Puedes usar las reglas de búsqueda de LDAP para sincronizar los datos de tu servidor de directorio LDAP con la Cuenta de Google de tu organización con Google Cloud Directory Sync ( GCDS). Cuando agregas una regla de búsqueda, los datos que coinciden con ella se sincronizan durante la próxima sincronización. Se quitan los datos que no coinciden con la regla de búsqueda.
Importante: Google no depura ni proporciona asistencia para las consultas LDAP.
Sintaxis básica de las consultas LDAP
Puedes crear cualquier consulta de búsqueda de LDAP personalizada, siempre que cumpla con la RFC 2254.
| Operador | Carácter | Usa |
|---|---|---|
| Es igual que | = | Crea un filtro que requiere que un campo tenga un valor determinado. |
| Cualquiera | * | Representa un campo que puede ser igual a cualquier valor, excepto NULL. |
| Paréntesis | ( ) | Separa los filtros para permitir que funcionen otros operadores lógicos. |
| Luego, | y | Une los filtros. Todas las condiciones de la serie deben ser verdaderas. |
| o | | | Une los filtros. Al menos una condición de la serie debe ser verdadera. |
| No | ! | Excluye todos los objetos que coinciden con el filtro. |
Agrega una regla de búsqueda de LDAP
Puedes seguir estos pasos para cualquier tipo de regla de búsqueda.
- En el Administrador de configuración, ve a Cuentas de usuario
Reglas de búsqueda. - Haz clic en Agregar regla de búsqueda.
- En el menú, elige una opción para seleccionar el alcance de la regla de búsqueda:
- Subárbol: La regla de búsqueda se aplica al objeto de DN base y a todos sus objetos secundarios.
- Un nivel: La regla de búsqueda se aplica a los elementos secundarios inmediatos del objeto DN base, pero excluye el DN base en sí.
- Objeto: La regla de búsqueda se aplica solo al objeto DN base.
En Regla, ingresa la regla de búsqueda con la sintaxis de búsqueda de LDAP.
Consulta los ejemplos que se mencionan a continuación.
En DN base, elige una opción:
- Ingresa el DN base.
- Deja el campo en blanco para usar el DN base especificado en la página Conexión LDAP.
Haz clic en Probar consulta LDAP para verificar los resultados de tu consulta.
Puedes revisar la cantidad de objetos encontrados y los primeros 5 resultados. Los resultados no incluyen a los usuarios que no tienen una dirección de correo electrónico.
Haz clic en Aceptar.
(Opcional) Para agregar otra regla de búsqueda, repite los pasos.
Cómo excluir datos de una regla de búsqueda
Reglas de exclusión
Puedes usar reglas de exclusión para excluir datos del servidor de directorio LDAP que no quieras sincronizar con la Cuenta de Google de tu organización. Por ejemplo, puedes usar una regla de búsqueda de LDAP para especificar que se deben sincronizar todas las direcciones de correo electrónico. Luego, usa una regla de exclusión para ignorar todas las direcciones de correo electrónico que comiencen con una cadena determinada.
Búsquedas de los usuarios
Con una búsqueda de usuarios, GCDS identifica a los usuarios de tu Cuenta de Google que coinciden con los resultados de la búsqueda. Si un usuario de Google no coincide con los resultados, GCDS realiza la sincronización como si el usuario no existiera.
Si usas una búsqueda de usuarios, asegúrate de que las reglas de búsqueda de LDAP no devuelvan usuarios que existan en Google, pero que no se incluyan en los resultados de la búsqueda. De lo contrario, GCDS intentará crear los usuarios durante cada sincronización.
Por ejemplo, yuri@altostrat.com existe en tu Cuenta de Google y también se devuelve en la regla de búsqueda de LDAP. Si usas email:m* como la búsqueda de usuarios, GCDS intentará crear yuri@altostrat.com durante cada sincronización, ya que yuri@altostrat.com no comienza con la letra m.
Para obtener más detalles, consulta Omite datos con reglas y consultas de exclusión.
Ejemplos de reglas de búsqueda y consulta de LDAP
Los siguientes ejemplos son generales y es posible que no se apliquen a tu entorno. Los saltos de línea son solo para el formato de la página.
