Filtro degli utenti AD inattivi
Seguire queste istruzioni per impedire agli utenti inattivi presenti nei domini di Active Directory (AD) di sincronizzarsi con Sophos Central.
Avviso
Si consiglia di rimuovere gli utenti e i dispositivi inattivi, invece di utilizzare i filtri. Gli account e i dispositivi degli utenti inattivi rappresentano un rischio di sicurezza. Per ulteriori informazioni, vedere Impostazione della sincronizzazione con Active Directory.
Quando si configura la Sincronizzazione con AD, è possibile utilizzare filtri per le query LDAP per individuare gli utenti e i gruppi da sincronizzare. È anche possibile cambiare i filtri e quindi eseguire nuovamente la sincronizzazione, se si desidera modificare gli utenti, i gruppi e i dispositivi da sincronizzare. È possibile utilizzare gli attributi LDAP nei filtri per le query LDAP, per impedire agli utenti inattivi di sincronizzarsi con Sophos Central.
È possibile utilizzare gli attributi lastLogon e lastLogonTimestamp. Quando si utilizzano questi attributi, occorre tenere presente come funzionano. Il loro utilizzo non garantisce informazioni in tempo reale o accurate.
- L'attributo
lastLogonè quello che ha maggiori probabilità di essere aggiornato, ma non viene replicato nei controller di dominio. Ciò significa che è necessario eseguire query su tutti i controller di dominio. - L'attributo
lastLogonTimestamppotrebbe non essere aggiornato. Tuttavia, questo è l'attributo più frequentemente utilizzato per filtrare gli utenti inattivi.
Per ulteriore assistenza su come utilizzare questi attributi, consultare la pagina Capire gli attributi degli account di AD.
Per filtrare gli utenti inattivi con lastLogonTimestamp, procedere come segue:
- Determinare la data e l'ora limite per l'inclusione degli utenti nella sincronizzazione, ad esempio: 1º dicembre 2020, 00:01.
- Convertire questo valore in
LDAP/FILETIMEutilizzando uno strumento di conversione, ad esempio LDAP, Active Directory and Filetime Timestamp Converter. Utilizzando il nostro esempio di data e ora limite si ottiene 132581431640000000. - Se non è già stato fatto, configurare la sincronizzazione con Active Directory.
- In Active Directory Synchronization Setup (configurazione della Sincronizzazione con Active Directory), cliccare su AD Filters (filtri di AD).
- Nella casella Custom filters (filtri personalizzati), immettere il
lastLogonTimestampe la data e l'ora limite convertite. Ad esempiolastLogonTimestamp >=132581431640000000. - Verificare le impostazioni e i filtri ed effettuare la sincronizzazione.