Information om att registrera autentiseringsserver

När du använder en Active Directory-, LDAP-server eller Microsoft Entra ID som en extern autentiseringsserver behöver informationen om servern som ska användas bli registrerad.

Registrera serverinformationen med Remote UI (Fjärranvändargränssnittet) från en dator. Du kan inte använda kontrollpanelen för att registrera informationen.
Administratörsbehörighet krävs. Maskinen måste startas om för att tillämpa den registrerade informationen.

Förberedelser som krävs

Du måste konfigurera inställningarna som krävs för att använda en Active Directory-, LDAP-server eller Microsoft Entra ID, såsom DNS-inställningar och inställningarna för datum och tid.

Konfigurera DNS

Ställa in datum och tid

Förbered autentiseringsuppgifterna för åtkomst till Active Directory-, LDAP-servern eller Microsoft Entra ID som du vill använda.

Logga in på Remote UI (Fjärranvändargränssnittet) som administratör. Starta Remote UI (Fjärranvändargränssnittet)

Från Remote UI (Fjärranvändargränssnittet) portalskärm klickar du på [Inställningar/Registrering]. Remote UI (Fjärranvändargränssnittet) portalsida

Klicka på [Användarhantering]

[Hantera autentisering]

[Serverinställningar]

[Redigera ...].

Skärmen [Redigera serverinställningar] visas.

Konfigurera Active Directory-, LDAP-servern eller Microsoft Entra ID-informationen i [Autentiseringsserver].

När Active Directory-informationen hämtas automatiskt

Markera kryssrutan [Använd Active Directory].

I [Ange Domänlista] ska du välja [Hämta automatiskt].

Ange metoden för åtkomst till Active Directory och antalet cacheminnen.

[Använda åtkomstläge på webbplatser]

När du använder flera Active Directory-servrar behöver den här kryssrutan markeras för att tilldela åtkomstprioritet till Active Directory på den plats som maskinen tillhör.
Ändra inställningarna för [Tid för hämtning av webbplatsinformation] och [Åtkomstområde för webbplats] efter behov.

* Även om [Endast webbplatsen enheten tillhör] i [Åtkomstområde för webbplats] är angivet kan det hända att maskinen får åtkomst till webbplatser utanför den webbplats den tillhör när den har åtkomst till domänövervakaren under startproceduren. I det här fallet prioriteras vanligtvis åtkomst till domänövervakare på samma webbplats.

Om domänövervakare däremot inte kan nås på samma webbplats men domänövervakare utanför webbplatsen kan nås prioriteras åtkomst till domänövervakare utanför webbplatsen.

[Antal cache för tjänstbiljett]

Ange antalet tjänstbiljetter som maskinen kan hålla.
En tjänstbiljett är en Active Directory-funktion som fungerar som en post för en tidigare inloggning, vilket minskar den tid det tar för samma användare att logga in nästa gång.

Ange Active Directory-informationen manuellt

Markera kryssrutan [Använd Active Directory].

I [Ange Domänlista] ska du välja [Ange automatiskt].

Klicka på [Active Directory-hantering ...]

[OK].

Skärmen [Active Directory-hantering] visas.

Klicka på [Lägg till domän ...].

Skärmen [Lägg till domän] visas.

Ange Active Directory-informationen.

[Domännamn]

Skriv domännamnet i Active Directory som är inloggningsdestinationen.

Inmatningsexempel:
company.domain.com

[NetBIOS-namn]

Ange NetBIOS-domännamn.

[Namn på primär värd eller IP-adress]/[Namn på sekundär värd eller IP-adress]

Ange värdnamnet för Active Directory-servern.

* Om du använder en sekundär server ska du ange servern i [Namn på sekundär värd eller IP-adress].

[Användarnamn] och [Lösenord]

Ange användarnamnet och lösenordet som ska användas för att få åtkomst till Active Directory-servern och söka efter användarinformation.

[Startpunkt för sökning]

Ange platsen (nivån) för att söka efter användarinformation när Active Directory-serverautentisering utförs. Om startpositionen på sökningen inte anges kommer all användarinformation registrerad på servern att sökas igenom.

Ange attributen.

[Attribut att ange för inloggningskonto]

Ange attributen för inloggningsnamn, visningsnamn och e-postadress för varje användarkonto på servern.

