Met de Active Directory-integratie (ADI) van KnowBe4 kun je de Active Directory (AD) van je organisatie integreren met je KSAT-console. Nadat je de ADI heb geconfigureerd, worden gebruikers en groepen automatisch toegevoegd, gewijzigd en gearchiveerd in je KSAT-console op basis van de informatie die vanuit je AD wordt verzonden. De integratie is een synchronisatie in één richting en er wordt geen informatie van je KSAT-console teruggestuurd naar je AD.

Wil je meer weten over de voordelen van het configureren van ADI voor jouw organisatie, raadpleeg dan ons artikel Voordelen van het instellen van een Active Directory-integratie (ADI). Configureer je de ADI liever aan de hand van een videotutorial, bekijk dan onze video Active Directory-integratie (ADI) configureren. En als je gebruikers liever synchroniseert met SCIM, raadpleeg dan onze Gids voor SCIM-configuratie.

Hoe ADI werkt voor accounts met bestaande gebruikers

Heb je al gebruikers aan je KSAT-console toegevoegd? Dan zijn er een paar zaken waarmee je rekening moet houden voordat je ADI configureert. Meer informatie vind je hieronder:

• Zodra je ADI hebt geconfigureerd, worden de gegevens die vanuit je AD worden gesynchroniseerd als leidend beschouwd. Tijdens synchronisaties tussen je KSAT-console en je AD gebeurt het volgende:
  • Gebruikers die niet in je AD worden gevonden, worden gearchiveerd in je KSAT-console.
  • Als je gebruikersgegevens in je KSAT-console hebt gewijzigd, worden deze wijzigingen overschreven door de gegevens uit je AD.
• Voordat je ADI configureert, worden gebruikersaccounts in de KSAT-console door de console beheerd. De gegevens van door de console beheerde gebruikers pas je aan door een CSV-bestand te uploaden naar de console of door gebruikersprofielen rechtstreeks in de console aan te passen.
  • Zodra je ADI configureert en de eerste AD-synchronisatie heeft plaatsgevonden, worden gebruikers beschouwd als AD-beheerd. Bij AD-beheerde gebruikers voer je wijzigingen door in je AD. Deze wijzigingen worden vervolgens bij de eerstvolgende synchronisatie naar je KSAT-console verstuurt.
• Tijdens de eerste AD-synchronisatie koppelt de KSAT-console automatisch door de console beheerde gebruikersaccounts aan de accounts in je AD. Hierdoor worden gebruikers omgezet van door de console beheerd naar AD-beheerd. Dit proces werkt zo:
  1. Je installeert en configureert de ADI-synchronisatietool in je omgeving. Meer informatie hierover vind je in het gedeelte Installatie en configuratie van dit artikel.
  2. Je configureert welke informatie je van je AD wilt synchroniseren. Meer informatie hierover vind je in het gedeelte Bepalen welke OU's, groepen en gebruikers je wil synchroniseren van dit artikel.
  3. Vervolgens haalt de ADI-synchronisatieservice gebruikers- en groepsinformatie op uit je AD of andere directory's en stuurt deze gegevens naar de servers van KnowBe4.
  4. Deze KnowBe4-servers verwerken de ontvangen informatie en werken vervolgens gebruikers en groepen in je KSAT-console automatisch bij volgens de volgende logica:
     1. Als het e-mailadres van een gebruiker in AD overeenkomt met een bestaand gebruikersaccount in de KSAT-console, wordt dit account voortaan door AD beheerd.
     2. Als een gebruiker in AD niet in de KSAT-console voorkomt, wordt er een nieuw AD-beheerd gebruikersaccount aangemaakt.
     3. Nadat alle gebruikers in AD zijn verwerkt, archiveert ADI de console-accounts die niet AD-beheerd zijn geworden.

Beveiligingsmaatregelen voor automatische ADI-updates

Er zijn een aantal beveiligingsmaatregelen die ervoor zorgen dat automatische ADI-updates veilig verlopen:

• De metadata van het installatiebestand worden via het HTTPS-protocol gedownload.
• Het installatiebestand zelf wordt via het HTTPS-protocol gedownload.
• Nadat het installatiebestand is gedownload en voordat het wordt uitgevoerd, controleert de ADI-synchronisatietool van KnowBe4 de controlesom van het bestand en verifieert de tool of het bestand een geldige digitale handtekening van KnowBe4 bevat.

