Att koppla FB till AD-inloggning

Att koppla FB till AD-inloggning Helen Ekelöf 16. nov. 2017 (uppdaterad 22.maj 2018) SOKIGO Box 315 731 27 Köping +46 (0)8 23 56 00 info@sokigo.com http://www.sokigo.com Org.nr: 556550-6309

INNEHÅLLSFÖRTECKNING 1 Inledning...3 2 Sammanfattning...3 3 Anpassa databasen i FB Konfiguration...4 3.1 Tillvägagångssätt...4 4 Skapa AD-gruppen och tilldela användare...5 5 Hantera AD-användare i FB Admin...6 5.1 Förbereda dina användare...6 5.2 Byta handläggarid...7 5.2.1 Ändra handläggarid manuellt...7 5.2.2 Ändra handläggarid genom matchning mot AD-användare...8 5.3 Importera AD-användare...9 5.4 Uppdatera handläggare med information från AD... 10 5.5 Ta bort handläggare... 11 5.5.1 Radera databasanvändare... 12 6 Anpassning av FB installationen till AD-läge... 14 6.1 Inställningar på applikationspoolen... 14 6.2 Inställningar på applikationen... 15 6.2.1 Eventuell anpassning av IIS... 15 7 Rekommenderad anpassning för fristående webbrapporter... 16 7.1 Utelämna användarnamn/lösenord för högre GDPR säkerhet... 16 8 Testkör FB Webb... 17 8.1 Logga in i FB Webb som databasanvändare trots AD-inlogg... 17 9 Skapa fler användare... 17 10 Frågor?... 17 Att jobba med FB i AD-läge Sida 2

1 INLEDNING Detta dokument beskriver hur man går över till att jobba med FB i AD-läge. Körs FB Webb i AD-läge så slipper användaren som anropar systemet inloggning. Saknas användaren däremot i AD-gruppen som är avsedd för FB Webb så öppnas i stället inloggningssidan. Även FB Webbrapport är anpassat för AD. Det innebär att, även om ett användarnamn skickas med i anropaslänken, så används i första hand användaren AD inloggning. Det går således bra att ha en blandad miljö där en del användare ansluter automatiskt med Single Sing On och en del användare loggar in med användare som har databasanvändare i botten. 2 SAMMANFATTNING Att gå över till att köra FB i AD-läge består av ett antal steg. Vi rekommenderar följande tillvägagångsätt. 1. Anpassa av databasen i FB konfiguration (på server och klient för systemansvarig) 2. Skapa AD-gruppen och tilldela ett begränsat antal användare till den, t ex systemansvarig och ett par till 3. Hantera (importera eller matcha) AD-användare i FB Admin 4. Behörighetshantera dina nya användare 5. Anpassa FB Webb installationen till AD-läge 6. Testkör FB Webb 7. Skapa och/eller importera fler användare 8. Ta bort användare som inte längre används och/eller ta endast bort överflödiga databasanvändare 9. Om flertalet har AD-användare, anpassa rapportanrop efter det Att jobba med FB i AD-läge Sida 3

3 ANPASSA DATABASEN I FB KONFIGURATION För att kunna jobba med AD-inloggningen behövs en databasanvändare som kommunicerar med databasen. Denna kopplas i programmet FB Konfiguration på applikationsservern. Lämpligtvis används tabellägaren för databasen, t ex Winfir, Tefat eller FBAdmin. Alla anrop till databasen kommer då att ske genom denna användaren i stället för att användaren har en personlig databasanvändare. Detta måste ALLTID göras på den server där FB Webb finns installerad. Vill du kunna använda FB Admin på din egen dator måste SAMMA konfiguration göras där. 3.1 Tillvägagångssätt 1. Starta FB Hjälpprogram på http://gem.sokigo.com/fb 2. Välj FB Konfiguration (OBS! Programmet startas då med webbläsaren i administratörsläge, får du problem här, kontrollera att du har behörighet att köra din webbläsare i administratörsläge.) 3. Markera din databas och tryck på Ändra. 4. Ange databasanvändaren som är tabellägare, den heter vanligtvis tefat, winfir eller fbadmin. Ange användarens lösenord i rutan Lösenord. 5. Här väljer man även vad gruppen heter i AD. (nytt från ver 7.4.0) 6. Tryck på Spara längst ned för att spara dina inställningar. För mer information om FB Konfiguration, se FB Hjälpprogram Handbok 7.4.1.pdf. Att jobba med FB i AD-läge Sida 4

