Dokumentation

Produktbeschreibung

Active Directory Sync für STARFACE importiert und synchronisiert STARFACE-Benutzer und deren Einstellungen aus einem Microsoft Active Directory oder Entra ID. Es erlaubt außerdem, verschlüsselte SSH-Tunnel aufzubauen, um so selbst auf Cloud-Installationen lokale Dienste (wie z.B. einen Domänencontroller für Authentifizierung und Autorisierung) anzubinden.

Zweckbestimmung: Unterstützung von Administratoren beim Import von Benutzern im Rahmen einer Erstinstallation sowie automatisierte Synchronisation von Benutzerdaten um dauerhafte Konsistenz der beteiligten Systeme sicherzustellen.

Produkt-, Hersteller- und Sicherheitsinformationen, Kompatibilitätsangaben sowie Konformitätserklärungen finden Sie in den Release Notes der jeweiligen Modulversion.

Technische Eigenschaften

Voraussetzungen

• Eine mit der Modulversion kompatible STARFACE-Version.

  • Ja Appliance
  • Ja Cloud
  • Ja VM

• Erreichbarkeit der folgenden Hosts für die STARFACE-Installation

  • optional
    updates.sf-app.de (HTTPS, 443/TCP)
    für automatische Modulupdates (optional)
  • optional
    license.sf-app.de (HTTPS, 443/TCP)
    für automatische Abfrage der Modullizenz (optional)
  • Microsoft 365-Dienste
    bei Verwendung von Entra ID als Synchronisationsquelle
  • <LDAP-Server/Domänencontroller>
    bei Verwendung von Active Directory als Synchronisationsquelle

• Moderner Webbrowser: Chrome 111 (oder neuer), Safari 16.4 (oder neuer), Firefox 128 (oder neuer)

Einschränkungen

• Der Active Directory Sync unterstützt genau eine (1) anlagenweite Modulkonfiguration.

Vorbereitungen

1. Leitungskonfiguration

   Falls nicht bereits geschehen: Legen Sie eine oder mehrere Leitungen in der Leitungskonfiguration Ihrer STARFACE an, um die im AD konfigurierten Rufnummern auf der STARFACE verfügbar zu machen. Es spielt keine Rolle, ob es sich bei der Leitung um einen ISDN-, NGN- oder Standard-SIP-Anschluss handelt.

   Gehen Sie hierzu in den Admin-Bereich Ihrer STARFACE. Klicken Sie in der linken Navigationsleiste auf Leitungen und anschließend auf den Tab Leitungen.

   Wählen Sie Neue Leitung oder um eine neue Leitung anzulegen. Vergeben Sie einen beliebigen Leitungsnamen ohne Leer- und Sonderzeichen und fügen anschließend die zu Ihrem Anschluss gehörenden Rufnummern(blöcke) hinzu.
2. STARFACE Lizenzen
3. Active Directory AnbindungOn-Prem Active Directory
4. Modul-Installation & Konfiguration

---

Anleitung

Benutzer aus dem AD importieren

Grundlegendes zum Import

Active Directory Benutzer, die in einer AD-Benutzergruppe zusammengefasst sind, werden automatisiert und zeitgesteuert in die STARFACE importiert (ausreichend freie STARFACE-Benutzerlizenzen vorausgesetzt). Die Benutzereigenschaften wie Vorname, Nachname, E-Mail-Adresse sowie beliebig viele Rufnummern (Telefon Geschäftlich, Fax, ...) werden hierbei ebenfalls importiert.

Rufnummern, die zur Leitungskonfiguration der STARFACE gehören, werden dem Benutzer als eigene Telefonnummer zugewiesen. Bei Faxrufnummern wird für den Benutzer und die entsprechende Rufnummer Software Fax2Mail konfiguriert.

Benutzern, die im Active Directory Mitglied einer Admin-Benutzergruppe sind, kann beim Import in die STARFACE ebenfalls das Administrationsrecht zugewiesen werden.