Zodra ADI is geconfigureerd, blijven gebruikersgegevens up-to-date met de informatie in de AD van je organisatie.

Vereisten

Zorg ervoor dat je omgeving voldoet aan de onderstaande basisvereisten voordat je ADI configureert:

1. Je organisatie moet Microsoft Active Directory of Microsoft Entra ID hebben. Meer informatie vind je in de lijst hieronder:
   1. Heeft je organisatie Microsoft Active Directory, dan moet het functionele niveau van je domein Windows Server 2016 of hoger zijn.
   2. Heeft je organisatie Microsoft Entra ID, dan kun je Microsoft Entra Domeinservices synchroniseren met je KSAT-console. Je leest hier meer over in ons artikel Active Directory-integratie (ADI) met Microsoft Entra Domeinservices.
2. We raden aan de ADI-tool op een applicatieserver te installeren en niet op een werkstation. Controleer of het systeem waarop je ADI installeert aan de volgende vereisten voldoet:
   1. Het systeem draait op Windows 10 (64 bit) of Windows 11, of Windows Server 2016 of later.
   2. Het systeem kan de server van de trainingsinstantie voor je account bereiken. Een overzicht van de trainingsinstanties vind je in ons artikel Trainingsinstanties van KnowBe4. De trainingsinstantie is de server-URL waarmee de AD-synchronisatietool van KnowBe4 via een POST-verzoek communiceert. Uitgaande verbindingen naar externe servers via poort 443 (SSL/HTTPS) moeten zijn toegestaan.
   3. De computer beschikt over minimaal 2 GB RAM-geheugen.
   4. De computer beschikt over minimaal 1 GB vrije schijfruimte op de systeemschijf.
   5. Gebruikersaccountbeheer (UAC) is ingeschakeld in de UAC-instellingen van het systeem.

In het volgende gedeelte staan belangrijke stappen die je moet uitvoeren ter voorbereiding op je ADI-configuratie.

Voordat je begint: vereiste stappen

Volg de onderstaande stappen voordat je de AD-synchronisatietool van KnowBe4 op je lokale systeem kunt installeren en configureren:

1. Verzamel de volgende informatie over je AD:
   Belangrijk: bevinden je gebruikers zich onder meerdere domeincontrollers, dan moet je de onderstaande informatie voor elke DC verzamelen. Daarnaast moet je ADI voor elk domein configureren. Meer informatie hierover lees je in het gedeelte Ondersteuning voor meerdere domeinbronnen in onze Gids voor geavanceerde configuratie van Active Directory-integratie (ADI).
   • Zoek het IP-adres of de volledig gekwalificeerde domeinnaam (FQDN) van de domeincontroller waar je AD zich bevindt.
   • Zorg ervoor dat je AD-domeincontroller LDAP-verzoeken kan beantwoorden. Alle domeincontrollers zijn standaard zo ingesteld dat ze dit kunnen doen.
     Tip: de AD-synchronisatietool kan via LDAP communiceren. Maar je kunt ook LDAPS op je domeincontroller inschakelen voordat je je AD synchroniseert. Op de meeste domeincontrollers is LDAPS standaard niet ingeschakeld. Meer informatie vind je in ons artikel Veelgestelde vragen: Active Directory-integratie (ADI).
   • Zoek de AD-domeinnaam. Dit is het rootdomein dat door je AD-domeincontroller wordt beheerd. Hieronder staat een voorbeeld van een AD-domeinnaam.

     

   • Zorg ervoor dat je beschikt over een gebruikersnaam en wachtwoord van een AD-beheerdersaccount met rechten om LDAP-query’s uit te voeren. Accounts in de groep 'Domeingebruikers' hebben standaard deze rechten, maar voor extra beveiliging raden we aan een serviceaccount te gebruiken met alleen leesrechten in je Active Directory. De benodigde leesrechten voor dit serviceaccount vind je in onze Gids voor geavanceerde configuratie van Active Directory-integratie (ADI).
2. Haal je ADI-synchronisatietoken op en download de ADI-synchronisatietool via Accountinstellingen in KSAT. Volg de onderstaande stappen:
   1. Log in op je KSAT-console en selecteer je e-mailadres rechtsboven. Selecteer vervolgens Accountinstellingen.
   2. Ga naar het gedeelte User provisioning. Vink vervolgens User provisioning (gebruikers synchroniseren) inschakelen aan.

