Todennuspalvelimen tietojen rekisteröinti

Kun käytät Active Directorya, LDAP-palvelinta, Microsoft Entra ID:tä tai Google Workspacea ulkoisena todennuspalvelimena, rekisteröi käytettävän palvelimen tiedot.

Rekisteröi palvelimen tiedot Remote UI (Etäkäyttöliittymä) -sovelluksen avulla tietokoneella. Näiden tietojen rekisteröinti ei ole mahdollista käyttöpaneelin avulla.
Edellyttää järjestelmänvalvojan oikeuksia. Laite täytyy käynnistää uudelleen rekisteröinnin käyttöön ottamiseksi.

Valmistelut

Sinun on määritettävä Active Directoryn, LDAP-palvelimen, Microsoft Entra ID:n tai Google Workspacen käyttöä varten tarvittavat asetukset, kuten DNS-asetukset sekä päivämäärä- ja kellonaika-asetukset.

DNS:n määrittäminen

Päiväyksen/ajan asettaminen

Valmistele käyttöoikeustiedot haluamasi Active Directoryn, LDAP-palvelimen, Microsoft Entra ID:n tai Google Workspacen käyttöä varten.

Google Workspace -tietoja määritettäessä valinta [Browser Engine] kohdassa [Internet] tulee asettaa arvoon [WebKit2]. [Internet]

Kirjaudu Remote UI (Etäkäyttöliittymä) -sovellukseen järjestelmänvalvojana. Remote UI (Etäkäyttöliittymä) -sovelluksen käynnistys

Valitse Remote UI (Etäkäyttöliittymä) -sovelluksen Portaali-sivulla [Settings/Registration]. Remote UI (Etäkäyttöliittymä) -sovelluksen portaalisivu

Valitse [User Management]

[Authentication Management]

[Server Settings]

[Edit].

[Edit Server Settings] -näyttö avautuu.

Määritä Active Directoryn, LDAP-palvelimen, Microsoft Entra ID:n tai Google Workspacen tiedot kohdassa [Authentication Server].

Active Directoryn tietojen hakeminen automaattisesti

Valitse [Use Active Directory]-valintaruutu.

Valitse kohdassa [Set Domain List] vaihtoehto [Retrieve Automatically].

Määritä Active Directoryn käyttötapa ja välimuistien määrä.

[Use access mode within sites]

Kun käytät useita Active Directory -palvelimia, valitse tämä valintaruutu, jos haluat määrittää käyttöoikeuden prioriteetin sille Active Directorylle, joka sijaitsee alueella, johon laite kuuluu.
Muuta [Timing of Site Information Retrieval]- ja [Site Access Range] -asetukset tarpeen mukaan.

* Vaikka [Only site to which device belongs] -asetus kohdassa [Site Access Range] on määritetty, laite saattaa käyttää oman alueensa ulkopuolella olevia alueita, kun toimialueen valvojaa käytetään käynnistysprosessin aikana. Tässä tapauksessa pääsy saman alueen toimialueen valvojiin on yleensä etusijalla.

Poikkeuksena ovat tilanteet, joissa saman alueen toimialueen valvojia ei voi käyttää, mutta alueen ulkopuolisia toimialueen valvojia voi käyttää, jolloin etusijalle asetetaan alueen ulkopuolella olevat toimialueen valvojat.

[Number of Caches for Service Ticket]

Määritä palvelulippujen määrä, jonka laite voi käsitellä.
Palvelulippu on Active Directoryn toiminto, joka kirjaa tiedon edellisestä sisäänkirjautumisesta, jolloin sama käyttäjä kirjautuu sisään seuraavalla kerralla nopeammin.

Active Directoryn tietojen määrittäminen manuaalisesti

Valitse [Use Active Directory]-valintaruutu.

Valitse kohdassa [Set Domain List] vaihtoehto [Set Manually].

Valitse [Active Directory Management]

[OK].

[Active Directory Management] -näyttö avautuu.

Valitse [Add Domain].

[Add Domain] -näyttö avautuu.

