Att koppla FB till AD-inloggning

Att koppla FB till AD-inloggning Helen Ekelöf 16. nov. 2017 (uppdaterad 10.april 2018) SOKIGO Box 315 731 27 Köping +46 (0)8 23 56 00 info@sokigo.com http://www.sokigo.com Org.nr: 556550-6309

INNEHÅLLSFÖRTECKNING 1 Inledning...3 2 Sammanfattning...3 3 Anpassa databasen i FB Konfiguration...4 3.1 Tillvägagångssätt...5 4 Skapa AD-gruppen och tilldela användare...5 5 Hantera AD-Användare i FB Admin...6 5.1 Förbereda dina användare...6 5.2 Byta handläggarid...7 5.2.1 Ändra handläggarid manuellt...7 5.2.2 Ändra handläggarid genom matchning mot AD-användare...8 5.3 Importera AD-användare...9 5.4 Uppdatera handläggare med information från AD... 10 6 Anpassning av FB installationen till AD-läge... 11 6.1 Inställningar på applikationspoolen... 11 6.2 Inställningar på applikationen... 12 6.2.1 Eventuell anpassning av IIS... 12 7 Rekommenderad anpassning för fristående webbrapporter... 13 8 Testkör FB Webb... 13 9 Skapa fler användare... 13 10 Frågor?... 13 Att jobba med FB i AD-läge Sida 2

1 INLEDNING Detta dokument beskriver hur man går över till att jobba med FB i AD-läge. Körs FB Webb i AD-läge så slipper användaren som anropar systemet inloggning. Saknas användaren däremot i AD-gruppen som är avsedd för FB Webb så öppnas i stället inloggningssidan. Även FB Webbrapport är anpassat för AD. Det innebär att, även om ett användarnamn skickas med i anropaslänken, så används i första hand användaren AD inloggning. Det går således bra att ha en blandad miljö där en del användare ansluter automatiskt med Single Sing On och en del användare loggar in med användare som har databasanvändare i botten. 2 SAMMANFATTNING Att gå över till att köra FB i AD-läge består av ett antal steg. Vi rekommenderar följande tillvägagångsätt. 1. Anpassa av databasen i FB konfiguration 2. Skapa AD-gruppen och tilldela ett begränsat antal användare till den 3. Hantera AD-användare i FB Admin 4. Behörighetshantera dina nya användare 5. Anpassa FB Webb installationen till AD-läge 6. Testkör FB Webb 7. Skapa fler användare Att jobba med FB i AD-läge Sida 3

3 ANPASSA DATABASEN I FB KONFIGURATION För att kunna jobba med AD-inloggningen behövs en databasanvändare som kommunicerar med databasen. Denna kopplas i programmet FB Konfiguration på applikationsservern. Lämpligtvis används tabellägaren för databasen, t ex Winfir, Tefat eller FBAdmin. Alla anrop till databasen kommer då att ske genom denna användaren i stället för att användaren har en personlig databasanvändare. Att jobba med FB i AD-läge Sida 4

3.1 Tillvägagångssätt 1. Starta FB Hjälpprogram på http://gem.sokigo.com/fb 2. Välj FB Konfiguration (OBS! Programmet startas då med webbläsaren i administratörsläge, får du problem här, kontrollera att du har behörighet att köra din webbläsare i administratörsläge.) 3. Markera din databas och tryck på Ändra. 4. Ange databasanvändaren som är tabellägare, den heter vanligtvis tefat, winfir eller fbadmin. Ange användarens lösenord i rutan Lösenord. 5. Här väljer man även vad gruppen heter i AD. (nytt från ver 7.4.0) 6. Tryck på Spara längst ned för att spara dina inställningar. För mer information om FB Konfiguration, se FB Hjälpprogram Handbok 7.4.1.pdf. 4 SKAPA AD-GRUPPEN OCH TILLDELA ANVÄNDARE Nästa steg är att skapa AD-gruppen i kommunens AD tillsammans med IT. Skapa följande grupp eller grupper: FBWebb (för FB Webb) eller vad man har valt i punkt 3.1.5 ovan. RXMap (för RX Map) Observera att gruppnamnen är CaseSensitive! Användarna som ska köra FB Webb ska ingå i gruppen och användare som ska köra RX Map ska ingå i gruppen RXMap. Lägg till ett begränsat antal personer till den nyss skapade AD-gruppen, gärna minst en person som finns i FB Admin idag och en som inte gör det. Börja med dig som systemansvarig och någon mer. OBS! Från version 7.4.0 är AD-gruppsnamnet vara valfritt. Det går även att ha olika gruppnamns anvädnare för olika databaser inom en FB Webb installation. Att jobba med FB i AD-läge Sida 5