      
      

      Onthoud: je moet domeinen toevoegen en verifiëren in je console om gebruikersaccounts correct te kunnen synchroniseren. Als gebruikers niet worden gesynchroniseerd, dan komt dit vaak doordat het domein niet is toegevoegd. Hoe je een domein toevoegt, lees je in het artikel Domeinen toevoegen en verifiëren. Daarnaast moet je het domein toestaan in je console om gebruikers aan de console toe te kunnen voegen. Als je tijdens de configuratie van domeinen wisselt, controleer dan of het nieuwe domein als Toegestaan domein is opgenomen om synchronisatieproblemen te voorkomen.
   3. Zorg ervoor dat de Testmodus is ingeschakeld. Schakel Testmodus pas uit nadat je de ADI-configuratie hebt voltooid en hebt gecontroleerd dat ADI correct werkt. Zolang Testmodus is ingeschakeld, vindt er geen user provisioning of synchronisatie plaats. In plaats daarvan wordt een rapport gegenereerd dat laat zien wat er zou zijn gebeurd als user provisioning had plaatsgevonden. Met Testmodus kun je eventuele problemen oplossen zonder dat dit effect heeft op de huidige gebruikers in je console.
      Tip: De optie Groepsdomein weergeven kan handig zijn als je gebruikers over meerdere domeinbronnen zijn verdeeld. Raadpleeg de pagina Veelgestelde vragen: ADI voor meer informatie.

      

   4. Kopieer je ADI-synchronisatie token en sla het lokaal op. Dit token heb je nodig om de installatie te voltooien. Je ADI-synchronisatietoken bevat 34 tekens en lijkt hierop: US9X140X4829E37XX545401X97912X604X.
   5. Klik op het download-pictogram naast ADI-tool (ADISyncSetup.exe) om het bestand voor de ADI-tool te downloaden.
   6. Klik op Wijzigingen opslaan onderaan de pagina Accountinstellingen.
   7. Bepaal welke gebruikers je wilt synchroniseren en zorg ervoor dat je weet waar deze gebruikersobjecten zich in je AD bevinden.
3. Zodra je de stappen in dit gedeelte en in Installatie en configuratie hieronder hebt uitgevoerd, moet je aangeven waar de gebruikersobjecten zich in je AD bevinden. Je kunt gebruikersobjecten synchroniseren vanuit organisatie-eenheden (OU’s), beveiligingsgroepen en distributiegroepen. Meer informatie over hoe je bepaalt welke gebruikers je wilt synchroniseren, vind je in het gedeelte Bepalen welke OU’s, groepen en gebruikers je wilt synchroniseren van dit artikel.

   Bevinden je gebruikersobjecten zich niet in OU's, beveiligingsgroepen en distributiegroepen, raadpleeg dan de informatie hieronder:

   • Als de gebruikers die je wilt synchroniseren zich in de ingebouwde container bevinden in plaats van in een OU: je kunt containers niet synchroniseren. Je kunt wel een beveiligingsgroep aanmaken, deze gebruikers aan die groep toevoegen en vervolgens die groep synchroniseren in plaats van de container.
   • Is je AD niet ideaal ingericht voor synchronisatie met de KSAT-console of weet je dit niet zeker: je kunt in AD één of meerdere groepen aanmaken met daarin alle gebruikersobjecten en groepen die je wilt synchroniseren. Geef vervolgens aan dat je alleen die groepen wilt synchroniseren.
   • Als je een rootdomein met onderliggende domeinen hebt, kun je de ADI-installatie voor elk onderliggend domein uitvoeren. Elk onderliggend domein moet dezelfde domeincontroller gebruiken als het rootdomein.
4. Bepaal uit welk veld de e-mailadressen van je gebruikers in AD moeten worden opgehaald. De ADI-service haalt standaard de proxy-adressen van je gebruikers op om deze te gebruiken als e-mailadres voor hun KnowBe4-account.
   • Wil je iets anders dan proxy-adressen gebruiken, pas dan het veld emailAttrib aan in je adisync.conf-bestand. Gebruik je bijvoorbeeld geen Microsoft Exchange of Microsoft 365 als e-mailserver, dan is het veld voor proxy-adressen in AD waarschijnlijk leeg. Pas het veld emailAttrib aan nadat je de installatie hebt uitgevoerd maar voordat je de ADI-synchronisatieservice start. Instructies vind je in het gedeelte Aanpassen waar je e-mailadressen ophaalt in Active Directory in onze Gids voor geavanceerde configuratie van Active Directory-integratie (ADI).
     