4 SKAPA AD-GRUPPEN OCH TILLDELA ANVÄNDARE Nästa steg är att skapa AD-gruppen i kommunens AD tillsammans med IT. Skapa följande grupp eller grupper: FBWebb (för FB Webb) eller vad man har valt i punkt 3.1.5 ovan. RXMap (för RX Map) Observera att gruppnamnen är CaseSensitive! Användarna som ska köra FB Webb ska ingå i gruppen och användare som ska köra RX Map ska ingå i gruppen RXMap. Lägg till ett begränsat antal personer till den nyss skapade AD-gruppen, gärna minst en person som finns i FB Admin idag och en som inte gör det. Börja med dig som systemansvarig och någon mer. OBS! Från version 7.4.0 är AD-gruppsnamnet vara valfritt. Det går även att ha olika gruppnamns anvädnare för olika databaser inom en FB Webb installation. Att jobba med FB i AD-läge Sida 5

5 HANTERA AD-ANVÄNDARE I FB ADMIN I FB Admin finns funktioner för att byta handläggarid, importera handläggare från tilldelad AD-grupp eller komplettera handläggarna i FB Admin med information från respektive AD-användare. 5.1 Förbereda dina användare Behörighetshantering av användare sker precis som tidigare i FB Admin. En användare som ingår i vald AD-grupp ges bara åtkomst till startsidan i FB Webb. För att underlätta administrationen av ADanvändare finns det nya funktioner i FB Admin för att ändra användare och/eller skapa nya användare. Det är bra att börja med en översyn av befintliga användare. 1. Starta FB Admin och logga in som tabellägare. OBS! Om du jobbar med FB Admin på din dator måste du ha genomfört konfigurationen från punkt 3 även på din dator. Ange samma uppgifter som på applikationsservern. 2. Kontrollera om de användare du ser har ett inloggningsdatum. Datumet visar när de senast varit inloggade i FB Webb. Passa eventuellt på att avaktivera användare som inte längre jobbar kvar eller som inte använder FB Webb. Tänk dock på att Ecos (gamla) delar behörighetssystem med FB Webb och att det även kan vara Ecosanvändare du ser i listan. Ecos användare kan avaktiveras men måste finnas kvar med samma handläggarid. 3. Klicka för Visa bara AD-användare. Blir listan tom då? För att en handläggare ska vara kopplad till AD krävs att handläggarid och AD-namn är identiska samt att användaren ingår i AD-gruppen som är angiven i FB konfiguration. Stämmer dessa kriterier behöver ingenting göras i FB Admin utan då ska användaren kunna starta FB Webb utan inloggning. Användare som inte dyker upp i listan när AD-användare visas måste antingen redigeras så att de får rätt handläggarid alternativt importeras som helt nya användare. Sokigo rekommenderar att man i första hand ändrar handläggarid:t så att det överensstämmer med AD-namnet, detta för att undvika dubbletter av handläggare. Se avsnitt 5.2 byta handläggarid. Att jobba med FB i AD-läge Sida 6

