El aprovisionamiento de usuarios sincroniza usuarios y grupos de un Active Directory in situ con DocuWare. En lugar de crear y mantener cuentas de usuario manualmente, se configura una conexión entre el servicio de directorio y DocuWare para que las cuentas de usuario, las pertenencias a grupos y los cambios de estado se transfieran automáticamente de forma programada.
La configuración consta de tres partes: configurar el plugin Aprovisionamiento de usuarios y un registro de aplicación en DocuWare, establecer la conexión con Active Directory en la aplicación User Provisioning Configurator, y programar la sincronización a través del Programador de tareas de Windows.
La parte de DocuWare se configura en DocuWare Configuraciones > General > Aprovisionamiento de usuarios y DocuWare Configuraciones > Integrations > App Registration. User Provisioning Configurator está disponible como descarga independiente desde la página del plugin Aprovisionamiento de usuarios.
Este artículo es para DocuWare in situ 7.14 y versiones posteriores. Aquí encontrará información sobre el aprovisionamiento de usuarios con DocuWare in situ 7.12 o 7.13.
Configurar DocuWare para el aprovisionamiento de usuarios
Antes de utilizar User Provisioning Configurator, active la función en DocuWare y cree un registro de aplicación. El registro de aplicación proporciona las credenciales que el Configurator utiliza para autenticarse en su sistema DocuWare.
Vaya a DocuWare Configuraciones > General > Aprovisionamiento de usuarios y active Habilitar aprovisionamiento de usuarios.
En el menú desplegable Identity Provider, seleccione On Premise.
En el menú desplegable Application Registration, seleccione un registro de aplicación existente o seleccione Create Application Registration para crear uno nuevo:
Si ha creado un nuevo registro de aplicación, introduzca un nombre para la aplicación.
Desde el registro de aplicación recién creado, copie el Application (Client) ID y el Client Secret. Haga clic en el botón Listo.
Copie la User Provisioning tenant URL y la Token endpoint URL.
Ahora dispone de los cuatro valores necesarios para conectar User Provisioning Configurator con DocuWare:
Application (Client) ID
Client Secret
User Provisioning tenant URL
y Token endpoint URL
Descargue la herramienta del conector de aprovisionamiento de usuarios desde la página del plugin y haga clic en el botón Guardar.
Configurar User Provisioning Configurator
User Provisioning Configurator es una aplicación de escritorio que almacena la configuración de conexión tanto para DocuWare como para Active Directory. Puede crear varias configuraciones si necesita sincronizar desde varios servidores de directorio.
Extraiga
Docuware.userSyncOnPrem.zip, que descargó en el paso anterior, abra la carpetaUserProvisioningConfiguratory ejecuteUserProvisioningConfigurator.exe.Seleccione Create Configuration File.
Seleccione DocuWare On-Premise como entorno y haga clic en el botón Continue.
Introduzca los cuatro valores de credenciales de la sección anterior (consulte el paso 7): Application (Client) ID, Client Secret, User Provisioning tenant URL y Token endpoint URL. De forma opcional, utilice Test Connection para verificar la conexión.
Seleccione Add Configuration para comenzar a configurar las conexiones de directorio.
Al empezar a editar la configuración, verá un menú de pestañas con diferentes opciones. De forma predeterminada, todas las opciones de la pestaña General están activadas.
Haga clic en la pestaña Connection y seleccione LDAP o Microsoft.
Añada la información necesaria.
BaseDN y Groups DN deben seguir la siguiente sintaxis:
Ejemplos de Groups DN:
cn=Admins,dc=example,dc=comocn=Developers,ou=IT,dc=company,dc=orgEjemplos de BaseDN:
dc=example,dc=comoou=IT,dc=company,dc=org
Las pestañas Objects y Mappings se rellenan previamente con los datos necesarios en función del tipo de AD seleccionado.
De forma opcional, active la opción Create Network ID en la pestaña Domain Information. Esta opción solo es compatible con entornos DocuWare in situ.
Proporcione un nombre de dominio.
Establezca un NetworkIdAttribute adecuado; por ejemplo:
userPrincipalNameNota: Estos atributos solo se añaden a los usuarios recién creados. Una vez aprovisionados, estos atributos no se actualizan posteriormente.
