Aspetti fondamentali
Active Directory One è un software verticale per la gestione degli account utente e dei gruppi Active Directory.
Attraverso un’interfaccia grafica di tipo tabellare, consente di visualizzare, editare e memorizzare elementi in batch processing superando i limiti delle interfacce standard di Active Directory.
Il software è progettato per la scalabilità e migliora le sue prestazioni all’aumentare della complessità e del numero di elementi da gestire nell’organizzazione.
Il motore interno di Active Directory One esegue controlli di validità a livello di applicazione e consente di individuare errori prima della modifica degli elementi in Active Directory.
Il provisioning dei nuovi utenti o gruppi nell’organizzazione è semplificato da un algoritmo di importazione e il deprovisioning può essere progettato e completamente automatizzato. La tracciabilità delle operazioni è registrata in una apposita sezione del registro eventi di Windows.
Copyright © 2021-2023 – Estesoft
Senza autorizzazione, chiunque può utilizzare, riprodurre o distribuire qualsiasi materiale contenuto in questo white paper per uso non commerciale e educativo (ovvero, diverso da quello a pagamento o per scopi commerciali) a condizione che venga citata la fonte originale e l’avviso di diritto d’autore applicabile.
Dichiarazione di esclusione di responsabilità
Questo White Paper tecnico di Active Directory One è solo a scopo informativo. Estesoft non garantisce l’accuratezza o le conclusioni raggiunte in questo white paper e questo white paper viene fornito “così com’è”. Estesoft non rilascia e declina espressamente tutte le rappresentazioni e garanzie, espresse, implicite, legali o di altro tipo, comprese, ma non limitate a: (i) garanzie di commerciabilità, idoneità per uno scopo particolare, idoneità, utilizzo, titolo o non violazione; (ii) che i contenuti di questo white paper sono privi di errori; e (iii) che tali contenuti non violino i diritti di terzi. Estesoft e le sue affiliate non avranno alcuna responsabilità per danni di qualsiasi tipo derivanti dall’uso, riferimento o affidamento su questo white paper o qualsiasi contenuto in esso contenuto, anche se informati della possibilità di tali danni. In nessun caso Estesoft o le sue affiliate saranno responsabili nei confronti di qualsiasi persona o entità per eventuali danni, perdite, responsabilità, costi o spese di qualsiasi tipo, diretti o indiretti, consequenziali, compensativi, incidentali, effettivi, esemplari, punitivi o speciali per l’uso, il riferimento o l’affidamento a questo white paper o a qualsiasi contenuto in esso contenuto, inclusi, senza limitazione, qualsiasi perdita di affari, ricavi, profitti, dati, utilizzo, avviamento o altre perdite intangibili.
Contesto di utilizzo del software
L’elevato turnover dei dipendenti, nelle organizzazioni di medie o grandi dimensioni può avere un forte impatto, questo perché le identità del personale devono essere mantenute allineate all’infrastruttura digitale, ritardi o errori in questo allineamento possono causare gravi inefficienze di produzione, un nuovo impiegato ad esempio può dover attendere troppo tempo prima di poter essere pienamente operativo, oppure un dipendente dopo aver cambiato ruolo può avere problemi nell’accesso alle risorse digitali dell’organizzazione. Active Directory One consente di accelerare e contemporaneamente migliorare l’affidabilità di questi processi aziendali.
Modelli e Progetti
Active Directory One utilizza progetti e modelli che possono essere salvati o caricati come file e che hanno lo scopo di contenere tutto il necessario per effettuare l’editing di liste di utenti o gruppi Active Directory senza scrivere direttamente nel database di AD, quando si è progettata l’intera lista delle entità è possibile effettuare una serie di verifiche di validità dei dati preparati e delle loro relazioni con i dati già presenti in AD e quindi memorizzare singoli elementi o l’intero progetto in Active Directory.
Modelli
Un modello è un file che contiene gli attributi da gestire, i rispettivi valori di default e le regole di formattazione automatica dei valori, i modelli possono essere personalizzati e vengono creati a partire da un documento esistente.
Quando si crea un nuovo progetto, questo viene ricavato da un modello esistente, se non sono presenti modelli viene comunque utilizzato un modello predefinito memorizzato internamente a livello di applicazione. Se si crea un nuovo progetto collegato a un gruppo oppure una unità organizzativa che contiene utenti o gruppi esistenti, nella fase di creazione, gli elementi esistenti vengono analizzati da un algoritmo che ottiene i valori degli attributi utilizzati nelle entità e se questi valori ricorrono in modo significativo, crea nuovi valori predefiniti che saranno poi utilizzati alla creazione di nuovi elementi all’interno del progetto, questo fa sì che quando si aggiunge un nuovo gruppo o utente in un progetto, tutti gli attributi più comuni saranno compilati automaticamente.