Määritä Active Directoryn tiedot.

[Domain Name]

Lisää kirjautumiskohteena olevan Active Directoryn toimialueen nimi.

Esimerkkisyöte:
company.domain.com

[NetBIOS Name]

Kirjoita NetBIOS-toimialueen nimi.

[Primary Host Name or IP Address] / [Secondary Host Name or IP Address]

Kirjoita Active Directory -palvelimen isäntänimi tai IP-osoite.

* Jos haluat käyttää toissijaista palvelinta, määritä palvelin kohdassa [Secondary Host Name or IP Address].

[User Name] ja [Password]

Anna käyttäjänimi ja salasana, joita käytetään Active Directory -palvelimen käyttämiseen ja käyttäjätietojen etsimiseen.

[Position to Start Search]

Määritä sijainti (taso), josta käyttäjätietoja haetaan, kun Active Directory -palvelintodennus suoritetaan. Jos et määritä haun aloituskohtaa, kaikki palvelimelle rekisteröidyt käyttäjätiedot haetaan.

Aseta määritteet.

[Attribute to Set for Login Account]

Anna kirjautumisnimen määreet, näyttönimi ja kunkin palvelimen käyttäjätilin sähköpostiosoite.

Testaa yhteyttä napsauttamalla [Connection Test].

Valitse [Add].

Palvelintiedot lisätään ja esiin tulee jälleen näkymä [Active Directory Management].

Valitse [Back].

[Edit Server Settings] -näyttö avautuu uudelleen.

Määritä välimuistien määrä kohdassa [Number of Caches for Service Ticket].

LDAP-palvelimen tietojen määrittäminen

Valitse [Use LDAP server]-valintaruutu.

Valitse [LDAP Server Management]

[OK].

[LDAP Server Management] -näyttö avautuu.

Valitse [Add Server].

[Add LDAP Server] -näyttö avautuu.

Syötä LDAP-palvelimen tiedot.

[Server Name]

Syötä nimi, jolla LDAP-palvelin tunnistetaan.

* Älä käytä nimeä ”localhost”. Älä lisää välilyöntejä palvelimen nimeen.

[Primary Address] ja [Secondary Address]

Lisää LDAP-palvelimen IP-osoite tai isäntänimi.

Syöttöesimerkki: Isäntänimi
ldap.esimerkki.com

* Älä käytä silmukkaosoitetta (127.0.0.1).

* Jos käytät toissijaista palvelinta, määritä IP-osoite tai isäntänimi kohdassa [Secondary Address].

[Port]

Syötä LDAP-palvelimen kanssa liikennöitäessä käytettävän portin numero.

* Jos tämä jätetään tyhjäksi, seuraavaa asetusta käytetään asetuksen [Use TLS] mukaisesti:

Kun valintaruutu on valittuna, ”636”

Kun valintaruutua ei ole valittu, ”389”

[Comments]

Anna kuvaus ja huomautuksia tarpeen mukaan.

[Use TLS]

Valitse tämä valintaruutu, kun TLS-salausta käytetään liikennöintiin LDAP-palvelimen kanssa.

[Use authentication information]

Kun käytät todennustietoja LDAP-palvelimen todentamiseen, valitse valintaruutu ja anna todennusta varten käyttäjänimi ja salasana.

Tyhjennä valintaruutu, jos haluat sallia anonyymin pääsyn LDAP-palvelimeen käyttämättä todennustietoja.

* Vain jos LDAP-palvelin on asetettu sallimaan anonyymi pääsy.

[Starting Point for Search]

Määritä sijainti (taso) kun haetaan käyttäjätietoja kun suoritetaan LDAP-palvelintodennus.

Aseta määritteet.

[Attribute to Verify at Authentication]

Anna määritteet, joihin käyttäjänimi on rekisteröity, kohdassa [User Name (Keyboard Authentication)].

[Attribute to Set for Login Account]

Anna kirjautumisnimen määreet, näyttönimi ja kunkin palvelimen käyttäjätilin sähköpostiosoite.

