將AD域數(shù)據(jù)同步到釘釘
本文介紹如何實現(xiàn) AD 域的身份數(shù)據(jù)自動同步到釘釘。
IDaaS 可以全面打通 AD 到釘釘?shù)纳矸輸?shù)據(jù)同步鏈路：當(dāng) AD 的用戶/組織數(shù)據(jù)有變動時，自動變更釘釘通訊錄數(shù)據(jù)。通過該能力，企業(yè)可以將 AD 作為傳統(tǒng)的身份管控來源，并自動地向釘釘以及其他下游應(yīng)用同步身份數(shù)據(jù)，實現(xiàn)“一處修改，處處生效”的效果。
本文介紹的所有 IDaaS 能力均可免費使用。
一、開通 IDaaS 實例
步驟1 訪問 阿?云 IDaaS 管理控制臺。也可通過產(chǎn)品與服務(wù)導(dǎo)航，定位到應(yīng)?身份服務(wù)，單擊進(jìn)?應(yīng)?身份服務(wù)管理控制臺。
步驟2 點擊免費創(chuàng)建實例。
步驟3 填寫實例名稱，勾選阿里云產(chǎn)品服務(wù)協(xié)議,點擊創(chuàng)建完成實例創(chuàng)建。
二、AD 數(shù)據(jù)同步到 IDaaS
更多 AD 相關(guān)的配置和用法請參考： 綁定AD
第一步：綁定AD
步驟1 點擊訪問控制臺進(jìn)入實例。
步驟2 在快速入門界面點擊【綁定AD】。
步驟3 在【連接AD】界面中，輸入 AD 域信息
顯示名稱：用戶在登錄、使用 IDaaS 時可能看到。
服務(wù)器地址：AD 所在的服務(wù)器地址，AD 一般使用 389 端口，如 127.0.0.1:389。開啟 ldaps 或 StartTLS 時一般使用 636 端口。
ldaps/StartTLS：開啟后可以大幅提高連接的安全性，推薦開啟。請在 AD安全性配置 中了解如何開啟。
出口IP：如果您希望只有 IDaaS 可以請求該 AD，請在服務(wù)器中配置 IP 白名單。
管理員賬戶：IDaaS 使用該 AD 管理員賬戶讀取 AD 信息來完成數(shù)據(jù)同步或委托認(rèn)證，該賬戶需要至少擁有讀權(quán)限，支持使用 UPN 格式（example@example.com）和 DN 格式（cn=admin,ou=技術(shù)部，dc=example，dc=com）。
管理員密碼：該賬戶的登錄密碼。
第二步：選擇場景
選擇希望和 AD 實現(xiàn)的場景能力。
同步方向：同步來源所選的 AD 的用戶/組織數(shù)據(jù)將會導(dǎo)入到 IDaaS 的這個節(jié)點之下。來源節(jié)點需要填寫 AD 節(jié)點的 DN，AD 根節(jié)點的 DN 一般為 dc=example,dc=com（即您的域）（例如：示例來源ou為AD_Test-0730，則完整填寫進(jìn)行匹配：ou=AD_Test-0730,dc=idsmanager,dc=cn）。
增量同步：IDaaS 將監(jiān)聽 AD 的用戶/組織數(shù)據(jù)，每 10 分鐘左右將有變動的數(shù)據(jù)導(dǎo)入到 IDaaS 中。
您可以在字段映射中設(shè)置映射標(biāo)識，使用 IDaaS 賬戶的某個字段（如手機號）與 AD 用戶的某個字段（如手機號）進(jìn)行匹配，如果匹配成功，將綁定并覆蓋更新，否則將創(chuàng)建 IDaaS 賬戶。
在首次進(jìn)行增量同步時，將自動執(zhí)行一次全量同步。
如果單條賬戶數(shù)據(jù)無法導(dǎo)入，不影響其他數(shù)據(jù)導(dǎo)入。
失敗信息可在【同步日志】中查看。
需要開啟 AD 回收站才可接收 AD 刪除類型的事件的消息。請在 增量同步中了解如何開啟。
委托認(rèn)證：用戶可以使用 AD 賬號登錄到 IDaaS，
自動更新密碼：用戶通過 AD 委托認(rèn)證到 IDaaS 時，如果 IDaaS 賬戶的密碼為空，則更新為 AD 賬號的密碼。AD 密碼需滿足 IDaaS 密碼策略的要求，否則將無法自動更新。
高級配置
用戶/組織ObjectClass：通過 ObjectClass 可以定義哪種類型的對象是用戶/組織，例如將查詢結(jié)果中 ObjectClass=user 的對象視作用戶。一般無需修改。
用戶登錄標(biāo)識：用戶在使用 AD 委托認(rèn)證登錄 IDaaS 時，IDaaS 將根據(jù)這些屬性去 AD 中查詢用戶并匹配密碼，密碼正確則允許用戶登錄 IDaaS。可以使用半角逗號對多個屬性進(jìn)行分割，此時為或關(guān)系，即可以使用任一屬性登錄。請確保多個屬性對應(yīng)同一個 AD 用戶，否則將無法登錄。
第三步：字段映射
通過字段映射將AD 用戶/組織和 IDaaS 賬戶/組織綁定，使用 AD 中用戶的某些數(shù)據(jù)作為 IDaaS 賬戶的數(shù)據(jù)，例如將 AD 用戶的手機號作為 IDaaS 賬戶的賬戶名。
如果確認(rèn)字段映射的配置準(zhǔn)確，可以選擇【保存并同步】，此時將執(zhí)行一次全量同步，將所選的AD數(shù)據(jù)同步到IDaaS；如果您暫不確定字段映射的配置是否準(zhǔn)確，可以選擇【僅保持】，后續(xù)在該身份提供方的【修改配置】-【字段映射】中修改。
第四步：開始同步
在第四步中選擇【保存并同步】或選擇僅保存后在【身份提供方】界面點擊【觸發(fā)同步】。
完成同步后，在賬戶界面即可看到同步完成的賬戶。
?