5.2 Byta handläggarid Det finns numera möjlighet att byta handläggarid på en befintlig handläggare för att den ska överensstämma med handläggarens AD-inloggning. Idag finns en begränsning på att handläggarid:t får vara max 16 tecken långt. Detta är att föredra framför att skapa en ny användare. Det går dock inte att byta namn på en handläggare som också används av Ecos. Att ändra handläggarid kan utföras på 2 sätt. Har du ett fåtal användare att ändra på och vet vad de heter i AD:t går det bra att ändra namnen manuellt. Har du många handläggare att ändra eller inte har kunskap om deras AD-namn så underlättar funktionen för matchning. 5.2.1 Ändra handläggarid manuellt Har du ett fåtal användare att ändra på och vet vad de heter i AD:t går det bra att ändra namnen manuellt. Gör så här: 1. Markera en användare i listan som du önskar ändra namn på. 2. Högerklicka och välj Ändra handläggar-id. 3. Fyll i handläggarens AD-namn och klicka på knappen Ändra handläggar-id. 4. Om det redan finns en koppling till en AD-grupp så är det bra att kontrollera så att handläggaren har blivit en AD-användare nu. 5. Markera Visa bara AD-användare 6. Kontrollera så att din nyligen ändrade handläggare finns med i listan. Att jobba med FB i AD-läge Sida 7

5.2.2 Ändra handläggarid genom matchning mot AD-användare Det andra sättet att ändra handläggareid sker genom matchning mot AD-användarnas namn. 1. Starta FB Admin och logga in som tabellägare. 2. Klicka för Visa bara AD-användare. De handläggare som finns i kopplad AD-grupp visas då i listan. 3. Klicka på Hantera AD-användare. 4. Välj Öppna fönster för matchning av befintliga användare mot AD-användare. Klicka på Utför åtgärd. 5. Välj den handläggare du önskar ändra handläggarid på i listan till vänster. Där visas samtliga FB Admin användare som saknar koppling till en AD-användare. 6. Välj önskad användare i listan till höger. Där visas AD-användare från tilldelad AD-grupp som saknar koppling till en handläggare. Klicka på Matcha användare. 7. Bekräfta med ett Ja i dialogboxen som visas att du har valt rätt användare i båda listor. 8. Du kan sedan fortsätta att matcha flera användare. Avsluta med Stäng när du är klar. Att jobba med FB i AD-läge Sida 8

5.3 Importera AD-användare Saknas användaren som handläggare i FB Admin eller saknas möjlighet att ändra handläggarid:t till ADnamnet så måste en ny handläggare skapas i FB Admin. Det enklaste sättet att skapa nya användare är att importera samtliga användare som finns i AD-gruppen men som saknas i FB Admin. OBS! I första hand ska handläggarid:t på befintliga handläggare ändras enligt punkt 5.2. Detta för att undvika dubletter av användare! Gör följande: 1. Starta FB Admin och logga in som tabellägare. 2. Klicka för Visa bara AD-användare. 3. Klicka på Hantera AD-användare. 4. Välj Importera AD-användare som nya handläggare. Klicka på Utför åtgärd. 5. Meddelandet Import slutförd visas. 6. Om allt går som det ska kommer den eller de användare som finns i AD-gruppen men inte i FB Admin att importeras till FB Admin. Namn och avdelning och/eller kontor bör följa med. 7. Hantera dina användare och ge dem rätt behörigheter. För mer information om vad de olika behörigheterna innebär, se FB Hjälpprogram Handbok 7.4.1.pdf. Att jobba med FB i AD-läge Sida 9

5.4 Uppdatera handläggare med information från AD Finns det handläggare i listan sen tidigare och namnet överensstämmer med handläggarens AD-namn importeras de inte på nytt. Däremot kan du välja att uppdatera handläggarens information med uppgifter från AD-användaren. 9. Starta FB Admin och logga in som tabellägare. 10. Klicka för Visa bara AD-användare. De handläggare som finns i kopplad AD-grupp visas då i listan. 11. Klicka på Hantera AD-användare. 12. Välj Uppdatera handläggare med information från AD-användare. Klicka på Utför åtgärd. 13. Meddelandet Uppdatering slutförd visas. De handläggare som hade inaktuella eller saknade uppgifter i FB Admin har nu uppdaterats med information från AD. Att jobba med FB i AD-läge Sida 10

