheren met GCDS?

Als u licenties wilt beheren met GCDS, moet u gebruikers maken en groeperen in specifieke licentiegroepen. U kunt ook een specifiek kenmerk instellen voor elk gebruikersaccount.

GCDS gebruikt de groep of het kenmerk om te bepalen welke licentie moet worden toegewezen aan een account.

Wilt u gedeelde contacten en agendafaciliteiten synchroniseren?

GCDS kan ook andere LDAP-bronnen synchroniseren met het Google-account, zoals gedeelde contacten en agendafaciliteiten.

• Gedeelde contacten: Gedeelde contactgegevens zijn zichtbaar voor elke gebruiker in een contactenlijst. Als u gedeelde contacten heeft ingesteld, wordt automatisch aanvullen van e-mailadressen ook ingeschakeld in Gmail voor alle gebruikers op de lijst. Als u adressen wilt importeren naar uw Google-domein als gedeelde contacten, moet u Gedeelde contacten inschakelen op de pagina Algemene instellingen in Configuratiebeheer. Nadat u gedeelde contacten heeft gesynchroniseerd, kan het 24 uur duren voordat de wijzigingen worden getoond in uw Google-domein.

  Opmerking: GCDS synchroniseert alleen gedeelde contacten. Persoonlijke contacten worden niet gesynchroniseerd.

• Agendafaciliteiten: Als u agendafaciliteiten (zoals vergaderruimtes) wilt importeren uit uw LDAP-directory naar uw Google-account, moet u de synchronisatie van agendafaciliteiten instellen, zodat de faciliteiten zichtbaar zijn voor elke gebruiker.

• U moet een naamindeling bepalen voor de agendafaciliteiten. Denk er daarbij aan dat de regels voor namen van agendabronnen anders zijn dan die voor andere gesynchroniseerde gegevens. Namen mogen geen spaties of speciale tekens bevatten.

Hoe synchroniseert u wachtwoorden?

Tip: U kunt Password Sync gebruiken om de Google Workspace-wachtwoorden van uw gebruikers te synchroniseren met hun wachtwoorden voor Active Directory.

GCDS ondersteunt een beperkt aantal wachtwoordoperaties. GCDS kan alleen wachtwoorden importeren in een LDAP-kenmerk waarin wachtwoorden worden opgeslagen in platte tekst of de indelingen Base64, niet-gesalte MD5 of niet-gesalte SHA-1. Andere manieren van versleutelen en gesalte hashes worden niet ondersteund. De meeste directoryservers ondersteunen deze indelingen niet standaard. Als u de wachtwoorden van uw gebruikers in deze indelingen opslaat op uw e-mailserver, kan dit ernstige gevolgen hebben voor de beveiliging.

GCDS biedt de volgende opties voor wachtwoordsynchronisatie:

• Single sign-on implementeren voor uw domein: Gebruikers gebruiken hetzelfde wachtwoord en dezelfde autorisatie voor het Google-account en uw LDAP-directoryserver. U kunt een SAML-server (Security Assertion Markup Language) instellen om Single sign-on te beheren in uw organisatie. GCDS maakt in dit geval tijdens de synchronisatie willekeurige wachtwoorden.

  Opmerking: Single sign-on ondersteunt alleen webverificatie. Andere verificatiemiddelen (zoals IMAP, POP en ActiveSync) ondersteunen geen Single sign-on. Hiervoor is nog steeds een Google-wachtwoord vereist.

• Een LDAP-kenmerk in platte tekst gebruiken voor het standaardwachtwoord van nieuwe gebruikers: Gebruik deze optie als u wilt dat gebruikers een apart eenmalig wachtwoord krijgen. Als u voor deze optie kiest, zijn de Google-wachtwoorden anders dan de wachtwoorden op uw LDAP-directoryserver. U kunt deze methode gebruiken om een tijdelijk wachtwoord te maken vanuit elk LDAP-kenmerk dat gegevens bevat in platte tekst.
• Een hulpprogramma van derden gebruiken om niet-ondersteunde wachtwoorden over te zetten naar een ondersteunde indeling: Gebruik deze optie als u wilt dat in Google dezelfde wachtwoorden worden gebruikt als op uw LDAP-directoryserver, maar u geen SAML-server kunt instellen. Ga naar de Google Workspace Marketplace voor tools van derden waarmee u wachtwoorden kunt synchroniseren. Google biedt geen support voor tools van derden.
• Een standaardwachtwoord specificeren voor nieuwe gebruikers: Met deze optie heeft elke nieuwe gebruiker hetzelfde wachtwoord, totdat hij inlogt en het wijzigt. Google-wachtwoorden zijn anders dan de wachtwoorden op uw LDAP-directoryserver. Als u deze optie wilt gebruiken, stelt u een standaardwachtwoord in voor nieuwe gebruikers. Vervolgens stelt u in dat GCDS wachtwoorden synchroniseert voor nieuwe gebruikers en dan afdwingt dat ze hun wachtwoord wijzigen.
  Omdat het wachtwoord soms kan worden geraden door andere gebruikers, wordt dit niet aangeraden als veilige optie.

Hoe deel je je gegevens in?

U moet bepalen hoe de gegevens van uw LDAP-directoryserver worden toegewezen aan de gegevens in uw Google-account. Ook moet u bepalen hoe elke gebruiker, groep en faciliteit moet worden gesynchroniseerd. U kunt deze toewijzingen instellen als platte structuur, een automatische één-op-één-synchronisatie of een handmatige reeks aangepaste regels. Zie Wat wordt gesynchroniseerd? voor meer informatie.

Voorbeeldsituatie

Als de Google-beheerder van Voorbeeldorganisatie bepaalt u dat de bestaande organisatiestructuur op de LDAP-server moet worden gekopieerd naar het Google-account. U bepaalt welke organisatie-eenheden moeten worden gesynchroniseerd.

U besluit dat het volgende moet worden gesynchroniseerd voor Voorbeeldorganisatie:

• Organisatie-eenheden
• Gebruikers
• Aliassen
• Groepen (mailinglijsten)
• Gedeelde contacten
• Agendabronnen

De mailinglijsten op de LDAP-directoryserver gebruiken het kenmerk member om de leden van elke mailinglijst op te slaan. Het kenmerk member bevat de volledige DN-naam van de leden van de mailinglijst, niet hun e-mailadres. Als GCDS-beheerder noteert u dit kenmerk en noteert u dat dit een referentiekenmerk is, geen letterlijk kenmerk.

Omdat de gegevens van de LDAP-gebruikersprofielen op de LDAP-server niet in alle organisatie-eenheden volgens dezelfde standaardindeling zijn opgeslagen, besluit u als Google-beheerder deze gegevens niet te synchroniseren.

Op de LDAP-server maakt u een aangepast kenmerk en laat u het kenmerk invullen met een willekeurig eenmalig wachtwoord. In uw Google-account stelt u een e-mail samenvoegen in om de wachtwoorden naar gebruikers te sturen, samen met informatie over hoe ze hun accounts kunnen activeren.

Er zijn enkele gebruikers in de organisatie-eenheid Contractanten die niet meer werken met Voorbeeldorganisatie en dus niet moeten worden gesynchroniseerd. U bekijkt de lijst en merkt op dat ze allemaal overeenkomen met een reguliere expressie, omdat de gebruikersadressen allemaal beginnen met 'defunct'. Als laatste maakt u uitzonderingen aan voor deze gebruikers in het Google-domein.