View a markdown version of this page

Synchronisation Active Directory - Studio de recherche et d'ingénierie
Configuration d'exécutionComment démarrer ou arrêter manuellement la synchronisation (versions 2025.03 et ultérieures)Comment exécuter manuellement la synchronisation (versions 2024.12 et 2024.12.01)Configuration SSO

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Synchronisation Active Directory

Configuration d'exécution

Tous les paramètres CFN liés à Active Directory (AD) sont facultatifs lors de l'installation.

Formulaire avec des champs de configuration Active Directory facultatifs, notamment le nom de domaine, les paramètres LDAP, les unités organisationnelles et les informations d'identification du compte de service.

Pour tout ARN secret fourni lors de l'exécution (par exemple, ServiceAccountCredentialsSecretArn ouDomainTLSCertificateSecretArn), assurez-vous d'ajouter les balises suivantes au secret pour que RES obtienne l'autorisation de lire la valeur du secret :

  • clé : res:EnvironmentName, valeur : <your RES environment name>

  • clé : res:ModuleName, valeur : directoryservice

Toutes les mises à jour de configuration AD sur le portail Web seront automatiquement récupérées lors de la prochaine synchronisation AD planifiée (toutes les heures). Les utilisateurs peuvent avoir besoin de reconfigurer le SSO après avoir modifié la configuration AD (par exemple, s'ils passent à un autre AD).

Après l'installation initiale, les administrateurs peuvent consulter ou modifier la configuration AD sur le portail Web RES sous la page Gestion des identités :

Page de configuration du domaine Active Directory présentant les paramètres du domaine, les détails de la connexion LDAP et les unités organisationnelles.
Boîte de dialogue de synchronisation Active Directory avec des champs pour le nom du répertoire, les paramètres LDAP et les unités organisationnelles.

Réglages supplémentaires

Filtres

Les administrateurs peuvent filtrer les utilisateurs ou les groupes à synchroniser à l'aide des options Filtre des utilisateurs et Filtre des groupes. Les filtres doivent respecter la syntaxe du filtre LDAP. Voici un exemple de filtre :

(sAMAccountname=<user>)

Paramètres SSSD personnalisés

Les administrateurs peuvent fournir un dictionnaire de paires clé-valeur contenant des paramètres et des valeurs SSSD à écrire dans la [domain_type/DOMAIN_NAME] section du fichier de configuration SSSD sur les instances de cluster. RES applique automatiquement les mises à jour SSSD : il redémarre le service SSSD sur les instances de cluster et déclenche le processus de synchronisation AD. Pour une description complète du fichier de configuration SSSD, consultez les pages de manuel Linux pourSSSD.

Formulaire de configuration SSSD supplémentaire avec les clés ldap_id_mapping et join_active_directory définies sur true, et le bouton Ajouter un paramètre.

Les paramètres et valeurs SSSD doivent être compatibles avec la configuration RES SSSD décrite ici :

  • id_providerest défini en interne par RES et ne doit pas être modifié.

  • Les configurations liées à ADldap_uri, y comprisldap_search_base, ldap_default_bind_dn et ldap_default_authtok sont définies en fonction des autres configurations AD fournies et ne doivent pas être modifiées.

L'exemple suivant active le niveau de débogage pour les journaux SSSD :

Formulaire de configuration montrant trois paires clé-valeur : ldap_id_mapping défini sur true, join_active_directory défini sur true et debug_level défini sur 0xFFF0.

Comment démarrer ou arrêter manuellement la synchronisation (versions 2025.03 et ultérieures)

Accédez à la page Gestion des identités, puis cliquez sur le bouton Démarrer la synchronisation AD dans le conteneur de domaine Active Directory pour déclencher une synchronisation AD à la demande.

Paramètres de configuration du domaine Active Directory, notamment le nom de domaine, la base LDAP, les informations d'identification du compte de service et les spécifications des unités organisationnelles.

Pour arrêter une synchronisation AD en cours, sélectionnez le bouton Arrêter la synchronisation AD dans le conteneur de domaine Active Directory.

Page de configuration du domaine Active Directory affichant les paramètres du domaine et le bouton Arrêter la synchronisation AD.

Vous pouvez également vérifier l'état de synchronisation AD et l'heure de synchronisation la plus récente dans le conteneur de domaine Active Directory.

Page de configuration du domaine Active Directory indiquant les paramètres du domaine et l'état de synchronisation.

Comment exécuter manuellement la synchronisation (versions 2024.12 et 2024.12.01)

Le processus de synchronisation Active Directory a été transféré de l'hôte infrarouge de Cluster Manager à une tâche unique d'Amazon Elastic Container Service (ECS) en arrière-plan. Le processus est planifié pour s'exécuter toutes les heures et vous pouvez trouver une tâche ECS en cours d'exécution dans la console Amazon ECS sous le <res-environment-name>-ad-sync-cluster cluster pendant qu'elle est en cours d'exécution.

Pour le lancer manuellement :

  1. Accédez à la console Lambda et recherchez le lambda appelé. <res-environment>-scheduled-ad-sync

  2. Ouvrez la fonction Lambda et accédez à Test

  3. Dans le fichier Event JSON, entrez ce qui suit :

    {
    "detail-type": "Scheduled Event"
}

  4. Sélectionnez Tester).

  5. Observez les journaux de la tâche AD Sync en cours d'exécution sous CloudWatch→ Groupes de journaux →<environment-name>/ad-sync. Vous verrez les journaux de chacune des tâches ECS en cours d'exécution. Sélectionnez le plus récent pour afficher les journaux.

Note

  • Si vous modifiez les paramètres AD ou ajoutez des filtres AD, RES ajoutera les nouveaux utilisateurs en fonction des nouveaux paramètres spécifiés et supprimera les utilisateurs précédemment synchronisés et qui ne sont plus inclus dans l'espace de recherche LDAP.

  • RES ne peut pas supprimer un user/group élément activement affecté à un projet. Vous devez supprimer des utilisateurs des projets pour que RES les supprime de l'environnement.

Configuration SSO

Une fois la configuration AD fournie, les utilisateurs doivent configurer Single Sign-On (SSO) pour pouvoir se connecter au portail Web RES en tant qu'utilisateur AD. La configuration SSO a été déplacée de la page des paramètres généraux vers la nouvelle page de gestion des identités. Pour plus d'informations sur la configuration de l'authentification unique, consultezGestion des identités.