3. Organizar datos de LDAP

Debes decidir qué dominios principales, usuarios, unidades organizativas y grupos quieres sincronizar con tu cuenta de Google mediante Google Cloud Directory Sync (GCDS). También debes tener en cuenta las contraseñas y cómo quieres asignar los datos de tu servidor de directorio.

Estás en el paso 3 de 5

Cómo organizar tus datos

Mostrar todo  |  Ocultar todo

¿Cuál es tu dominio principal?

Identifica el dominio de Google que quieres sincronizar, ya que lo necesitarás cuando configures GCDS.

Nota: No puedes utilizar GCDS para sincronizar direcciones de alias de dominio. Más información sobre los aspectos básicos de un dominio

También puedes reemplazar el nombre del dominio. Los nombres de dominio de sustitución se suelen utilizar con los dominios piloto, pero también pueden ser útiles para cambiar a un nuevo dominio con GCDS. Si especificas otro dominio en el gestor de configuración, podrás importar la lista completa de usuarios a un dominio diferente.

Configura el nuevo dominio como dominio principal. A continuación, en la página de configuración de LDAP del gestor de configuración, especifica el nuevo dominio como tu dominio de Google y define quién será su administrador. En la página de configuración del dominio de Google, configura GCDS de manera que se sustituyan los nombres de dominio de las direcciones de correo electrónico de LDAP por este nombre de dominio. Durante la sincronización, GCDS modifica las direcciones de correo electrónico de todos tus usuarios para que utilicen el nuevo nombre de dominio.

Una vez que se haya completado el periodo de prueba, puedes cambiar el nombre del dominio (y el administrador de Google) por el de tu dominio principal sin modificar el resto de opciones.

¿Qué datos de usuario se deben sincronizar?

• Usuarios: revisa tu directorio de usuarios con un navegador de LDAP y asegúrate de que importas el número correcto de usuarios. Si importas un número de usuarios superior al número de licencias que tienes, podrían producirse errores durante la sincronización. Más información sobre cómo gestionar licencias de usuarios
• Perfiles de usuario: si tu servidor de directorio LDAP incluye información adicional, como direcciones, números de teléfono o información de contacto, también podrás sincronizar estos datos.
• Alias: puedes sincronizar uno o varios atributos de alias desde tu directorio LDAP en alias de direcciones de Google.
• ID único: si es probable que tus usuarios cambien sus nombres de usuario (las direcciones de correo electrónico), define un atributo de ID único antes de configurar una sincronización. De esta forma, la información de los usuarios no se perderá cuando cambien sus direcciones de correo electrónico.
• Contraseñas: GCDS admite un conjunto limitado de operaciones relacionadas con las contraseñas. Si tienes un servidor de Microsoft Active Directory, podrás mantener las contraseñas del directorio LDAP sincronizadas con tu cuenta de Google mediante Password Sync.
• Usuarios eliminados y suspendidos: de forma predeterminada, los usuarios que no se encuentren en tu directorio LDAP se eliminarán de tu cuenta de Google y los usuarios suspendidos se ignorarán. Puedes cambiar la configuración predeterminada en la página de cuentas de usuario del gestor de configuración. Si configuras GCADS para que los usuarios se suspendan en lugar de eliminarse, podrás ver y transferir los recursos de los usuarios para aprovechar las funciones de recuperación de datos. Si lo prefieres, puedes eliminar a los usuarios suspendidos, pero solo puedes eliminarlos o suspenderlos, no ambas cosas.

¿Cómo debes organizar tus grupos y listas de distribución?

Puedes organizar los usuarios de tu cuenta de Google por medio de una lista de distribución o de una estructura organizativa:

Lista de distribución

Decide qué listas de distribución de tu servidor de directorio LDAP quieres sincronizar con tu cuenta de Google. Las listas de distribución del servidor de directorio LDAP se importan como grupos a la cuenta de Google.

Ciertos atributos de lista de distribución contienen una dirección literal y siguen un formato tipo [e-mail]. Algunos contienen una referencia de nombre completo y siguen este formato:
cn=Teresa Soler,ou=Equipo ejecutivo,dc=example,dc=com.