Klicka på [Testanslutning] för att testa anslutningen.

Klicka på [Lägg till].

Serverinformationen läggs till och skärmen [Active Directory-hantering] visas igen.

Klicka på [Bakåt].

Skärmen [Redigera serverinställningar] visas på nytt.

Ange antalet cacheminnen i [Antal cache för tjänstbiljett].

Ange LDAP-serverinformationen

Markera kryssrutan [Använd LDAP-server].

Klicka på [LDAP-serverhantering ...]

[OK].

Skärmen [LDAP-serverhantering] visas.

Klicka på [Lägg till server ...].

Skärmen [Lägg till LDAP-server] visas.

Ange LDAP-serverinformationen.

[Servernamn]

Ange namnet som används för att identifiera LDAP-servern.

* Använd inte namnet "localhost." Inkludera inte mellanslag i servernamnet.

[Primär adress] och [Sekundär adress]

Ange IP-adressen eller värdnamnet för LDAP-servern.

Inmatningsexempel: Värdnamn
ldap.example.com

* Använd inte en loopback-adress (127.0.0.1).

* Om du använder en sekundär server ska du ange IP-adressen eller värdnamnet i [Sekundär adress].

[Port]

Ange det portnummer som används för kommunikation med LDAP-servern.

* Om det lämnas tomt ska följande inställning enligt [Använd TLS] användas:

När kryssrutan är markerad, "636"

När kryssrutan är avmarkerad, "389"

[Kommentarer]

Ange en beskrivning eller kommentarer efter behov.

[Använd TLS]

Markera den här kryssrutan när du använder TLS-kryptering för kommunikation med LDAP-servern.

[Använd autentiseringsinformation]

När du använder autentiseringsinformation för autentisering av LDAP-servern markerar du kryssrutan och anger användarnamn och lösenord för autentisering.

Avmarkera kryssrutan för att anonym åtkomst till LDAP-servern ska tillåtas utan att autentiseringsinformationen används.

* Endast när LDAP-servern är inställd på att anonym åtkomst tillåts.

[Startpunkt för sökning]

Ange platsen (nivån) för att söka efter användarinformation när LDAP-serverautentisering utförs.

Ange attributen.

[Attribut att verifiera vid autentisering]

Ange de attribut som användarnamnet är registrerat på i [Användarnamn (Tangentbordsautentisering)].

[Attribut att ange för inloggningskonto]

Ange attributen för inloggningsnamn, visningsnamn och e-postadress för varje användarkonto på servern.

Ange domännamnet för inloggningsmålet i [Inställningsmetod, domännamn].

För att ange attributet som domännamnet är registrerat för väljer du [Ange attributnamn för anskaffande av domännamn] och anger attributet.

Klicka på [Testanslutning] för att testa anslutningen.

Klicka på [Lägg till].

Serverinformationen läggs till och skärmen [LDAP-serverhantering] visas igen.

Klicka på [Bakåt].

Skärmen [Redigera serverinställningar] visas på nytt.

Anger Microsoft Entra ID-informationen

Markera kryssrutan [Använd Microsoft Entra ID].

Klicka på [Domän Inställningar ...].

Skärmen [Microsoft Entra ID Domän Inställningar] visas.

Ange Microsoft Entra ID-informationen.

[Inloggningsdestination Namn]

Ange namnet som ska visas på inloggningsdestinationen.

[Domännamn]

Ange domännamnet för det Microsoft Entra ID som är inloggningsdestinationen.

[Program-ID]

Ange applikationens (klient) ID.

[Hemligt]

Ange hemligheten som genereras av Microsoft Entra ID. Du behöver inte ange detta när [Nyckel och certifikat] används.

[Nyckel och certifikat]

Klicka på [Nyckel och certifikat] för att konfigurera att certifikatet ska registreras till Microsoft Entra ID när en nyckel och ett certifikat används. Välj certifikatet där den associerade nyckelalgoritmen är RSA 2048 bitar eller mer och signeringsalgoritmen är SHA256, SHA384 eller SHA512.
Du kan klicka på [Export certifikat ...] för att exportera certifikatet som ska registreras på Microsoft Entra ID.

