Введение

ADSync — сложный инструмент, поэтому очень важно понимать, как он устроен и по каким признакам можно отличить нормальную работу от ошибок. Есть операции, которые администратору не следует выполнять, не разобравшись заранее в их последствиях. В этом документе вы найдёте понятное и подробное описание принципов работы ADSync, чтобы уверенно и безопасно настраивать и поддерживать его. 

Обязательно прочитайте весь документ перед установкой или запуском службы ADSync. 

Служба ADSync - обеспечивает непрерывную, одностороннюю синхронизацию из Active Directory (AD) предприятия в Cloud24. 

Установка AD Sync

Перед началом работ

Перед установкой необходимо определить:

• Какие группы AD используются для отслеживания изменений объектов
• Нужны ли кастомные рабочие процессы или правки в ADSync.exe.config
• Имеет ли сервер доступ к веб-сервису API по HTTP или HTTPS (https://panel.cloud24.kz/CortexAPI/Default.aspx)

Служба ADSync запускается автоматически после установки, но не стартует, если не может подключиться к API и проверить учётные данные. При неудаче установка откатывается

ADSync необходимо устанавливать на все контроллеры домена Active Directory, чтобы перехватывать изменения паролей, которые не всегда реплицируются между серверами AD. 

При старте ADSync индексирует объекты AD в области охвата. Это может занимать много времени при большом количестве объектов. Параметр EventLogWatch определяет источник информации:

EventLogWatch (см. Таблицу натсроек приложения)

• True — строится каталог на основе Журнала событий
• False — каталог не строится

При включённом EventLogWatch ADSync:

• отслеживает тип изменения (новый объект, изменение, добавление/удаление из группы)
• фиксирует конкретные свойства, изменившиеся в объекте
• сохраняет информацию в .dat файлах в папке Queue

Если EventLogWatch = False, ADSync читает параметр LastUSN в AD, опрашивает объекты с большим значением LastUSN и отправляет запросы на синхронизацию даже без реальных изменений, что увеличивает нагрузку. Поэтому хорошей практикой является установка EventLogWatch=True

Группы-включения и Группы-исключения

Группы-включения: определяют объекты в AD (пользователей/группы/контакты), которые надо синхронизировать

Группы‑исключения: определяют объекты, которые нельзя синхронизировать

Группы-исключения: имеют приоритет над Группами-включения. Если объект не синхронизируется, проверьте, не исключён ли он.

Внимание: группы включения/исключения должны быть Глобальными группами безопасности. ADSync может игнорировать другие типы групп.

Когда пользователь впервые добавляется в Группу-включение:

• синхронизируется с пустым паролем
• пароль передаётся только после первого изменения пароля

Поэтому, чтобы синхронизировать пароль со стороной Atria, пользователь должен сменить свой пароль после синхронизации учетной записи. Самый простой способ сделать это — заставить его сменить пароль при следующем входе в систему.

Установка  

• Создайте Global Security группу в вашей AD с названием ADSync и добавьте в эту группу всех пользователей, планируемых для синхронизации в Cloud24.

• Войдите в Панель управления пользователями и сервисами под учетной записью, имеющей доступ к ADSync
• В Панели в меню Services перейдите в AD Sync и нажмите AD Sync Download.

• В свойствах скачанного файла установщика отметьте Разблокировать и сохраните

• Запустите установку AD Sync;
• Нажмите Next;
• Введите пароль учетной записи, имеющей доступ к ADSync;

На шаге Events to watch включите Watch for changes to users, Watch for changes to contacts и Watch for changes to groups; в User out of scope action выберите Ignore; оставьте User, contact, and group watch frequency (second) = 5. Нажмите Next.

• На шаге User, contact, and group to synchronize очистите поля:
  • Удалите все группы из Exclude users in these groups
  • Удалите группу Users из Include users in these groups
  • В поле Group name введите ADSync (группа безопасности созданная ранее) и нажмите Find now.

• На шаге User Information section оставляем без изменений;

• На шаге Connection Information section оставляем без изменений;

• Если в компании используется Proxy server для доступа в интернет, введите данные сервера;

• Путь установки рекомендуется оставить по умолчанию;
• После установки необходимо перезагрузить контроллер домена

Настройки после установки AD Sync.

Если применить дополнительные исправления или внести изменения в файл конфигурации сразу после установки ADSync, вам потребуется остановить службу ADSync сразу после завершения установки.

Учитывая, что остановка ADSync может занять некоторое время, особенно если программа считает, что остались еще какие-то невыполненные задачи, лучший способ сделать это — "убить" процесс.

Принудительное завершение процесса крайне нежелательно и допускается лишь в исключительных ситуациях — при полной неработоспособности службы или по указанию службы поддержки — поскольку это может привести к нарушению согласованности очереди и вызвать дополнительные сбои. 

Перед внесением изменений обязательно сделайте резервную копию изменяемых файлов! 