Si quieres conservar las listas de distribución en la cuenta de Google, sigue estos pasos:

1. Averigua qué atributo contiene los miembros de tus listas de distribución. Suele ser el atributo member o el atributo mailAddress.
2. Comprueba si el atributo LDAP de los miembros de la lista de distribución contiene una dirección de correo electrónico o un nombre completo de usuario.

Estructura organizativa

De forma predeterminada, GCDS sincroniza todos los usuarios en una única estructura simple. Esta opción es adecuada si la organización es pequeña o si quieres que todos los usuarios tengan la misma configuración y los mismos derechos. También funciona bien si quieres hacer una prueba con un grupo reducido como paso previo a una implementación más generalizada.

Si quieres utilizar una jerarquía de unidades organizativas en tu cuenta de Google, puedes sincronizarla desde el servidor de directorio LDAP. Si lo haces, primero revisa tus unidades organizativas con un navegador LDAP para asegurarte de sincronizar la estructura correcta. Es posible que tengas unidades organizativas especiales que no se deban trasladar a la cuenta de Google, como una unidad organizativa de impresoras.

Si quieres crear unidades organizativas en tu cuenta de Google manualmente, puedes configurarlas en Google y luego hacer que GCDS traslade a ellas a los usuarios sin cambiar las organizaciones que ya tienes. Selecciona esta opción en la página de unidades organizativas del gestor de configuración. En cada regla de búsqueda de usuarios, especifica la organización que debe contener los usuarios de esa regla, o un atributo LDAP que incluya el nombre de la organización correcta.

¿Quieres gestionar las licencias con GCDS?

Si quieres gestionar las licencias con GCDS, deberás crear usuarios y asignarlos a grupos de licencias concretos. Como segunda opción, puedes definir un atributo específico en cada cuenta de usuario.

GCDS utiliza el grupo o atributo para determinar la licencia correcta que se debe aplicar a una cuenta.

¿Quieres sincronizar los contactos compartidos y los recursos de calendario?

GCDS puede sincronizar otros recursos de LDAP con tu cuenta de Google; por ejemplo, contactos compartidos y recursos de calendario.

• Contactos compartidos: todos los usuarios de una lista de contactos pueden ver los datos de los contactos compartidos. Además, si configuras contactos compartidos, todos los usuarios de la lista tendrán habilitada la función de autocompletar direcciones de correo electrónico en Gmail. Para importar direcciones a tu cuenta de Google como contactos compartidos, habilita Shared Contacts (Contactos compartidos) en la página General Settings (Ajustes generales) del gestor de configuración. Una vez que hayas sincronizado los contactos compartidos, los cambios pueden tardar hasta 24 horas en aparecer en tu dominio de Google.

  Nota: GCDS solo sincroniza los contactos compartidos; los contactos personales no se incluyen en la sincronización.

• Recursos de calendario: si quieres importar recursos de calendario (como salas de conferencias) desde tu directorio LDAP a tu cuenta de Google, deberás configurar la sincronización de recursos de calendario de manera que todos los usuarios puedan verlos.

• Debes especificar un formato de nombres para los recursos de calendario. Ten en cuenta que las reglas que se aplican a los nombres de recursos de calendario son diferentes a las de otra información sincronizada. Los nombres no pueden contener espacios ni caracteres especiales.

¿Cómo sincronizarás las contraseñas?

Consejo: Puedes utilizar Password Sync para mantener las contraseñas de Google Workspace de tus usuarios sincronizadas con sus contraseñas de Active Directory.

GCDS admite un conjunto limitado de operaciones relacionadas con las contraseñas. Solo puede importar contraseñas en un atributo de LDAP que almacena contraseñas en texto sin formato o con estos formatos: Base64, MD5 sin salt o SHA-1 sin salt. No se admiten otras funciones hash con salt ni de cifrado de contraseñas. La mayoría de los servidores de directorio no son compatibles con estos formatos de manera nativa, por lo que almacenar las contraseñas de usuario en estos formatos en tu servidor de correo puede tener consecuencias graves sobre la seguridad.

Para la sincronización de contraseñas, GCDS ofrece las opciones siguientes:

• Implement single sign-on for your domain (Implementar el inicio de sesión único en tu dominio): los usuarios utilizarán las mismas contraseñas y autorizaciones en tu cuenta de Google y en tu servidor de directorio LDAP. Puedes configurar un servidor de lenguaje de marcado para confirmaciones de seguridad (SAML) en tu cuenta para gestionar los inicios de sesión únicos. En este caso, GCDS creará contraseñas aleatorias durante la sincronización.