[Autentiserings-URL för Microsoft Entra ID] och [Microsoft Entra ID API URL]

Ange webbadresserna. Beroende på molnmiljön kan du behöva ändra inställningarna. Du behöver inte ange detta när [Hemligt] används.

Ange attributen.

[Attribut att ange för inloggningskonto]

[Inloggningsnamn]

Öppna listmenyn och välj attributet för inloggningsnamnet för respektive användarkonto på servern.

* Om ett attribut inte visas i listmenyn kan du ange det direkt.

displayName för [WindowsLogonName]:
hämtas från Microsoft Entra ID. displayName ändras enligt följande för att skapa inloggningsnamnet:

Mellanslag och följande tecken raderas från displayName: * + , . / : ; < > = ? \ [ ] |.

”@” och eventuella efterföljande tecken raderas.

Teckensträngar som överstiger 20 tecken förkortas till 20 tecken eller mindre.

Exempel: När displayName är user.001@example.com
user001

displayName [displayName]:
som erhålls från Microsoft Entra ID blir inloggningsnamnet.

userPrincipalName [userPrincipalName]:
som erhålls från Microsoft Entra ID blir inloggningsnamnet.

[userPrincipalName-Prefix]:
Delen före ”@” i userPrincipalName, som erhålls från Microsoft Entra ID, blir inloggningsnamnet.
Exempel: När userPrincipalName är ”user.002@mail.test ”
user.002

[Visningsnamn] och [E-postadress]

Ange attributen för visningsnamnet och e-postadressen för varje användarkonto på servern.

Ange domännamnet för inloggningsdestinationen i [Domännamn] under [Domännamn att ställa in för inloggningskonto].

Ange inställningarna i [Komplettera automatiskt för att ange användarnamn när du använder tangentbordsautentisering] under [Domännamn att autoslutföra].

Ange namnet på domänen för vilken automatisk komplettering ska utföras. Vanligtvis ställs det namn in som har angetts i [Domännamn].

Klicka på [Testanslutning] för att testa anslutningen.

Klicka på [Uppdatera].

Skärmen [Redigera serverinställningar] visas på nytt.

Ange tiden från start av autentiseringen till tidsgränsen i [Autentiserings-timeout].

Ange den prioriterade domänen som du vill ansluta till i [Standarddomän].

Ange om användares autentiseringsinformation ska bibehållas i [Cache för användarinformation].

För att bibehålla autentiseringsinformationen för användare som har loggat in via kontrollpanelen ska du markera kryssrutan [Spara autentiseringsinformation för inloggningsanvändare]. Om maskinen inte kan ansluta till autentiseringsservern inom det tidsintervall som anges i steg 5 kan du logga in med autentiseringsinformationen som finns i cache-minnet.

För att bibehålla autentiseringsinformationen för användare som har loggat in via tangentbordsautentisering ska du även markera kryssrutan [Spara användarinformation vid tangentbordsautentisering].
När den här kryssrutan är markerad kan du logga in med den lagrade autentiseringsinformationen, även om maskinen inte kan ansluta till servern.

Ange användarinformationen och privilegier i [Rollassociation].

[Användarattribut att bläddra bland]

Ange attributet på den refererade servern som används för att fastställa användarbehörigheter (roller).

För Active Directory/LDAP-server

Vanligtvis kan du använda det förinställda värdet för ”memberOf”, som indikerar den grupp användaren tillhör.

För Microsoft Entra ID

”Any user attribute of Microsoft Entra ID”, ”memberOf” och ”transitiveMemberOf” kan ställas in.

Om ”memberOf” är inställt hämtas endast grupper som användaren tillhör direkt.

Om ”transitiveMemberOf” är inställt hämtas inte informationen endast för de grupper som användaren tillhör direkt, utan även för de grupper som dessa grupper tillhör.

[Hämta rollnamn att tillämpa från [Användarattribut att bläddra bland]]

Markera den här kryssrutan för att använda teckensträngen som är registrerad för det attribut som anges i [Användarattribut att bläddra bland] för rollnamnet. Innan du markerar kryssrutan ska du kontrollera vilka rollnamn som kan väljas på maskinen och registrera dem på servern.

[Villkor]

Du kan ställa in villkoren som fastställer användarbehörigheter. Villkoren tillämpas i den ordning de visas.

Öppna [Sökkriterier] och välj sökkriterierna för [Teckensträng].