Wenn auf der STARFACE Benutzer existieren, die keine Entsprechung im Active Directory haben, werden diese Benutzer umbenannt, indem ein Minus-Zeichen vor den Nachnamen gesetzt wird. Hierdurch wird kenntlich gemacht, dass ein Benutzer, der z.B. im Active Directory gelöscht wurde, auch auf der STARFACE gelöscht werden kann. Active Directory Sync wird selbst niemals Benutzer löschen, um eventuell vorhandene Ruflisteninformationen, Faxe oder Voicemails nicht zu verlieren.

Einem nur in der STARFACE vorhandenen Benutzer werden alle Rufnummern (mit Ausnahme der primären internen Rufnummer) entzogen, so dass die Rufnummern anderen Benutzern wieder zur Verfügung stehen. Soll das verhindert werden ( z.B. für Benutzer, die nicht im AD existieren, wie Türsprechstellen, Faxgeräte, usw.), muß der Benutzer mit Admin-Rechten ausgestattet werden.

Vorsicht

Bitte achten Sie darauf, Benutzern nicht versehentlich ihre Rufnummern zu entziehen, indem Sie AD-Benutzer aus dem in der STARFACE angegebenen Base-DN verschieben, die AD-Benutzergruppen ändern oder die E-Mail-Adresse und den Benutzernamen im AD derart verändern, dass eine Zuordnung zwischen STARFACE-Benutzer und AD-Benutzer nicht mehr möglich ist.

Auswahl der Synchronisationsquelle

Als Synchronisationsquellen stehen entweder ein on-prem Active Directory oder ein Microsoft Entra ID zur Verfügung.

Microsoft Active Directory / LDAP

Bei Auswahl von Microsoft Active Directory / LDAP werden nebenstehend die aktuellen STARFACE-Anbindungseinstellungen angezeigt. Eine weitere Konfiguration ist nicht nötig und daher auch nicht möglich.

---

Entra ID

Bei Auswahl von Microsoft Entra ID wird nebenstehend eine Schaltfläche Anmeldeeinstellungen zur Anmeldung eingeblendet und die aktuellen Anmeldeeinstellungen angezeigt.

Active Directory Sync unterstützt zwei Arten der Microsoft-Anmeldung:

1. Anmeldung eines Microsoft Benutzers
2. Anmeldung als Azure App (empfohlen)

A. Microsoft Benutzer Anmeldung

Die Anmeldung eines Microsoft Benutzers stellt die einfachste Form der Anbindung dar.

Der Benutzer meldet sich hierbei innerhalb eines interaktiven Anmeldevorgangs bei Microsoft an. Active Directory Sync erhält Zugriff im Kontext des Benutzers. Die Rechte entsprechen denen der Benutzerrolle bzw. den Rechten des sich anmeldenden Benutzers. Der Anmeldevorgang erfordert MFA, sofern dies im Tenant aktiviert wurde.

Vorteile

• Einfach einzurichten
• Keine separate App-Registrierung notwendig
• Zugriff auf Ressourcen, die der Benutzer autorisiert hat

Nachteile

• Anmelde-Token verfällt relativ schnell
• Erfordert eine neue Benutzeranmeldung, bei Token-Ablauf

B. Azure App Anmeldung (empfohlen)

Die Authentifizierung einer Azure App erfolgt über eine im Azure Portal registrierte App mit Client ID und Secret oder Zertifikat. Es ist kein Benutzerkontext erforderlich. Der Zugriff erfolgt mit Application-Rechten („App-Only Permissions“).

Da kein interaktiver Anmeldevorgang erforderlich ist, eignet sich dieses Verfahren gut für Hintergrundprozesse und Synchronisation.