Määritä kirjautumiskohteen toimialueen nimi kohdassa [Domain Name Setting Method].

Määritä määrite, johon verkkotunnus on rekisteröity, valitsemalla [Specify the attribute name for domain name acquisition] ja kirjoittamalla määrite.

Testaa yhteyttä napsauttamalla [Connection Test].

Valitse [Add].

Palvelintiedot lisätään ja esiin tulee jälleen näkymä [LDAP Server Management].

Valitse [Back].

[Edit Server Settings] -näyttö avautuu uudelleen.

Microsoft Entra ID -tietojen määrittäminen

Valitse [Use Microsoft Entra ID]-valintaruutu.

Valitse [Domain Settings].

[Microsoft Entra ID Domain Settings] -näyttö avautuu.

Määritä Microsoft Entra ID -tiedot.

[Login Destination Name]

Anna kirjautumiskohteessa näytettävä nimi.

[Domain Name]

Anna kirjautumiskohteena olevan Microsoft Entra ID -toimialueen nimi.

[Application ID]

Anna sovellustunnus (asiakassovelluksen).

[Secret]

Anna Microsoft Entra ID -hakemiston tuottama salaisuus. Tätä ei tarvitse antaa, kun käytössä on [Key and Certificate].

[Key and Certificate]

Käyttäessäsi avainta ja varmennetta, aseta Microsoft Entra ID:lle rekisteröitävä varmenne napsauttamalla [Key and Certificate]. Valitse varmenne, jolle avaimen algoritmi on vähintään RSA 2 048 bittiä ja allekirjoitusalgoritmi on SHA256, SHA384 tai SHA512.
Voit suorittaa Microsoft Entra ID:lle rekisteröitävän varmenteen viennin napsauttamalla [Export Certificate].

[Use Microsoft Login Screen]

Valitsemalla tämän valintaruudun saat näkyviin Microsoft-kirjautumisnäytön kirjautumiseen monimenetelmäisellä todennuksella, kun Microsoft Entra ID ‑palvelun monimenetelmäinen todennus on otettu käyttöön.

* Asetuksen [Browser Engine] kohdassa [Internet] on oltava [WebKit2]. [Internet]

* Kun [Auto Reset Time] ‑arvo on [10] sekuntia, automaattinen palautustoiminto voidaan tehdä ennen kuin kirjautumisnäyttö tulee näkyviin. Vaihda tässä tapauksessa automaattinen palautusaika. [Autom. palautusaika]

[Microsoft Entra ID Authentication URL] ja [Microsoft Entra ID API URL]

Anna URL-osoitteet. Joissakin pilvipalveluympäristöissä asetusta voi joutua muuttamaan. Tätä ei tarvitse antaa, kun käytössä on [Secret].

Aseta määritteet.

[Attribute to Set for Login Account]

[Login Name]

Valitse avattavasta valikosta kunkin palvelimen käyttäjätilin kirjautumisnimen määre.

* Kun määritettä ei näy avattavassa valikossa, sen voi kirjoittaa suoraan.

[WindowsLogonName]:
displayName on saatu Microsoft Entra ID:stä. displayName muutetaan seuraavalla tavalla kirjautumisnimen luomiseksi:

Välilyönnit ja seuraavat merkit poistetaan displayNamesta: * + , . / : ; < > = ? \ [ ] |.

”@” ja sitä seuraavat merkit poistetaan.

Yli 20 merkin mittaiset merkkijonot lyhennetään enintään 20 merkin mittaisiksi.

Esimerkki: Kun displayName on user.001@example.com
user001

[displayName]:
displayNamesta, joka on saatu Microsoft Entra ID:stä, tulee kirjautumisnimi.

[userPrincipalName]:
userPrincipalNamesta, joka on saatu Microsoft Entra ID:stä, tulee kirjautumisnimi.

[userPrincipalName-Prefix]:
Microsoft Entra ID:stä saadun userPrincipalNamen @-merkkiä edeltävästä osasta tulee kirjautumisnimi.
Esimerkki: Kun userPrincipalName on user.002@mail.test
user.002

[Display Name] ja [E-Mail Address]

Määritä näyttönimen määreet ja kunkin palvelimen käyttäjätilin sähköpostiosoite.