Öppna [Teckensträng] och ange teckensträngen som är registrerad för det attribut som anges i [Användarattribut att bläddra bland]. Ange gruppnamnet för att ange privilegier baserat på gruppen som användaren tillhör.

Öppna [Roll] och välj de privilegier som gäller för användare som uppfyller kriterierna.

* När du använder en Active Directory-server är användare som tillhör gruppen ”Canon Peripheral Admins” i förväg konfigurerade som [Administrator].

Klicka på [Uppdatera].

Starta om maskinen. Starta om maskinen

Informationen har registrerats.

OBS!

Förbud mot cache-lagring av autentiseringsinformation

Du kan förbjuda cache-lagring av lösenord som användare anger vid inloggning på den externa autentiseringsservern. [Förhindra cachning av autentiseringslösenord]

När cache-lagring är förbjuden inaktiveras inställningen [Spara autentiseringsinformation för inloggningsanvändare] i steg 7 automatiskt. För att aktivera inställningen i steg 7 ska du markera kryssrutan [Spara autentiseringsinformation för inloggningsanvändare] och uppdatera autentiseringsserverns information.

Om portnumret för Kerberos på Active Directory ändras

Registrera följande information för DNS-servern som ett SRV-register:

Tjänst: "_kerberos"

Protokoll: "_udp"

Portnummer: Portnumret som faktiskt används av Kerberos-tjänsten för Active Directory-domänen (zon)

Värd som erbjuder tjänsten: Värdnamn för domänövervakaren som erbjuder Kerberos-tjänsten för Active Directory-domänen (zon)

Registrera en applikation i Microsoft Entra ID

Använd följande procedur för att registrera ett program i Microsoft Entra ID.
Registreringsprocessen kan ändras med tjänstuppdateringar. Mer information finns på Microsofts webbplats.

Logga in på Microsoft Entra ID.

Klicka på [Microsoft Entra ID] i navigeringsmenyn.

Registrera applikationen.

Klicka på [Appregistreringar]

[Ny registrering] i navigeringsmenyn.

Ange namnet på applikationen.

Du kan ange vilket namn som helst.
Inmatningsexempel:
Canon <skrivarnamn> Logga in

Välj typ av konto och tryck på [Registrera].

Applikationens (klient) ID genereras.
Anteckna det genererade ID-numret.

Skapa en hemlighet eller registrera ett certifikat.

När du skapar en hemlighet

Klicka på [Certifikat och hemligheter] i navigeringsmenyn.

Klicka på [Ny klienthemlighet].

I dialogrutan [Lägg till en klienthemlighet] anger du beskrivning och utgångsdatum och klickar på [Lägg till].

Ett hemligt ID och värde skapas.
Anteckna det hemliga värdet som skapades. Du behöver inte det hemliga ID:et.
* Det hemliga värdet visas bara en gång. Om du inte har möjlighet att anteckna värdet kan du skapa en ny klienthemlighet.

När ett certifikat registreras

Maskinens certifikat måste exporteras i förväg. Du kan exportera certifikatet när Microsoft Entra ID-informationen konfigureras. Information om att registrera autentiseringsserver

Klicka på [Certifikat och hemligheter] i navigeringsmenyn.

Klicka på [Överför certifikat].

Markera filen och klicka på [Lägg till].

När certifikatet har laddats upp ska du notera värdet [Tumavtryck].

Klicka på [API-behörigheter] i navigeringsmenyn.

Klicka på [Lägg till en behörighet].

Under [Begär API-behörigheter] ska du välja [Microsoft Graph].

Under typen av behörigheter ska du välja [Delegerade behörigheter] och bevilja behörigheter.

Ge följande behörigheter:

User.Read.All

Group.Read.All

GroupMember.Read.All

Under typen av behörigheter ska du välja [Programbehörigheter] och bevilja behörigheter.

Ge följande behörigheter:

User.Read.All

Group.Read.All

GroupMember.Read.All

* Använd behörigheter när du inte kan logga in på maskinen på grund av ett multifaktorautentiseringsfel. Det här är inte obligatorisk beroende på vilken funktion och miljö som används.

Klicka på [Bekräfta administratörens samtycke] och sedan [Ja].

Administratörssamtycke beviljas för de markerade behörigheterna.