Puede probar la configuración haciendo clic en el botón Test Configuration.
Haga clic en la pestaña Groups y luego en el botón Connect to AD.
Verá una lista de grupos disponibles, de los cuales puede seleccionar los que necesitan ser aprovisionados.
Puede probar de nuevo la configuración una vez seleccionados los grupos.
Una vez guardada la configuración, aparecerá en la vista de conexión de aprovisionamiento. Cada configuración se puede actualizar o eliminar.
Para crear varias conexiones a diferentes servidores y directorios activos, se debe crear una configuración independiente para cada uno.
Una vez que haya completado los datos de la conexión de aprovisionamiento y creado al menos una configuración válida, puede guardar el archivo de aprovisionamiento haciendo clic en Guardar.
Cierre la aplicación User Provisioning Configurator. Su configuración ya está guardada y se encuentra en la siguiente carpeta:
C:\ProgramData\DocuWare\UserProvisioningConfigAhora cree y programe una tarea de Windows para ejecutar la sincronización de usuarios y grupos.
Abra el Programador de tareas de Windows y haga clic en Crear tarea básica.
Siga los pasos del asistente. Introduzca un nombre para la tarea.
Elija cuándo se debe activar la sincronización.
Seleccione una acción.
Seleccione la tarea que desea ejecutar y los argumentos (configuraciones) que se deben utilizar.
En Program/Script, navegue de nuevo a DocuWare\PowerTools\UserProvisioning\UserSyncExe y seleccione UserProvisioning.exe.
En Argument, escriba el nombre del archivo copiado desde la aplicación de Windows (
userProvisioning_config_1.json).
Haga clic en Finish y espere a que finalice la sincronización.
Una vez finalizada la sincronización, la siguiente información aparecerá en User Provisioning Configurator:
Si hay usuarios o grupos con errores, se puede editar el campo Timestamp con una fecha anterior para que la tarea de sincronización se ejecute de nuevo.
Los registros se encuentran en:
C:\ProgramData\DocuWare\UserProvisioningConfig
Notas:
Los nuevos usuarios creados a través del aprovisionamiento de usuarios reciben un correo electrónico de bienvenida con un enlace de restablecimiento de contraseña válido durante 3 horas. Se recomienda configurar un servidor SMTP, ya que la falta de uno puede afectar negativamente al rendimiento del sistema.
Asegúrese de que la cuenta de usuario que ejecuta la sincronización tiene permisos para leer todas las propiedades de usuario relevantes en Active Directory, ya que esto es necesario para una sincronización correcta.
Para configurar correctamente el SSO utilizando ADFS como proveedor de identidad con su sistema DocuWare Cloud, se recomienda establecer
userPrincipalNamecomo atributo de asignación para los nombres de usuario.Eliminar un usuario del grupo de sincronización no desactiva al usuario, simplemente lo elimina del grupo. Para que un usuario se desactive correctamente en DocuWare, su cuenta debe desactivarse en Active Directory.
Un usuario eliminado completamente del directorio externo no se actualiza automáticamente en DocuWare. La aplicación de aprovisionamiento de usuarios solo sincroniza los cambios de usuarios definidos y existentes. Si un usuario se elimina del directorio externo, la aplicación no detecta el cambio a menos que el grupo aprovisionado también se modifique, por ejemplo, mediante un cambio de pertenencia o un restablecimiento de la marca de tiempo. En ese caso, el usuario se elimina del grupo en DocuWare, pero permanece activo.
La tabla siguiente explica cómo los cambios de usuario en un directorio externo (como Active Directory) afectan a la sincronización de usuarios en DocuWare a través del aprovisionamiento de usuarios:
Estado en el directorio externo | Sincronización de usuarios de la aplicación DocuWare | DocuWare |
El usuario se desactiva | Transfiere el estado | El usuario se desactiva |
El usuario se mueve en el directorio externo | Detecta que el usuario ya no pertenece al grupo de sincronización | El usuario permanece activado |
El usuario se elimina del directorio | No transfiere un cambio, a menos que se produzcan otros cambios en el grupo o un restablecimiento de la marca de tiempo; en ese caso, el usuario se elimina del grupo | El usuario permanece activado |