Увеличение размера файла логов

Файлы логов создаются в папке C:\Program Files\AD Sync\Logs, по умолчанию размер файла логов не может превышать стандартного ограничения файла .NET и по умолчанию составляет 5Мб. После в файл прекращается запись, ротация логов ежедневная. Рекомендуется увеличить до 10Мб.

• Сделайте резервную копию фала конфигурации C:\Program Files\AD Sync\ADSync.exe.config, можете просто скопировать в ту же папку и назвать, например, ADSync.exe.config.default
• Остановите службу AD Sync. (Win+R > Services.msc > Ad Sync > Stop)
• В файле ADSync.exe.config найдите строки (можно искать по add name="FileLog")

      <add name="FileLog" type="Microsoft.VisualBasic.Logging.FileLogTraceListener, Microsoft.VisualBasic, Version=8.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a, processorArchitecture=MSIL" location="Custom" logFileCreationSchedule="Daily" traceOutputOptions="DateTime" autoFlush="True" customLocation="C:\Program Files\AD Sync\Logs">
        <filter type="System.Diagnostics.EventTypeFilter" initializeData="ActivityTracing,Information"/>
      </add>

заменить на:

      <add name="FileLog" type="Microsoft.VisualBasic.Logging.FileLogTraceListener, Microsoft.VisualBasic, Version=8.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a, processorArchitecture=MSIL" location="Custom" logFileCreationSchedule="Daily" traceOutputOptions="DateTime" autoFlush="True" customLocation="C:\Program Files\AD Sync\Logs" maxFileSize="10000000" reserveDiskSpace="1073741824">
        <filter type="System.Diagnostics.EventTypeFilter" initializeData="ActivityTracing,Information"/>
      </add>

Где

• После внесения изменений перезапустите службу AD Sync

Расширенные настройки AD Sync

В случае если у компании имеется несколько почтовых доменов и есть необходимость синхронизировать с вашей AD атрибут пользователя mail необходимо внести ряд изменений в сервис и конфигурационные файлы AD Sync

Обратитесь в службу поддержки, наши инженеры должны внести изменения в сервис как указано ниже

Перед внесением изменений обязательно сделайте резервную копию изменяемых файлов!

На всех контроллерах домена в файле C:\Program Files\AD Sync\Requests\SetUser.xml необходимо строки

      <addresses templatedependency="userAddressSync">
        <address templatedependency="otherAddresses" templateforeach="otherAddress,otherAddresses" primary="False">{otherAddress}</address>
        <address templatedependency="mail,primaryAddress" templatecondition='{mail}&lt;&gt;""' primary="False">{mail}</address>
        <address templatedependency="primaryAddress" primary="False">{upn}</address>
        <address templatedependency="mail,-primaryAddress" templatecondition='{mail}&lt;&gt;""' primary="False">{upn}</address>
        <address templatedependency="mail,-primaryAddress" templatecondition='{mail}=""' primary="True">{upn}</address>
        <address templatedependency="-mail,-primaryAddress" primary="True">{upn}</address>
        <address templatedependency="mail,-primaryAddress" templatecondition='{mail}&lt;&gt;""' primary="True">{mail}</address>
        <address templatedependency="primaryAddress" primary="True">{primaryAddress}</address>
      </addresses>

 <addresses templatedependency="userAddressSync">
        <address templatedependency="otherAddresses" templateforeach="otherAddress,otherAddresses" primary="False">{otherAddress}</address>
        <address templatedependency="mail,primaryAddress" templatecondition='{mail}&lt;&gt;""' primary="False">{mail}</address>
        <address templatedependency="primaryAddress" primary="False">{mail}</address>
        <address templatedependency="mail,-primaryAddress" templatecondition='{mail}&lt;&gt;""' primary="False">{mail}</address>
        <address templatedependency="mail,-primaryAddress" templatecondition='{mail}=""' primary="True">{mail}</address>
        <address templatedependency="-mail,-primaryAddress" primary="True">{mail}</address>
        <address templatedependency="mail,-primaryAddress" templatecondition='{mail}&lt;&gt;""' primary="True">{mail}</address>
        <address templatedependency="primaryAddress" primary="True">{primaryAddress}</address>
      </addresses>

      <setting name="UserAdressSync" serializeAs="String">
        <value>False</value>
      </setting>

      <setting name="UserAdressSync" serializeAs="String">
        <value>True</value>
      </setting>

Перезагрузите все ваши контроллеры домена.

После внесенных изменений будут синхронизироваться только пользователи с явно указанным атрибутом email иначе в логах Ad Sync вы увидите ошибки

Error  2  Failed to upload user 'Jane.Wilde' because Failed to update user 'Jane.Wilde': User eMail address '' is not valid

Переустановка или обновление AD Sync.

Если вы планируете переустановить или обновить AD Sync,  необходимо выполнить следующие шаги на каждом контроллере домена.
1. Удалить AD Sync
2. Перезагрузите контроллер домена
3. Удалите папку установки AD Sync (по умолчанию это C:\Program Files\ AD Sync)
4. Установите AD Sync в соответствии с инструкцией выше