  Nota: El inicio de sesión único solo admite la autenticación web. Otras formas de autenticación, como IMAP, POP y ActiveSync, no admiten el inicio de sesión único y siguen requiriendo una contraseña de Google.

• Use a plain text LDAP attribute for the default password for new users (Utilizar un atributo LDAP de texto sin formato para la contraseña predeterminada de los nuevos usuarios): utiliza esta opción si quieres que los usuarios tengan contraseñas independientes de un solo uso. De esta manera, las contraseñas de Google serán independientes de las contraseñas de tu servidor de directorio LDAP. Puedes utilizar este método para crear una contraseña temporal a partir de cualquier atributo LDAP que incluya datos en el formato de texto sin formato.
• Use a third-party utility to convert unsupported passwords to a supported format (Utilizar una utilidad de terceros para convertir las contraseñas no admitidas a un formato compatible): elige esta opción si necesitas que Google use las mismas contraseñas que tu servidor de directorio LDAP, pero no puedes configurar un servidor SAML. Puedes visitar Google Workspace Marketplace y buscar herramientas de terceros que te ayuden a sincronizar las contraseñas; pero ten en cuenta que Google no ofrece asistencia sobre herramientas de otros proveedores.
• Specify a default password for new users (Especificar una contraseña predeterminada para los nuevos usuarios): con esta opción, todos los nuevos usuarios tienen la misma contraseña hasta que inician sesión y la cambian. Las contraseñas de Google serán independientes de las contraseñas de tu servidor de directorio LDAP. Para utilizar esta opción, establece una contraseña predeterminada para los nuevos usuarios y, a continuación, configura GCDS para sincronizar sus contraseñas y obligarles a cambiarlas.
  Dado que, en ocasiones, otros usuarios pueden adivinar la contraseña, esto no se recomienda generalmente como una opción segura.

¿Cómo se asignarán los datos?

Debes decidir la manera en que se asignarán los datos de tu servidor de directorio LDAP a los datos de tu cuenta de Google. Además, necesitas tener claro cómo se debe sincronizar cada usuario, grupo y recurso. Puedes configurar la asignación con una jerarquía simple, una sincronización automática elemento a elemento o un conjunto manual de reglas personalizadas. Para obtener más información, consulta el artículo ¿Qué elementos se sincronizan?.

Situación de ejemplo

Como administrador de Google de la empresa Ejemplo, decides que la actual jerarquía organizativa que hay en el servidor LDAP se debe copiar en la cuenta de Google, e identificas las unidades organizativas que deben sincronizarse.

Determinas que la organización Ejemplo necesita sincronizar los siguientes elementos:

• Unidades organizativas
• Usuarios
• Alias
• Grupos (listas de distribución)
• Contactos compartidos
• Recursos de calendario

Las listas de distribución en el servidor de directorio LDAP utilizan el atributo member para almacenar los miembros de cada lista de distribución. Este atributo contiene el nombre completo de los miembros de las listas de distribución, en vez de su dirección de correo electrónico. Como administrador de GCDS, tienes en cuenta este atributo y que se trata de un atributo de referencia, no de uno literal.

Dado que la información de perfil de usuario de LDAP en el servidor de LDAP no está en un formato estándar en todas las organizaciones, como administrador de Google, decides no sincronizar esta información.

En el servidor LDAP, creas un atributo personalizado y le asignas una contraseña de un solo uso generada de manera aleatoria. En tu cuenta de Google, configuras una combinación de correo para enviar las contraseñas a los usuarios, junto con información sobre cómo activar sus cuentas.

Algunos usuarios de la unidad organizativa de contratistas ya no están en la empresa Ejemplo, por lo que no deberían sincronizarse. Revisas la lista y observas que todos ellos coinciden con una expresión regular porque todas sus direcciones de usuario empiezan por "obsoleto". Por último, creas excepciones para estos usuarios en el dominio de Google.

_{Google, Google Workspace, así como las marcas y los logotipos relacionados, son marcas de Google LLC. Todos los demás nombres de empresas y productos son marcas de las empresas con las que están asociadas.}