5.5 Ta bort handläggare Det finns en ny funktion i FB Admin för att ta bort handläggare som inte längre ska finnas kvar. Funktionen tar endast bort handläggaren som finns registrerad i FB databasen. Underliggande databasanvändare raderas med en separat funktion. Vi rekommenderar starkt att även databasanvändaren tas bort när en handläggare raderas. Gör så här: Markera önskad handläggare i listan. Högerklicka och välj Radera användare. Svara Ja på bekräftelsen om att handläggaren ska raderas. Raderas en handläggare av misstag går det inte att ångra utan då måste handläggaren skapas om på nytt. Handläggaren kan inte längre logga in i FB Webb eller anropa FB:s webbrapport med personlig inloggning. Underliggande databasanvändare finns kvar och måste tas bort separat. OBS! Om handläggaren har skapat objekt i FB databasen, t ex områden, noteringar eller annat, kan den INTE tas bort. Är det en ECOS användare kan den inte heller tas bort. Kommandot visas då nedgråat med en förklaring till varför den inte får tas bort. När du har raderat de handläggare du för tillfället önskar ta bort går du vidare till funktionen Radera databasanvändare. Funktionen kräver systeminloggning och kan utföras av dig som systemansvarig eller av någon på IT. Endast databasanvändare som saknar tillhörande FB handläggare kan tas bort. Att jobba med FB i AD-läge Sida 11

5.5.1 Radera databasanvändare Efter att handläggare tagits bort så är det lämligt att rensa bort överblivna databasanvändare. Rensning av databasanvändare måste inte göras samtidigt som handläggaren tas bort utan kan göras i efterhand. 1. Starta FB Admin och välj funktionen Rensa databasanvändare. 2. Logga in med en databasanvändare som får skapa/ta bort användare, vanligen system för Oracle och SA för MS SQL. En kontroll mot databasen görs och efter en liten stund visas användare som tillhör FB databasen men som inte finns som handläggare i FB Admin. Dessa databasanvändarna visas sedan i listan. OBS! Om det finns många användare i databasen kan det ta några minuter innan listan kommer. Det är bara att vänta även om det ser ut som om programmet inte svarar. Att jobba med FB i AD-läge Sida 12

3. Markera den eller de databasanvändare du vill radera och klicka på Radera markerade databasanvändare. Använd Windows standarden SHIFT och CTRL för att markera flera. 4. Bekräfta raderingen genom att trycka Ja. Användarna raderas och en bekräftelse fås när raderingen är klar. Det tar sen en liten stund för listan att uppdatera sig gentemot databasen. OBS! Funktionen kan se att användaren tillhör FB databasen och att den inte används av FB eller Ecos (gamla) men den kan INTE se om den även används/har använts till något ytterligare program. Raderas en databasanvändare av misstag går den alltid att skapas om med samma namn. Normalt sett borde alla användare som finns i listan här kunna tas bort. Att jobba med FB i AD-läge Sida 13

6 ANPASSNING AV FB INSTALLATIONEN TILL AD-LÄGE För att använda FB Webb kopplat till kommunens AD måste vissa inställningar göras på applikationsservern. Dessa görs dels i Internet Information Server Manager, IIS Manager, och dels med hjälp av FB Konfiguration. Sedan finns det krav på vilka grupper som ska finnas i AD och som användarna måste tillhöra för att kunna använda FB Webb. 6.1 Inställningar på applikationspoolen Ställ om applikationspoolen så att den körs som en NetworkService (står default till ApplicationPoolIdentity). Inställningen görs under Advanced Settings för applikationspoolen. Samma sak gäller för RX Map applikationspoolen om även den ska innefattas av AD-inloggningen. Ni som inte har RX Map som produkt behöver inte bry er om den. Att jobba med FB i AD-läge Sida 14