     Opmerking: het veld useMailAttrib is vervangen door emailAttribute.
   • Zorg dat alle campagnes juist zijn ingesteld voor de instroom van gebruikers. Controleer de instellingen van je Slimme groepen in Campagnes goed. Deze kunnen worden beïnvloed door nieuwe gebruikers die via ADI-synchronisatie verschijnen.

Ga verder met de stappen in het volgende gedeelte als je de bovenstaande informatie hebt verzameld.

Installatie en configuratie

Heb je de bovenstaande informatie verzameld, dan kun je je ADI-synchronisatietool installeren en configureren. Volg hiervoor de onderstaande stappen:

1. Voer de Active Directory-synchronisatietool uit. Dit is het bestand ADISyncSetup.exe dat je via je KSAT-accountinstellingen hebt gedownload in stap 2 van het gedeelte Voordat je begint: vereiste stappen hierboven. Je kunt dit overal in de omgeving installeren, zolang het systeem kan communiceren met een domeincontroller die LDAP-verbindingen accepteert.
   Let op: we raden je aan de ADI-tool niet op een domeincontroller te installeren.
   Tip: de AD-synchronisatietool kan via LDAP communiceren. Je kunt ook LDAPS op je domeincontroller inschakelen voordat je je Active Directory synchroniseert. Op de meeste domeincontrollers is LDAPS standaard niet ingeschakeld. Meer informatie vind je in ons artikel Veelgestelde vragen: Active Directory-integratie (ADI).

   Er wordt automatisch een opdrachtprompt geopend in de installatiemap. De standaardlocatie van de installatiemap op 64-bit-systemen is: C:\Program Files\KnowBe4\ADI Sync

2. In het opdrachtpromptvenster word je gevraagd de onderstaande informatie in te voeren:

   

   1. Voer je ADI-synchronisatietoken (34 tekens) in: voer je deze opdracht voor de eerste keer uit, dan word je gevraagd om je Active Directory-synchronisatietoken in te voeren. Dit is de reeks tekens die je uit je KSAT-accountinstellingen hebt gekopieerd. Meer informatie hierover vind je in stap 2 in het gedeelte Voordat je begint: vereiste stappen hierboven.
   2. Voer de Active Directory-domeinnaam in: de domeinnaam verwijst naar het rootdomein van je AD. Een voorbeeld vind je in het gedeelte Voordat je begint: vereiste stappen hierboven.
   3. Voer de hostnaam of het IP-adres van de AD-domeincontroller in: dit is het IP-adres of Fully Qualified Domain Name (FQDN) van de domeincontroller waar je AD zich bevindt.
   4. SSL inschakelen (true/false): LDAPS is standaard niet ingeschakeld op je domeincontroller. Typ 'false' of druk op Enter om deze optie automatisch te kiezen. Is LDAPS wel ingeschakeld voor deze synchronisatie, dan typ je 'true'.
   5. SecurityCoach-velden inschakelen (true/false): als je SecurityCoach hebt aangeschaft, voer dan 'true' in om deze velden in te schakelen. Met deze velden kun je informatie synchroniseren om gebruikers in kaart te brengen. Raadpleeg het gedeelte SecurityCoach-velden in ons artikel Je CONF-bestand aanpassen voor Active Directory-integratie (ADI) voor meer informatie. Deze velden zijn standaard uitgeschakeld. Druk op Enter om dit zo te laten.
   6. Voer het Active Directory-poortnummer in [389]: voer het goede poortnummer in voor LDAP of LDAPS. Standaard is dit 389 voor LDAP en 636 voor LDAPS.
   7. Voer de gebruikersnaam in (gebruiker@domein): dit is de gebruikersnaam van het AD-beheerdersaccount met de juiste leesrechten om LDAP-query’s uit te voeren. Deze gebruikersnaam moet deze indeling hebben: gebruiker@domein.
   8. Voer het wachtwoord in: dit is het wachtwoord van het AD-beheerdersaccount met de juiste leesrechten om LDAP-query’s uit te voeren.
3. Als de verbinding gelukt is, verschijnt een bevestiging dat de ADI is verbonden en geconfigureerd voor je domein, zoals in het voorbeeld hierboven.
4. Druk op Enter om het opdrachtpromptvenster te sluiten.

