NexTool Solutions

Conectamos un Active Directory de laboratorio a un GLPI 11: 7 usuarios importados en 1,4 segundos, cada uno con el perfil correcto según su grupo del AD e inicio de sesión con la contraseña de la red. Hasta aquí, todo como se esperaba. El problema apareció cuando dimos de baja a un empleado en el AD: en GLPI, siguió activo, con el mismo perfil. Y cambiar la configuración después no lo resolvió, porque GLPI solo aplica la regla de baja la primera vez que detecta la salida.

¿Usa Microsoft Entra ID (Azure AD) y quiere inicio de sesión único en el navegador? Vea SSO con Microsoft Entra ID en GLPI. Este artículo trata del AD local, por LDAP.

Qué hace la integración con el AD

• Inicio de sesión con la contraseña de la red: el usuario entra en GLPI con el mismo usuario y contraseña de Windows. La contraseña nunca se guarda en GLPI.
• Importación de datos: nombre, apellido, correo electrónico, teléfono, cargo y otros campos vienen del AD.
• Perfil por grupo: las reglas de autorización asignan el perfil y la entidad según el grupo del AD (técnico, responsable, usuario).
• Sincronización: los cambios en el AD, como un cambio de teléfono, de cargo o una baja, llegan a GLPI mediante la sincronización programada.

El laboratorio

Montamos un controlador de dominio Samba (compatible con Active Directory) con el dominio ACME.TEST, la empresa ficticia Acme, tres grupos (GLPI-Tecnicos, GLPI-Gestores, GLPI-Usuarios) y ocho usuarios: siete activos y uno desactivado en una OU de bajas. Del otro lado, un GLPI 11.0.7 de pruebas.

Paso 1: el directorio LDAP

En Configuración > Autenticación > Directorios LDAP:

El botón Probar comprueba la conexión antes de importar nada.

Paso 2: el perfil según el grupo del AD

En Administración > Reglas > Reglas de asignación de autorizaciones, una regla por grupo:

Las autorizaciones asignadas por regla son dinámicas: si la persona sale del grupo en el AD, el perfil se retira en la siguiente sincronización.

Paso 3: importar y sincronizar

Desde la pantalla (Importar nuevos usuarios) o desde la línea de comandos, que es lo que sirve para programar:

php bin/console ldap:synchronize_users --ldap-server-id=1 --deleted-user-strategy=1,0,1

En el laboratorio, la importación trajo los 7 usuarios activos en 1,4 segundos, y el desactivado quedó fuera por el filtro. Nombre, correo electrónico y teléfono vinieron del AD, y cada uno recibió el perfil de su grupo. El inicio de sesión con la contraseña del AD funcionó, y con la contraseña incorrecta fue denegado.

Qué pasó cuando dimos de baja a un empleado

Desactivamos un usuario en el AD y ejecutamos la sincronización, primero con la configuración predeterminada.

Dos conclusiones:

1. Lo predeterminado en GLPI es no hacer nada con quien sale del AD (estrategia "0,0,0"). Un exempleado sigue con la cuenta activa en GLPI hasta que alguien se dé cuenta.
2. La estrategia se aplica en el momento en que GLPI detecta la salida. Si la primera sincronización se ejecutó con lo predeterminado, cambiar la configuración después no alcanza a quienes ya fueron marcados. Hay que tratar a esos usuarios manualmente.

Configure la acción para usuarios eliminados del LDAP antes de la primera sincronización (en Configuración > Autenticación, o con --deleted-user-strategy en el comando). La combinación que recomendamos es "1,0,1": deshabilitar la cuenta, mantener los grupos (para el historial) y retirar las autorizaciones dinámicas.

Para el regreso, la estrategia de restauración "3" vuelve a habilitar la cuenta cuando la persona se reactiva en el AD.

Un detalle sobre el perfil predeterminado

Todos los usuarios importados recibieron también el perfil predeterminado de GLPI (en nuestro caso, Self-Service), además del perfil de la regla. Para los técnicos, esto no estorba, pero aparece en el cambio de perfil. Si no lo quiere, revise cuál es el perfil predeterminado de GLPI antes de importar.

Checklist

1. Cuenta de servicio de solo lectura para el RootDN.
2. LDAPS o StartTLS en producción.
3. BaseDN en la OU de las personas y filtro que excluya las cuentas desactivadas.
4. objectguid como campo de sincronización.
5. Reglas de autorización por grupo del AD, con entidad definida.
6. Acción para usuarios eliminados del LDAP configurada antes de la primera sincronización ("1,0,1").
7. Sincronización programada (cron) con ldap:synchronize_users, al menos diaria.
8. Prueba con un usuario ficticio: crear, cambiar de grupo, dar de baja y reactivar en el AD, y comprobar GLPI en cada paso.

¿Necesita ayuda con la integración o con la auditoría de accesos? Hable con el equipo. Para entender perfiles y permisos, vea perfiles y permisos en GLPI.

Prueba de NexTool el 4 de octubre de 2026: controlador de dominio Samba (compatible con Active Directory) con usuarios ficticios y GLPI 11.0.7 de pruebas. El laboratorio se eliminó al final. Comportamiento de la sincronización comprobado en el propio comando de GLPI.