Ulteriori informazioni sui modelli
Progetti
Il progetto consente l’editing delle entità, queste possono essere già esistenti in Active Directory, oppure possono essere ancora da memorizzare, se le entità sono già presenti in AD il progetto evidenzia le differenze fra i valori in fase di editing e gli attuali valori AD, in qualsiasi momento è possibile sincronizzare i valori di editing con quelli ottenuti dal database di AD o viceversa attraversando un processo di validazione automatico. Per quanto riguarda gli elementi non ancora presenti in AD, questi possono essere memorizzati in qualsiasi momento in Active Directory: anche in questo caso prima dell’inserimento deve essere superata una validazione.
I progetti di tipo Users permettono l’editing egli utenti mentre quelli di tipo Groups permettono di lavorare con i gruppi.
Ogni progetto ha un ambito che non può essere modificato e che può essere un gruppo, oppure una unità organizzativa, questo ambito è evidenziato nella griglia di editing e in relazione al singolo record viene chiamato anche campo chiave. Se si modificano i campi chiave delle entità in modo che non appartengano più all’ambito del progetto, dopo la memorizzazione in Active Directory queste saranno automaticamente escluse dal progetto.
Ulteriori informazioni sui progetti
L’editing dei progetti può essere effettuato su un singolo record oppure su record multipli utilizzando la finestra Imposta Valori. Questa finestra, oltre a permettere l’azione contemporanea su più record consente di semplificare la creazione di un nuovo utente o gruppo, di resettare i campi al valore predefinito oppure di applicare regole di formattazione specifiche a livello di attributo.
Ulteriori informazioni sulla finestra Imposta valori
Gli attributi con le rispettive regole di formattazione e valori predefiniti possono essere completamente personalizzati attraverso la casella di dialogo Gestione Attributi. Sono supportati tutti gli attributi di Active Directory, compresi quelli personalizzati. Active Directory One crea a livello utente o gruppo degli speciali attributi aggiuntivi marcati con il prefisso Extra_ che consentono ulteriori funzionalità aggiuntive senza aggiunte o modifiche dello schema di Active Directory.
Per gli attributi stringa utilizzati per contenere percorsi nel file system è possibile applicare una speciale regola Cartella dati che descrive le autorizzazioni di accesso di quel percorso, successivamente, in fase di memorizzazione le impostazioni Cartella dati vengono applicate. Queste regole permettono ad esempio di creare Cartelle nel file system riferite a un gruppo di sicurezza oppure di creare strutture di collegamenti che puntano a cartelle personali degli utenti.
Ulteriori informazioni sulla finestra Gestione Attributi
Importazione – Esportazione
Active Directory One utilizza il formato Microsoft Excel per importare liste di utenti o gruppi all’interno del progetto corrente.
L’algoritmo di importazione è molto flessibile e per definire la struttura di importazione necessita di due soli campi per colonna, sulla prima riga il nome dell’attributo Active Directory e sulla seconda riga la stringa che sarà utilizzata come intestazione di colonna per lo stesso attributo, tutti i campi delle righe successive sono considerati valori per quell’attributo.
L’algoritmo riconosce le uguaglianze fra i record in ingresso e quelli già presenti in griglia ed effettua l’unione dei record considerati uguali, per esempio con lo stesso SID oppure con altri campi indicizzati.
In fase di importazione sono supportati i tipi di attributo numerici o stringa. Per esportare è sufficiente aprire un progetto, utilizzare il comando Esporta e l’intero progetto sarà esportato in formato Excel.
Ulteriori informazioni su come importare da un file Excel
Cartelle pubbliche
Per I progetti di tipo Gruppo è possibile creare automaticamente una cartella pubblica per ogni record del progetto, è sufficiente predisporre una cartella radice condivisa in rete. In fase di memorizzazione, Il nome di ogni singola cartella pubblica e le sue autorizzazioni di accesso saranno ricavate dagli attributi di ogni singolo gruppo. Questo consente di creare cartelle pubbliche in pochi secondi azzerando la possibilità di errore nell’assegnazione dei diritti di accesso.