6.2 Inställningar på applikationen Markera applikationen FB Webb under Default Web Site. Klicka på Authentication. Sätt Windows Authentication till Enabled och övriga till Disabled. Detta bör slå igenom för alla underapplikationer men det har visat sig att det inte alltid gör det. Markera samtliga applikationer under FB Webb, d.v.s. Fir, Kid, Lagenhet osv och kontrollera/gör samma inställning. 6.2.1 Eventuell anpassning av IIS OBS! Om Windows Authentication saknas I listan måste man installera det tillägget till IIS Server Manager. Att jobba med FB i AD-läge Sida 15

7 REKOMMENDERAD ANPASSNING FÖR FRISTÅENDE WEBBRAPPORTER När FB körs i AD-läge är det lämpligt att kunna spara rapportinställningar vid anrop av rapporten direkt från ett annat verktyg (utanför FB Webb). Detta kan göra i dialogboxen FB FIR Webbrapport, val av informationsgrupper. När en AD-användare anropar rapporten tar den användarens behörighet och rapportinställnigar över den användare som anges i rapportlänken. Inställningen sparas då i stället på AD-användaren oavsett vilken användare som anges i länken. Rapportlänken måste dock alltid innehålla en användare och dess lösenord men det kan vara en anvädnare med väldigt låg eller ingen behörighet. För att anropa dialogboxen nedan MED Spara knappen, använd följande parameter: VisaSparaKnapp=true Nedan följer ett exempel på hur rapportlänken kan se ut då: https://fb.sokigo.com/fbwebb/fir/fbfirwebbrapportusr.aspx?user=fblasafb&pass=fblasa_fb&database=oster sund&visasparaknapp=true&fnr=900000229; 7.1 Utelämna användarnamn/lösenord för högre GDPR säkerhet Om alla användare som anropar/ska kunna nå rapporten är AD-användare i FB så kan parametrarna User och Pass utelämnas helt. Rapportlänken ser då ut så här: https://fb.sokigo.com/fbwebb/fir/fbfirwebbrapportusr.aspx?&database=ostersund&visasparaknapp=true&fnr=9 00000229; Rapporten kommer då endast att fungera för personer som har en AD-användare i FB. Körs en blandad miljö så måste ett användarnamn och ett lösenord skickas med. Sokigo rekommenderar dock att alla användare som ska nå FB rapporter är AD-användare. Att jobba med FB i AD-läge Sida 16

8 TESTKÖR FB WEBB Starta nu FB Webb både som AD-användare och som icke AD-användare. Är du AD-användare ska du loggas direkt in i FB Webb. Är du det inte bör du komma till den vanliga inloggningssidan. 8.1 Logga in i FB Webb som databasanvändare trots AD-inlogg Om man vill logga in som en vanlig användare i en FB Webb som är uppsatt för AD så finns ett trix. Detta kan vara bra om man exempelvis vill spara rapportinställningar för FBLASA eller testköra FB Webb som en annan användare. Gör så här: Istället för att gå till bara http://server/fbwebb så ska några ytterligare parametrar läggas till på anropet, dessa är: /Login.aspx (inloggningssidan måste pekas ut i anropet) TFDB (databas) TFUsr (Användarnamn) TFPwd (Lösenord) Ex: https://fb.sokigo.com/fbwebb/login.aspx?tfdb=ostersund&tfusr=fblasa&tfpwd=fblasaslosen Detta gör att man hoppar förbi AD och loggar in med användaruppgifterna i ulr:en. 9 SKAPA FLER ANVÄNDARE Fungerar allt som det ska? Gå då vidare och lägg till fler användare i AD-gruppen och importera och behörighetsstyr dem via FB Admin. 10 FRÅGOR? Kontakta Sokigos support! För kontaktuppgifter klicka på länken till vänster. Att jobba med FB i AD-läge Sida 17