Määritä kirjautumiskohteen toimialueen nimi kohdassa [Domain Name] kohdan [Domain Name to Set for Login Account] alla.

Määritä asetukset kohdassa [Autocomplete for Entering User Name When Using Keyboard Authentication] kohdan [Domain Name to Autocomplete] alla.

Anna toimialueen nimi, jolle automaattinen täydennys tehdään. Normaalisti määritetään sama nimi kuin kohdassa [Domain Name].

Testaa yhteyttä napsauttamalla [Connection Test].

Valitse [Update].

[Edit Server Settings] -näyttö avautuu uudelleen.

Google Workspace -tietojen määrittäminen

Valitse [Käytä Google Workspaceä] -valintaruutu.

Valitse [Domain Settings].

[Google Workspacen toimialueen asetukset] -näyttö avautuu.

Määritä Google Workspace -tiedot.

[Login Destination Name]

Anna kirjautumiskohteessa näytettävä nimi.

[Määritä toimialue]

Valitse, käytetäänkö toimialueena [Domain Name] vai [Asiakkaan tunnus].

[Domain Name]

Syötä kirjautumiskohteena olevan Google Workspacen toimialueen nimi.

[Asiakkaan tunnus]

Syötä kirjautumiskohteena olevan Google Workspacen asiakastunnus.

Määritä OAuth-todennuksen asiakassovelluksen tiedot.

[Client ID]

Anna asiakassovelluksen tunnus.

[Client Secret]

Anna asiakassovelluksen salaisuus, jonka Google Workspace on luonut.

Määritä palvelutilin tiedot ja varmista sitten yhteyden muodostaminen napsauttamalla [Test Connection].

[Palvelutilin sähköpostiosoite]

Syötä sen palvelutilin sähköpostiosoite, joka on käytössä Google Workspacessa.

[Google Workspace -valvojan sähköpostiosoite]

Syötä Google Workspacen järjestelmänvalvojan sähköpostiosoite.

[Key and Certificate]

Käyttäessäsi avainta ja varmennetta, aseta Google Workspaceen rekisteröitävä varmenne napsauttamalla [Key and Certificate]. Valitse varmenne, jonka avaimen algoritmi on vähintään RSA 2048 bittiä ja allekirjoitusalgoritmi on SHA256, SHA384 tai SHA512.

Voit tehdä Google Workspaceen rekisteröitävän varmenteen viennin napsauttamalla [Export Certificate].

Aseta määritteet.

[Attribute to Set for Login Account]

Valitse alasvetovalikosta jokaisen palvelimella olevan käyttäjätilin määritteet [Kirjautumisnimi], [Näytä nimi] ja [Sähköpostiosoite].

Määritä kirjautumiskohteen toimialueen nimi kohdassa [Domain Name] kohdan [Domain Name to Set for Login Account] alla.

Määritä asetukset kohdassa [Domain Name to Autocomplete] kohdan [Autocomplete for Entering User Name When Using Keyboard Authentication] alla.

Anna toimialueen nimi, jolle automaattinen täydennys tehdään. Normaalisti määritetään sama nimi kuin kohdassa [Domain Name].

Valitse [Update].

[Edit Server Settings] -näyttö avautuu uudelleen.

Syötä aika tiedonsiirron alusta aikakatkaisuun kohdassa [Authentication Timeout].

Määritä ensisijainen verkkotunnus, johon muodostetaan yhteys, kohdassa [Default Domain].

Määritä, säilytetäänkö käyttäjien todennustiedot kohdassa [Cache for User Information].

Jos haluat säilyttää ohjauspaneelilla sisäänkirjautuneiden käyttäjien todennustiedot, valitse [Save authentication information for login users] -valintaruutu. Jos laite ei pysty muodostamaan yhteyttä todennuspalvelimeen siinä ajassa, joka asetettiin vaiheessa 5, voit kirjautua sisään käyttämällä välimuistissa olevia todennustietoja.