5 HANTERA AD-ANVÄNDARE I FB ADMIN I FB Admin finns funktioner för att byta handläggarid, importera handläggare från tilldelad AD-grupp eller komplettera handläggarna i FB Admin med information från respektive AD-användare. 5.1 Förbereda dina användare Behörighetshantering av användare sker precis som tidigare i FB Admin. En användare som ingår i vald AD-grupp ges bara åtkomst till startsidan i FB Webb. För att underlätta administrationen av ADanvändare finns det nya funktioner i FB Admin för att ändra användare och/eller skapa nya användare. Det är bra att börja med en översyn av befintliga användare. 1. Starta FB Admin och logga in som tabellägare. 2. Kontrollera om de användare du ser har ett inloggningsdatum. Datumet visar när de senast varit inloggade i FB Webb. Passa eventuellt på att avaktivera användare som inte längre jobbar kvar eller som inte använder FB Webb. Tänk dock på att Ecos (gamla) delar behörighetssystem med FB Webb och att det även kan vara Ecosanvändare du ser i listan. Ecos användare kan avaktiveras men måste finnas kvar med samma handläggarid. 3. Klicka för Visa bara AD-användare. Blir listan tom då? För att en handläggare ska vara kopplad till AD krävs att handläggarid och AD-namn är identiska samt att användaren ingår i AD-gruppen som är angiven i FB konfiguration. Stämmer dessa kriterier behöver ingenting göras i FB Admin utan då ska användaren kunna starta FB Webb utan inloggning. Användare som inte dyker upp i listan när AD-användare visas måste antingen redigeras så att de får rätt handläggarid alternativt importeras som helt nya användare. Sokigo rekommenderar att man i första hand ändrar handläggarid:t så att det överensstämmer med AD-namnet, detta för att undvika dubbletter av handläggare. Se avsnitt 5.2 byta handläggarid. Att jobba med FB i AD-läge Sida 6

5.2 Byta handläggarid Det finns numera möjlighet att byta handläggarid på en befintlig handläggare för att den ska överensstämma med handläggarens AD-inloggning. Idag finns en begränsning på att handläggarid:t får vara max 16 tecken långt. Detta är att föredra framför att skapa en ny användare. Det går dock inte att byta namn på en handläggare som också används av Ecos. Att ändra handläggarid kan utföras på 2 sätt. Har du ett fåtal användare att ändra på och vet vad de heter i AD:t går det bra att ändra namnen manuellt. Har du många handläggare att ändra eller inte har kunskap om deras AD-namn så underlättar funktionen för matchning. 5.2.1 Ändra handläggarid manuellt Har du ett fåtal användare att ändra på och vet vad de heter i AD:t går det bra att ändra namnen manuellt. Gör så här: 1. Markera en användare i listan som du önskar ändra namn på. 2. Högerklicka och välj Ändra handläggar-id. 3. Fyll i handläggarens AD-namn och klicka på knappen Ändra handläggar-id. 4. Om det redan finns en koppling till en AD-grupp så är det bra att kontrollera så att handläggaren har blivit en AD-användare nu. 5. Markera Visa bara AD-användare 6. Kontrollera så att din nyligen ändrade handläggare finns med i listan. Att jobba med FB i AD-läge Sida 7

5.2.2 Ändra handläggarid genom matchning mot AD-användare Det andra sättet att ändra handläggareid sker genom matchning mot AD-användarnas namn. 1. Starta FB Admin och logga in som tabellägare. 2. Klicka för Visa bara AD-användare. De handläggare som finns i kopplad AD-grupp visas då i listan. 3. Klicka på Hantera AD-användare. 4. Välj Öppna fönster för matchning av befintliga användare mot AD-användare. Klicka på Utför åtgärd. 5. Välj den handläggare du önskar ändra handläggarid på i listan till vänster. Där visas samtliga FB Admin användare som saknar koppling till en AD-användare. 6. Välj önskad användare i listan till höger. Där visas AD-användare från tilldelad AD-grupp som saknar koppling till en handläggare. Klicka på Matcha användare. Att jobba med FB i AD-läge Sida 8

