Деактивация пользователей, выбывших из синхронизации с директорией

Добавили возможность автоматически деактивировать пользователей, которые выбыли из выборки синхронизации с директорией. Например, когда сотрудник перейдет в другой отдел, а администратор уберет его из группы в директории, после синхронизации Kaiten автоматически деактивирует его учетную запись и освободит лицензию.

Функция уже доступна облачным клиентам Kaiten. В серверной поставке начиная с версии 58.95.0.

При синхронизации Kaiten и раньше умел деактивировать пользователя, отключенного в самой директории (по атрибуту учетной записи — userAccountControl в Windows Active Directory или shadowExpire в Open LDAP). Но если сотрудник выпадал из выборки, например, его исключали из синхронизируемой группы или он переставал соответствовать фильтру — его учетная запись в Kaiten оставалась активной, и ее приходилось деактивировать вручную. Теперь такими пользователями можно управлять автоматически.

Как включить деактивацию выбывших для типов LDAP: Windows Active Directory и Open LDAP

1. В левой панели управления откройте административный раздел «Настройки компании». На вкладке «Настройки компании» добавьте новый способ аутентификации и перейдите к его настройкам или нажмите на три точки рядом с уже настроенным и выберите пункт «Настройки».

   

2. Откроется окно на вкладке «Синхронизация».

3. Включите переключатель «Деактивировать пользователей если они деактивированы в директории». Под ним появятся новые режимы деактивации выбывших.

   

4. Выберите режим.

   Для типов Windows Active Directory и Open LDAP доступны два взаимоисключающих режима:

• «Деактивировать пользователей, отсутствующих в текущей выборке из директории» — деактивирует тех, кто был в предыдущей синхронизации, но отсутствует в текущей выборке. Более щадящий режим: затрагивает только тех, кто реально выбыл между синхронизациями.

• «Полностью приводить состав в соответствие с текущей выборкой фильтра» — деактивирует всех пользователей, синхронизированных этой стратегией, которых нет в текущей выборке по фильтру, независимо от прошлых синхронизаций и независимо от изменения настроек. Более строгий режим: состав в Kaiten приводится ровно к тому, что возвращает фильтр. В отличие от предыдущего режима, этот деактивирует и тех, кто выпал из выборки после изменения objectFilter или других настроек.

5. Нажмите «Сохранить».

Ключевое отличие режимов: режим сравнения с предыдущей синхронизацией не трогает пользователей, выпавших из-за изменения фильтра или настроек (они останутся активными), — выбирайте его для аккуратного отслеживания выбытия при стабильных настройках. Режим полной сверки приводит состав к текущему фильтру в любом случае, включая изменения настроек, — выбирайте его, когда нужно гарантированно синхронизировать состав с фильтром.

Для подключения с типом «LDAP не определен» деактивация выбывших по-прежнему работает по умолчанию (в режиме сравнения с предыдущей синхронизацией), как только включен переключатель «Деактивировать пользователей если они деактивированы в директории».

Теперь здесь появился строгий режим: «Полностью приводить состав в соответствие с текущей выборкой фильтра».

Какой режим выбрать

Разница проявляется, когда вы меняете objectFilter или другие настройки выборки.

Важно

• Деактивация не удаляет пользователя и не теряет его данные — упоминания, назначения и история активности сохраняются; пользователя можно активировать обратно (в том числе автоматически, если он снова попадет в выборку).

• Деактивация по атрибуту учетной записи (пользователь отключен в самой директории) работает как прежде, независимо от этих опций.

Полезные ссылки

• Синхронизация пользователей и групп с директорией — как настроить подключение и выборку пользователей

• Multi SSO + directory user sync — как добавить способ аутентификации и включить синхронизацию

• Как временно деактивировать пользователя — что происходит с деактивированным сотрудником