Jos haluat säilyttää näppäimistötodennuksen avulla kirjautuneiden käyttäjien todennustiedot, valitse myös [Save user information when using keyboard authentication] -valintaruutu.
Kun tämä valintaruutu on valittuna, voit kirjautua sisään käyttämällä säilytettyjä todennustietoja, vaikka laite ei pystyisikään muodostamaan yhteyttä palvelimeen.

Määritä käyttäjätiedot ja oikeudet kohdassa [Role Association].

[User Attribute to Browse]

Syötä viitatulla palvelimella oleva määrite, jota käytetään käyttäjien oikeuksien (roolien) määrittämiseen.

Active Directory / LDAP-palvelin

Yleensä voit käyttää esiasetettua arvoa memberOf, joka ilmaisee ryhmän, johon käyttäjä kuuluu.

Microsoft Entra ID

"Any user attribute of Microsoft Entra ID", "memberOf" ja "transitiveMemberOf" voidaan asettaa.

Jos "memberOf" asetetaan, haetaan vain ryhmät, joihin käyttäjä kuuluu suoraan.

Jos "transitiveMemberOf" asetetaan, tietoja ei haeta vain ryhmistä, joihin käyttäjä kuuluu suoraan, vaan myös niistä ryhmistä, joihin kyseiset ryhmät kuuluvat.

Google Workspace

Sekä "Any Google Workspace user attribute" että "memberOf" voidaan asettaa.

"Any Google Workspace user attribute" on käytettävissä vain, jos on asetettu mukautettu määrite muotoa "customSchemas.kategorian nimi.kentän nimi". Asettamasi mukautetut määritteet täytyy luoda Google Workspacessa.

[Retrieve role name to apply from [User Attribute to Browse]]

Valitse tämä valintaruutu, jos haluat käyttää roolinimenä merkkijonoa, joka rekisteröitiin kohdassa [User Attribute to Browse] määritettyyn määritteeseen. Ennen valintaruudun valitsemista, tarkista roolinimet, jotka voidaan valita laitteessa, ja rekisteröi ne palvelimelle.

[Conditions]

Voit asettaa ehdot, jotka määrittävät oikeudet. Ehtoja sovelletaan siinä järjestyksessä, jossa ne on lueteltu.

Valitse hakuehto kohteelle [Search Criteria] kohdassa [Character String].

Anna kohdassa [Character String] merkkijono, joka rekisteröitiin kohdassa [User Attribute to Browse] määritettyyn määritteeseen. Syöttämällä ryhmän nimen voit määrittää oikeudet käyttäjän ryhmän perusteella.

Valitse oikeudet, jotka soveltuvat ehdot täyttäviin käyttäjiin, kohdassa [Role].

* Active Directory -palvelinta käytettäessä Canonin oheislaitteiden järjestelmänvalvojat -ryhmään kuuluville käyttäjille on asetettu etukäteen rooli [Administrator].

Valitse [Update].

Käynnistä laite uudelleen. Laitteen uudelleenkäynnistys

Tiedot on rekisteröity.

HUOMAUTUS

Todennustietojen tallentamisen välimuistiin estäminen

Voit estää niiden salasanojen tallentamisen välimuistiin, joilla käyttäjät kirjautuvat ulkoiseen todennuspalvelimeen. [Kiellä autentikointisalasanan tallennus välimuistiin]

Kun välimuistiin tallentaminen on kielletty, [Save authentication information for login users] -asetus vaiheessa 7 poistetaan automaattisesti käytöstä. Voit ottaa asetuksen käyttöön vaiheessa 7 valitsemalla [Save authentication information for login users] -valintaruudun ja päivittämällä todennuspalvelimen tiedot.

Jos Kerberosin porttinumero Active Directoryssa muutetaan

Rekisteröi seuraavat tiedot DNS-palvelimelle SRV-tietueena:

Palvelu: "_kerberos"

Protokolla: "_udp"

Porttinumero: Active Directoryn toimialueen (vyöhykkeen) Kerberos-palvelun käyttämä porttinumero

Tämän palvelun tarjoava isäntä: Sen toimialueen valvojan isäntänimi, joka tarjoaa Active Directoryn toimialueen (vyöhykkeen) Kerberos-palvelun.