三、IDaaS 數(shù)據(jù)同步到釘釘
更多 AD 相關(guān)的配置和用法請參考： 綁定釘釘-出方向
第一步：綁定釘釘
在【快速入門】或【身份提供方】菜單中，點擊【快速綁定釘釘】，選擇【出方向】，即可開始快速綁定釘釘-出方向流程。
第二步：創(chuàng)建應(yīng)用
在創(chuàng)建應(yīng)用界面填寫信息。
顯示名：用戶在登錄、使用 IDaaS 時可能看到。
CorpId：在 釘釘開放平臺-首頁獲取。
AppKey/AppSecret。
在 釘釘開放平臺-企業(yè)內(nèi)部開發(fā)中創(chuàng)建應(yīng)用。
在應(yīng)用詳情頁獲取AppKey/AppSecret
將回調(diào)域名以及應(yīng)用首頁地址填寫至釘釘。
回調(diào)域名：填寫到應(yīng)用詳情中的登錄與分享-回調(diào)域名。該字段用于釘釘掃碼登錄，如果不填寫將無法使用釘釘掃碼登錄到 IDaaS。
應(yīng)用首頁地址：填寫到應(yīng)用詳情中的登錄與分享-回調(diào)域名。配置該字段后，用戶在釘釘控制臺點擊該應(yīng)用時（在版本管理與發(fā)布中可以設(shè)置應(yīng)用的可見范圍），可以單點登錄到 IDaaS 應(yīng)用門戶。
如果您希望只有 IDaaS 可以請求該釘釘應(yīng)用，請在該釘釘應(yīng)用頁面的【開發(fā)管理】中填寫服【務(wù)器出口IP】：112.124.239.96,112.124.239.101,112.124.239.100,112.124.239.99,112.124.239.98,112.124.239.97,112.124.239.105,112.124.239.104,112.124.239.103,112.124.239.10
第三步：分配權(quán)限
請在 釘釘開放平臺-企業(yè)內(nèi)部開發(fā)中進(jìn)入應(yīng)用詳情，在【權(quán)限管理】中分配【通訊錄管理】和【應(yīng)用管理】的全部權(quán)限，授權(quán)范圍選擇【全部員工】。
完成授權(quán)后，在 IDaaS 中點擊【下一步】按鈕，IDaaS 將檢查該應(yīng)用是否擁有釘釘通訊錄管理權(quán)限，檢查通過則完成了配置。
第四步：選擇場景
選擇希望和釘釘實現(xiàn)的場景能力。
同步方向：同步來源所選的 IDaaS 的賬戶/組織數(shù)據(jù)將會導(dǎo)入到釘釘?shù)倪@個節(jié)點之下。【目標(biāo)節(jié)點】需要填寫釘釘部門 ID，可以在 釘釘管理后臺中編輯部門時可以看到，釘釘根部門的 ID 默認(rèn)為 1。
增量同步：啟用后，當(dāng) IDaaS 賬戶/組織數(shù)據(jù)有變動時，將實時將變動數(shù)據(jù)同步到釘釘通訊錄中。導(dǎo)出到釘釘?shù)挠脩簦琁DaaS 會根據(jù)第四步【字段映射】中的【映射標(biāo)識】與釘釘用戶進(jìn)行匹配（可在字段映射中自定義規(guī)則），如果匹配成功，將覆蓋更新，否則將創(chuàng)建用戶。
釘釘掃碼登錄：勾選后，會在【登錄】菜單中創(chuàng)建【釘釘掃碼登錄】，并處于啟用狀態(tài)，用戶可直接掃碼登錄。
建議使用小范圍的數(shù)據(jù)（或非生產(chǎn)環(huán)境）進(jìn)行測試驗證，完成驗證后再擴大節(jié)點范圍，以免因配置有誤影響釘釘?shù)臄?shù)據(jù)。
第五步：字段映射
通過字段映射將IDaaS 賬戶/組織和釘釘用戶/部門綁定，使用IDaaS中賬戶的某些數(shù)據(jù)作為釘釘用戶的數(shù)據(jù)，例如將IDaaS賬戶的顯示名作為釘釘用戶的姓名。
IDaaS 默認(rèn)支持釘釘?shù)拿Q、手機號、郵箱、職位、工號等字段值的自定義，如果您需要使用其他字段（比如辦公地點），您可以【添加字段】。
字段名稱：僅在 IDaaS 中顯示使用。
字段標(biāo)識：需要使用釘釘字段名稱，在當(dāng)前身份提供方中唯一。以上圖為例，辦公地點的字段標(biāo)識是work_place。
如果確認(rèn)字段映射的配置準(zhǔn)確，可以選擇【保持，且立即同步】，此時將執(zhí)行一次全量同步，將第三步所選的 IDaaS 數(shù)據(jù)同步到釘釘；如果您暫不確定字段映射的配置是否準(zhǔn)確，可以選擇【僅保持，暫不同步】，后續(xù)在該身份提供方的【修改配置-字段映射】中修改。
同步后，如果員工暫未加入釘釘企業(yè)，會存在用戶同步報錯情況，只需受邀用戶同意后便可加入釘釘組織。
注意：
如果需要使用 IDaaS 賬戶登錄專屬釘，釘釘用戶的 userid 字段必須使用 IDaaS 賬戶的 userid 字段。
如果對應(yīng)手機號未注冊釘釘，則會發(fā)送短信通知，如下圖所示：
?
?