7. Bekräfta med ett Ja i dialogboxen som visas att du har valt rätt användare i båda listor. 8. Du kan sedan fortsätta att matcha flera användare. Avsluta med Stäng när du är klar. 5.3 Importera AD-användare Saknas användaren som handläggare i FB Admin eller saknas möjlighet att ändra handläggarid:t till ADnamnet så måste en ny handläggare skapas i FB Admin. Det enklaste sättet att skapa nya användare är att importera samtliga användare som finns i AD-gruppen men som saknas i FB Admin. OBS! I första hand ska handläggarid:t på befintliga handläggare ändras enligt punkt 5.2. Detta för att undvika dubletter av användare! Gör följande: 1. Starta FB Admin och logga in som tabellägare. 2. Klicka för Visa bara AD-användare. 3. Klicka på Hantera AD-användare. 4. Välj Importera AD-användare som nya handläggare. Klicka på Utför åtgärd. 5. Meddelandet Import slutförd visas. 6. Om allt går som det ska kommer den eller de användare som finns i AD-gruppen men inte i FB Admin att importeras till FB Admin. Namn och avdelning och/eller kontor bör följa med. 7. Hantera dina användare och ge dem rätt behörigheter. För mer information om vad de olika behörigheterna innebär, se FB Hjälpprogram Handbok 7.4.1.pdf. Att jobba med FB i AD-läge Sida 9

5.4 Uppdatera handläggare med information från AD Finns det handläggare i listan sen tidigare och namnet överensstämmer med handläggarens AD-namn importeras de inte på nytt. Däremot kan du välja att uppdatera handläggarens information med uppgifter från AD-användaren. 9. Starta FB Admin och logga in som tabellägare. 10. Klicka för Visa bara AD-användare. De handläggare som finns i kopplad AD-grupp visas då i listan. 11. Klicka på Hantera AD-användare. 12. Välj Uppdatera handläggare med information från AD-användare. Klicka på Utför åtgärd. 13. Meddelandet Uppdatering slutförd visas. De handläggare som hade inaktuella eller saknade uppgifter i FB Admin har nu uppdaterats med information från AD. Att jobba med FB i AD-läge Sida 10

6 ANPASSNING AV FB INSTALLATIONEN TILL AD-LÄGE För att använda FB Webb kopplat till kommunens AD måste vissa inställningar göras på applikationsservern. Dessa görs dels i Internet Information Server Manager, IIS Manager, och dels med hjälp av FB Konfiguration. Sedan finns det krav på vilka grupper som ska finnas i AD och som användarna måste tillhöra för att kunna använda FB Webb. 6.1 Inställningar på applikationspoolen Ställ om applikationspoolen så att den körs som en NetworkService (står default till ApplicationPoolIdentity). Inställningen görs under Advanced Settings för applikationspoolen. Samma sak gäller för RX Map applikationspoolen om även den ska innefattas av AD-inloggningen. Att jobba med FB i AD-läge Sida 11

6.2 Inställningar på applikationen Markera applikationen FB Webb under Default Web Site. Klicka på Authentication. Sätt Windows Authentication till Enabled och övriga till Disabled. Detta bör slå igenom för alla underapplikationer men det har visat sig att det inte alltid gör det. Markera samtliga applikationer under FB Webb, d.v.s. Fir, Kid, Lagenhet osv och kontrollera/gör samma inställning. 6.2.1 Eventuell anpassning av IIS OBS! Om Windows Authentication saknas I listan måste man installera det tillägget till IIS Server Manager. Att jobba med FB i AD-läge Sida 12

7 REKOMMENDERAD ANPASSNING FÖR FRISTÅENDE WEBBRAPPORTER När FB körs i AD-läge är det lämpligt att kunna spara rapportinställningar vid anrop av rapporten direkt från ett annat verktyg (utanför FB Webb). Detta kan göra i dialogboxen FB FIR Webbrapport, val av informationsgrupper. När en AD-användare anropar rapporten tar den användarens behörighet och rapportinställnigar över den användare som anges i rapportlänken. Inställningen sparas då i stället på AD-användaren oavsett vilken användare som anges i länken. Rapportlänken måste dock alltid innehålla en användare och dess lösenord men det kan vara en anvädnare med väldigt låg eller ingen behörighet. För att anropa dialogboxen nedan MED Spara knappen, använd följande parameter: VisaSparaKnapp=true Nedan följer ett exempel på hur rapportlänken kan se ut då: https://fb.sokigo.com/fbwebb/fir/fbfirwebbrapportusr.aspx?user=fblasafb&pass=fblasa_fb&database=oster sund&visasparaknapp=true&fnr=900000229; 8 TESTKÖR FB WEBB Starta nu FB Webb både som AD-användare och som icke AD-användare. Är du AD-användare ska du loggas direkt in i FB Webb. Är du det inte bör du komma till den vanliga inloggningssidan. 9 SKAPA FLER ANVÄNDARE Fungerar allt som det ska? Gå då vidare och lägg till fler användare i AD-gruppen och importera och behörighetsstyr dem via FB Admin. 10 FRÅGOR? Kontakta Sokigos support! För kontaktuppgifter klicka på länken till vänster. Att jobba med FB i AD-läge Sida 13