Sovelluksen rekisteröiminen Microsoft Entra ID -hakemistoon

Rekisteröi sovellus Microsoft Entra ID -hakemistoon käyttämällä seuraavaa menettelyä.
Rekisteröintiprosessi saattaa muuttua, kun palvelua päivitetään. Lisätietoja on Microsoft-sivustossa.

Kirjaudu Microsoft Entra ID -hakemistoon.

Napsauta siirtymisvalikossa [Microsoft Entra ID].

Rekisteröi sovellus.

Valitse siirtymisvalikossa [App registrations]

[New registration].

Anna sovelluksen nimi.

Voit antaa minkä tahansa nimen.
Syöte-esimerkki:
Canon <tulostimen nimi> Kirjautuminen

Valitse tilityyppi ja valitse [Register].

Sovellustunnus (asiakassovelluksen) tuotetaan.
Kirjoita tuotettu tunnus muistiin.

Luo salaisuus tai rekisteröi varmenne.

Salaisuuden luominen

Napsauta siirtymisvalikossa [Certificates & secrets].

Valitse [New client secret].

Kirjoita [Add a client secret]-valintaikkunaan kuvaus ja viimeinen voimassaolopäivä ja valitse [Lisää].

Salatunnus ja arvo luodaan.
Kirjoita luotu sala-arvo muistiin. Salatunnusta ei tarvita.
* Sala-arvo näytetään vain kerran. Jos et pysty kirjoittamaan arvoa muistiin, luo uusi asiakassovelluksen salaisuus.

Varmenteen rekisteröiminen

Laitteen varmenne pitää viedä etukäteen. Varmenteen voi viedä Microsoft Entra ID -tietoja määritettäessä. Todennuspalvelimen tietojen rekisteröinti

Napsauta siirtymisvalikossa [Certificates & secrets].

Valitse [Upload certificate].

Valitse tiedostomuoto ja valitse [Lisää].

Kun varmenne on ladattu, merkitse arvo [Thumbprint] muistiin.

Napsauta siirtymisvalikossa [API permissions].

Valitse [Add a permissions].

Valitse [Request API permissions] -kohdasta [Microsoft Graph].

Valitse oikeuksien tyypiksi [Delegated permissions] ja myönnä oikeudet.

Myönnä seuraavat oikeudet:

User.Read.All

Group.Read.All

GroupMember.Read.All

Valitse oikeuksien tyypiksi [Application permissions] ja myönnä oikeudet.

Myönnä seuraavat oikeudet:

User.Read.All

Group.Read.All

GroupMember.Read.All

* Käytä käyttöoikeuksia, kun et voi kirjautua sisään laitteelle, koska monimenetelmäisessä todentamisessa tapahtui virhe. Tätä ei vaadita käytetystä toiminnosta ja ympäristöstä riippuen.

Napsauta [Grant admin consent confirmation] ja sitten [Yes].

Järjestelmänvalvojan suostumus annetaan valituille oikeuksille.

Google Workspace -palvelimen määrittäminen

Seuraavia asetuksia edellytetään Google Workspacessa ja Google Cloudissa Google Workspace -tilin integraatiota varten.
Asetusmenetelmä voi muuttua palvelun päivityksistä tai muista syistä johtuen. Lisätietoja löydät Google-verkkosivustolta.

API-asetukset Google Cloudia varten

Etsi pääkäyttäjän SDK API asetuksessa, jossa otetaan käyttöön [API:t ja palvelut], ja aktivoi se.

OAuth-lupa-asetukset

Näppäimistöautentikointi Google Workspace -tilillä

OAuth-asiakassovellustunnuksen asetukset

Määritä [Sovellustyyppi] -asetukseksi [Web application].

Määritä [Authorized redirect URIs] arvoon http://localhost:8000/WebViewGoogle.