Vorteile

• Kein Login nötig
• Längere Tokenlaufzeiten
• Keine MFA erforderlich

Nachteile

• Einrichtung komplexer (App-Registrierung, Rechtezuweisung)
• Höhere Rechte nötig (z.B. Directory.Read.All als Application-Recht)
• Geringere Nachvollziehbarkeit einzelner Aktionen (kein Benutzerkontext)

Einrichtung

1. Öffnen Sie im Azure Portal den Dienst App-Registrierungen und klicken Sie anschließend auf die Schaltfläche + Neue Registrierung.
2. Tragen Sie einen Namen für die Anwendung ein und wählen Sie bei Unterstützte Kontotypen die Option Konten in einem beliebigen Organisationsverzeichnis (beliebiges Azure AD-Verzeichnis – mehrinstanzenfähig). Klicken Sie anschließend auf Registrieren.
3. Wählen Sie API-Berechtigungen in der linken Navigation und klicken Sie auf + Berechtigungen hinzufügen. Wählen Sie Microsoft Graph, dann Anwendungsberechtigungen. Wählen Sie in der Liste die folgenden Berechtigungen:

• Directory.Read.All
• User.Read.All
• User.ReadWrite.All (für die Rücksynchronisation der Telefonnummer notwendig)

Klicken Sie anschließend auf Berechtigungen hinzufügen. 4. Klicken Sie auf ✓ Administratorenzustimmung für '...' erteilen und bestätigen Sie den Dialog. 5. In der Tabelle sollte nun in der Spalte Status bei allen Berechtigungen ein grüner Haken angezeigt werden. 6. Wählen Sie Zertifikate & Geheimnisse in der linken Navigation und klicken Sie auf + Neuer geheimer Clientschlüssel. Geben Sie eine Beschreibung ein, wählen Sie eine Gültigkeitsdauer (max. 2 Jahre), und klicken Sie auf Hinzufügen. 7. In der Spalte Wert wird nun das Anwendungs-Geheimnis angezeigt. Speichern Sie diesen Wert, da er später nicht mehr angezeigt werden kann. 8. Wählen Sie Übersicht in der linken Navigation. Dort finden Sie die Werte für:

• Anwendungs-ID
• Verzeichnis-ID

9. Tragen Sie die Anwendungs-ID, das Anwendungs-Geheimnis und die Verzeichnis-ID im Modul ein.

Synchronisationseinstellungen

In den Synchronisationseinstellungen legen Sie fest, aus welchen AD-Gruppen Benutzer importiert bzw. mit STARFACE synchronisiert werden. Dabei können für jede AD-Gruppe individuelle Lizenz- und Rechte-Einstellungen definiert werden. Die Zuweisung erfolgt dauerhaft – Rechte und Lizenzen werden bei der Synchronisation vergeben, aber nie entzogen.

Benutzergruppen konfigurieren

Neue AD-Gruppe hinzufügen

Klicken Sie auf AD Gruppe hinzufügen, um eine neue Active Directory Gruppe zur Synchronisation hinzuzufügen.

Für jede Gruppe stehen folgende Konfigurationsoptionen zur Verfügung:

• Aktivierung/Deaktivierung
  Die Checkbox bestimmt, ob die jeweilige Synchronisationseinstellung bei einer zeitgesteuerten Ausführung oder bei Klick auf Ausgewählte Gruppen synchronisieren berücksichtigt wird.
• AD-Gruppenname (read-only)
  Der Name der AD-/Entra ID-Gruppe, deren Benutzer synchronisiert werden sollen.
• Zur STARFACE Gruppe
  Wählen Sie die STARFACE-Zielbenutzergruppe, in die die synchronisierten Benutzer aufgenommen werden sollen.
• Lizenztyp
  • Benutzer: Volle Benutzerlizenz
  • Benutzer Light: Eingeschränkte Benutzerlizenz
• Zusätzliche Rechte
  Aktivieren Sie bei Bedarf weitere Rechte durch Setzen eines Häkchens:
  • Adminrechte
  • App-Premium / Softphone
  • Teams Integration (nur bei App-Premium verfügbar)
  • Terminal-Server