Consultas básicas de LDAP
- Todos los objetos (puede causar problemas de carga)
objectClass=*
- Todos los objetos de usuario que se designan como "persona"
(&(objectClass=user)(objectCategory=person))
- Solo listas de distribución
(objectCategory=group)
- Solo carpetas públicas
(objectCategory=publicfolder)
- Todos los objetos de usuario, excepto aquellos con direcciones de correo electrónico principales que comienzan con "test"
(&(&(objectClass=user)(objectCategory=person))(!(mail=test*)))
- Todos los objetos de usuario, excepto aquellos con direcciones de correo electrónico principales que terminan en "test"
(&(&(objectClass=user)(objectCategory=person))(!(mail=*test)))
- Todos los objetos de usuario, excepto aquellos con direcciones de correo electrónico principales que contengan la palabra "test"
&(&(objectClass=user)(objectCategory=person))(!(mail=*test*)))
Consultas LDAP específicas
- Todos los objetos de usuario y alias que se designan como "persona" y forman parte de un grupo o una lista de distribución
(|(&(objectClass=user)(objectCategory=person))(objectCategory=group))
- Todos los objetos de usuario que se designan como "persona", todos los objetos de grupo y todos los contactos, excepto aquellos con cualquier valor definido como "extensionAttribute9"
(&(|(|(&(objectClass=user)(objectCategory=person))(objectCategory=group))(objectClass=contact))(!(extensionAttribute9=*)))
- Todos los usuarios que son miembros del grupo identificado por el DN "CN=Group,OU=Users,DC=Domain,DC=com"
(&(objectClass=user)(objectCategory=person)(memberof=CN=Group,OU=Users,DC=Domain,DC=com))
- Muestra todos los usuarios.
- Para Active Directory: (&(objectCategory=person)(objectClass=user))
- Para OpenLDAP: (objectClass=inetOrgPerson)
- Para HCL Domino: (objectClass=dominoPerson)
- Todos los objetos con la dirección de correo electrónico designada como "persona" o "grupo" (en un directorio LDAP de Domino)
(&(|(objectClass=dominoPerson)(objectClass=dominoGroup)(objectClass=dominoServerMailInDatabase))(mail=*))
- Todos los usuarios activos (no inhabilitados) que tienen direcciones de correo electrónico en Active Directory
(&(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
- Todos los usuarios que son miembros de Group_1 o Group_2, según lo define el DN del grupo
(&(objectClass=user)(objectCategory=person)(|(memberof=CN=Group_1,cn=Users,DC=Domain,DC=com)(memberof=CN=Group_2,cn=Users,DC=Domain,DC=com)))
- Todos los usuarios que tienen el valor de extensionAttribute1 de "Ingeniería" o "Ventas"
(&(objectCategory=user)(|(extensionAttribute1=Engineering)(extensionAttribute1=Sales)))
- Recupera de forma recurrente los miembros del grupo anidados en el grupo especificado en Active Directory
(&(objectCategory=person)(objectClass=user)(memberOf:1.2.840.113556.1.4.1941:=CN=MyGroup,CN=Users,DC=domain,DC=com))
- Consulta de pertenencia a un grupo con ObjectGUID en Active Directory. El valor hexadecimal del atributo ObjectGUID de un grupo es 4e542fe785b1bb274e542fe785b1bb27
(&(objectCategory=person)(objectClass=user)(memberOf=GUID=4e542fe785b1bb274e542fe785b1bb27))
Optimiza tus reglas de búsqueda
Puedes optimizar las reglas de búsqueda para mejorar el rendimiento de la sincronización.
| Ejemplo 1: Muestra los usuarios con dirección de correo electrónico | Caso de uso |
|---|---|
| Regla de búsqueda de usuarios: (&(objectClass=user)(objectCategory=person)(mail=*)) | En lugar de usar una regla básica para devolver todos los usuarios, optimiza tu regla con la consulta mail=.
La sincronización se realiza de manera más eficiente, ya que el servidor LDAP y GCDS no tienen que procesar entradas que, de lo contrario, se descartarían. |
| Ejemplo 2: Muestra los usuarios con una dirección de correo electrónico que coincida con la cadena | Caso de uso |
|---|---|
| Regla de búsqueda de usuarios: (&(objectClass=user)(objectCategory=person)(mail=*)(!(mail=sales*))) | En lugar de usar una regla básica y una regla de exclusión para mostrar todos los usuarios con una dirección de correo electrónico que no tenga sales, usa una regla optimizada con una cadena coincidente.
El servidor LDAP y GCDS no tienen que procesar entradas que, de lo contrario, se descartarían. Además, no tienes que configurar una regla de exclusión ni considerar el nivel de prioridad. |
Tema relacionado
Google, Google Workspace y las marcas y los logotipos relacionados son marcas comerciales de Google LLC. Todos los demás nombres de productos y empresas son marcas comerciales de las empresas con las que se encuentran asociados.