Ulteriori informazioni sulle cartelle pubbliche
Collegamenti
Nelle organizzazioni dove è necessario un accesso alle cartelle personali di alcune categorie di utenti, come ad esempio una scuola dove i docenti devono avere accesso alle cartelle degli studenti delle proprie classi diventa un problema organizzare questo tipo di accesso perché la struttura e la gestione delle cartelle nel file system diventa molto complessa a causa del turnover del personale. Per ovviare a questo inconveniente è possibile lasciare sul file system una struttura più semplice, come ad esempio un’unica cartella per tutti gli studenti e utilizzare Active Directory One per creare automaticamente una struttura condivisa e organizzata di collegamenti alle cartelle personali degli utenti.
Ulteriori informazioni sui collegamenti
Utenti delegati
Active Directory One può essere utilizzato anche da utenti senza diritti amministrativi tramite il comando Utenti Delegati. Con la procedura di delega, l’amministratore può consentire all’utente delegato di operare con il software in Active Directory all’interno di un ambito programmato in un gruppo o unità organizzativa. L’utente delegato in quel contesto si impersonerà con diritti amministrativi utilizzando un set di credenziali specifiche per questo scopo. Il software impedirà qualsiasi operazione di scrittura in AD fuori dall’ambito previsto. La delega può essere permanente oppure può scadere dopo un periodo programmabile.
Active Directory One Agent – (ADOne Agent)
ADOne Agent è un servizio che consente di impostare una strategia per il provisioning e il de-provisioning degli utenti in Active Directory, inoltre interagisce con Microsoft 365 per assegnare licenze e configurare mailbox. In ADOne Agent viene impostata una lista di azioni che vengono eseguite dal servizio in un ordine programmato e con una pausa impostabile fra un’azione e la successiva, quando l’esecuzione di tutte le azioni si conclude, il programma ricomincia dalla prima con un ciclo infinito, finché il servizio non viene arrestato.
ADOne Agent -Strategia di arruolamento Active Directory (provisioning)
Con questa procedura è possibile creare o modificare utenti e gruppi in Active Directory a partire da un file Excel che contiene la lista degli elementi da creare o modificare, in combinazione con un file template creato con Active Directory One che invece definisce le caratteristiche degli account utente o dei gruppi. Una volta definito il template, per ottenere i nuovi elementi AD, basta copiare il file excel in una cartella nel file system e tutto avviene in modo automatico.
Ulteriori informazioni sulla Strategia di arruolamento Active Directory
ADOne Agent -Strategia di uscita (de-provisioning)
Questa procedura consente di programmare in modo completamente automatizzato il de-provisioning degli utenti, è possibile definire come ambito un gruppo, un’unità organizzativa oppure l’intero dominio e come evento di trigger per l’avvio della procedura l’inserimento dell’utente in un gruppo, in una unità organizzativa oppure il tempo di inutilizzo dell’account.
Quando tutte le condizioni di innesco sono confermate la strategia di uscita attiva la data di disattivazione e di eliminazione dell’account.
Durante il periodo in cui la procedura è attiva l’utente può essere avvisato con notifiche programmabili via mail.
Nella fase di eliminazione, se l’utente ha una cartella personale nel file system anche questa viene eliminata. Tutta la strategia di uscita viene tracciata nel registro eventi di Windows per conservare lo storico delle operazioni.
Ulteriori informazioni sulla Strategia di uscita Active Directory
ADOne Agent -Assegnazione licenze Microsoft 365
Se l’organizzazione utilizza Microsof 365, dopo che sono stati creati gli utenti in Active Directory e che sono stati fatti migrare nel tenant da un software di sincronizzazione come Microsoft Azure AD Sync, agli utenti devono essere assegnate manualmente le licenze appropriate.
ADOne Agent automatizza questo processo controllando a intervalli regolari le licenze dei nuovi utenti in Microsoft 365, configurando la licenza appropriata in base al valore degli attributi scelti dall’amministratore. Tutte le assegnazioni di licenza vengono inserite nel registro eventi di Windows per la tracciabilità delle operazioni.
Ulteriori informazioni su Assegnazione licenze microsoft 365
ADOne Agent – Configurazione mailbox Microsoft 365
Per gli utenti in Microsoft 365, può accadere che la mailbox non funzioni correttamente se vengono impostate in modo errato dall’utente alcune opzioni come il linguaggio, il formato della data o dell’ora oppure il fuso orario. ADOne Agent controlla a intervalli regolari la configurazione delle mailbox in Microsoft 365 e corregge automaticamente le eventuali impostazioni errate.
Ulteriori informazioni su Configurazione mailbox Microsoft 365