   Als er problemen zijn met de verbinding of verificatie van je domeincontroller, verschijnen er foutmeldingen in de opdrachtprompt. Voer de stappen van dit gedeelte dan nogmaals uit met correcte gegevens. Neem contact op met ons ondersteuningsteam als de problemen aanhouden.

   Ga verder met de volgende onderdelen zodra de verbinding gelukt is. Hier bepaal je welke gebruikers en informatie je wilt synchroniseren met je KSAT-console.

Bepalen welke OU's, groepen en gebruikers je wilt synchroniseren

Nadat je de stappen in de vorige twee onderdelen hebt voltooid, ga je het <your domain here>.conf-bestand bewerken om te configureren welke gegevens je wilt synchroniseren met je KSAT-account. Deze configuratie is vereist om gebruikers vanuit je AD te synchroniseren.

Voltooi de ADI-installatie met de onderstaande stappen:

1. Zorg dat je schrijfrechten hebt voor de map C:\ProgramData\KnowBe4\ADI Sync\Config.
2. Zoek het <your domain here>.conf -bestand in de installatiemap, zoals hieronder weergegeven. Open het bestand in een tekstbewerker, zoals Kladblok.

   

   Het bestand <your domain here>.conf wordt gebruikt om te bepalen welke gebruikers, gebruikersgegevens en groepen je tussen je KSAT-account en je AD wil synchroniseren. Open het bestand sample_domain voor een voorbeeldbestand.

   Opmerking: let goed op dat je het bestand <your domain here>.conf bewerkt en niet het bestand adisync.conf.
3. Bewerk het bestand <your domain here>.conf om de criteria voor de synchronisatie van gebruikers en groepen op te geven. Je kunt drie onderdelen van het <your domain here>.conf-bestand aanpassen:
   • [sync.fields] (Optioneel): geef op welke gebruikersgegevens je uit je AD je wil synchroniseren. Meer hierover lees je in het gedeelte Andere gebruikersgegevens synchroniseren met KnowBe4 in ons artikel Je CONF-bestand aanpassen voor Active Directory-integratie (ADI).
   • [sync.users] (Verplicht): hier geef je op welke gebruikers uit je AD moeten worden gesynchroniseerd. Geef tenminste één OU, groep of gebruiker op bij het gedeelte [sync.users] van het .conf-bestand.
   • [sync.groups] (Optioneel): geef hier op welke groepen je uit je AD wilt synchroniseren. Deze groepen worden automatisch aangemaakt in je KnowBe4-console en de betreffende gebruikers aan de groepen toegevoegd.
   Opmerking: bevatten de namen van je OU's of groepen tekens die niet voorkomen in het Latijnse alfabet? Vervang dan in het bestand <your domain here>.conf de dubbele aanhalingstekens (") door enkele aanhalingstekens ('). Daarnaast moet je een dubbele backslash (\\) vóór speciale tekens plaatsen, zoals komma's, hekjes (#) en plustekens (+), om deze te 'escapen'. Meer informatie hierover vind je in onze Gids voor escape-tekens met Active Directory-integratie.
4. Sla de wijzigingen in het bestand <your domain here>.conf op als je klaar bent.

In het volgende gedeelte lees je hoe je de ADI-synchronisatie start.

De ADI-synchronisatie starten

Heb je alle bovenstaande stappen voltooid? Dan is de ADI-synchronisatieservice van KnowBe4 geconfigureerd en kun je de ADI-synchronisatie starten. Volg hiervoor de onderstaande stappen:

Begin de synchronisatie door de ADI-synchronisatieservice van KnowBe4 in Windows Service Control Manager (SCM) te starten.

De ADI-synchronisatieservice van KnowBe4 wordt direct uitgevoerd. Zolang de service actief is, worden je AD en de KSAT-console elke zes uur gesynchroniseerd.

Wanneer Testmodus is ingeschakeld in Accountinstellingen, krijg je een voorbeeld te zien van hoe je AD met KnowBe4 wordt gesynchroniseerd. Ga voor dit voorbeeld in je KSAT-console naar Gebruikers > User provisioning.

Laat Testmodus ingeschakeld totdat je zeker weet dat ADI is geconfigureerd volgens de behoeften van je organisatie. Ben je tevreden met de ADI-configuratie, ga dan naar Accountinstellingen in KSAT en schakel Testmodus uit. Bij de eerstvolgende ADI-synchronisatie worden je gebruikers automatisch ingericht.