Symbolerklärungen

Die Kopfzeile einer Synchronisationseinstellung zeigt folgende Informationen bzw. Steuerungselemente an:

Symbol	Funktion
	Zeitgesteuerte Synchronisation Aktiviert die regelmäßige Synchronisation über einen konfigurierbaren Timer.
	AD-Gruppenname Name der AD-/Azure-Gruppe, aus der die zu synchronisierenden Benutzer geladen werden.
	Gruppenmitglieder anzeigen Zeigt die Mitglieder der AD-Gruppe an. Das Laden der Liste kann etwas Zeit beanspruchen.
	Rücksynchronisation Speichert die in STARFACE hinterlegten primären externen Rufnummern zurück ins Entra ID.
	Manuelle Synchronisation Startet eine einmalige Synchronisation der ausgewählten Gruppe(n).
	Gruppe löschen Entfernt die Gruppe aus der Liste der Synchronisationseinstellungen.

Synchronisation ausführen

Durch einen Klick auf Ausgewählte Gruppen synchronisieren können Sie alle aktivierten Gruppen manuell synchronisieren. Sie können zusätzlich oder alternativ eine Zeitgesteuerte Synchronisation aktivieren

Erweiterte Einstellungen

Die erweiterten Einstellungen beeinflussen das Verhalten der Benutzersynchronisation zwischen Active Directory und STARFACE. Sie ermöglichen eine genauere Steuerung des Importvorgangs.

Nur neue Benutzer importieren/synchronisieren

Wenn diese Option aktiviert ist, werden nur neue AD-Benutzer zu STARFACE hinzugefügt. Bereits vorhandene STARFACE-Benutzer werden nicht verändert. Das ist besonders hilfreich bei regelmäßiger, automatischer Synchronisation, um manuelle Änderungen an bestehenden Benutzern nicht zu überschreiben.

Login ID auf primäre interne Rufnummer setzen

Mit dieser Einstellung wird beim Anlegen eines Benutzers dessen Login-ID automatisch auf die primäre interne Rufnummer gesetzt. Das sorgt für eine einheitliche und eindeutige Anmeldung an der STARFACE.

Benutzer-Fotos synchronisieren

Wenn diese Option aktiviert ist, werden vorhandene Benutzerfotos aus dem Active Directory übernommen und in STARFACE als Avatar-Bild verwendet. Das verbessert die Benutzererkennung, kann jedoch die Dauer des Importvorgangs deutlich verlängern – insbesondere bei vielen Benutzern oder großen Bildern.

Zeitgesteuerte Synchronisation

Die zeitgesteuerte Synchronisation sorgt dafür, dass Benutzergruppen aus dem Active Directory automatisch in regelmäßigen Abständen mit Ihrer STARFACE synchronisiert werden. Diese Funktion ist besonders hilfreich, wenn Sie Benutzer regelmäßig aktuell halten möchten, ohne die Synchronisation manuell anzustoßen.

Aktivierung

Um die Funktion zu nutzen, aktivieren Sie den Schalter Zeitgesteuerte Synchronisation. Die Synchronisation startet dann automatisch nach dem eingestellten Intervall.

Intervall

Wählen Sie, wie oft die Synchronisation durchgeführt werden soll. Beispiel: 1 Stunde(n) → Die Synchronisation wird jede Stunde automatisch ausgeführt.

Hinweis

Änderungen am Intervall sind nur möglich, wenn der Timer deaktiviert ist.

Erste Ausführung

Legen Sie fest, wann die erste automatische Synchronisation stattfinden soll. Ab diesem Zeitpunkt läuft die Synchronisation regelmäßig weiter.

Wenn kein Startzeitpunkt gesetzt wurde, beginnt der Vorgang sofort – spätestens eine Minute nach Aktivierung der Funktion oder des Moduls.