Comarch ERP XT – konfiguracja Active Directory (AD logon) to temat, który wymaga uczciwego wyjaśnienia specyfiki systemu. Comarch ERP XT jest aplikacją chmurową (SaaS), logowanie do niej odbywa się wyłącznie przez konto Comarch ID – adres e-mail i hasło, opcjonalnie z weryfikacją dwuetapową. System nie posiada natywnej integracji z lokalną domeną Active Directory, jaką spotyka się w rozwiązaniach instalowanych on-premise w infrastrukturze firmowej.
W praktyce Active Directory może odgrywać rolę pomocniczą – zarządzać dostępem pracownika do komputera firmowego i przeglądarki, w której następnie loguje się on do Comarch ERP XT swoim kontem Comarch ID. W tym artykule wyjaśniamy, jak to rozróżnić i poprawnie skonfigurować stanowisko pracy.
Dlaczego Comarch ERP XT nie loguje się przez AD
Active Directory to usługa katalogowa firmy Microsoft, wykorzystywana do zarządzania kontami użytkowników, komputerami i uprawnieniami w sieci lokalnej lub firmowej domenie Windows. Systemy on-premise instalowane bezpośrednio w infrastrukturze klienta mogą korzystać z takiej integracji do jednokrotnego logowania (SSO) w obrębie sieci firmowej. Comarch ERP XT jako produkt chmurowy działa niezależnie od lokalnej infrastruktury domenowej – logowanie użytkownika odbywa się przez konto Comarch ID, zarządzane centralnie przez Comarch, a nie przez lokalny kontroler domeny.
Co w praktyce robi Active Directory na stanowisku pracy
- Zarządza logowaniem pracownika do komputera firmowego
- Kontroluje dostęp do zasobów sieciowych, drukarek i dysków sieciowych
- Może wymuszać polityki bezpieczeństwa (np. długość hasła, blokadę ekranu)
- Nie przekazuje jednak automatycznie tożsamości użytkownika do Comarch ERP XT
Jak w praktyce wygląda dostęp do systemu w firmie z AD
Pracownik loguje się do komputera firmowego swoim kontem domenowym zarządzanym przez administratora IT poprzez Active Directory. Następnie, otwierając przeglądarkę, loguje się osobno do Comarch ERP XT za pomocą swojego konta Comarch ID. Są to dwa niezależne procesy uwierzytelniania – jeden dotyczy dostępu do komputera i sieci firmowej, drugi dostępu do aplikacji chmurowej.
Zarządzanie wieloma użytkownikami w firmie
Jeśli w firmie z kilkoma pracownikami każdy z nich ma korzystać z Comarch ERP XT, każdemu należy założyć osobne konto Comarch ID z odpowiednim poziomem uprawnień w systemie. Nie jest to realizowane poprzez synchronizację z Active Directory, lecz poprzez panel zarządzania użytkownikami dostępny bezpośrednio w Comarch ERP XT lub w powiązanym portalu Comarch.
Co możemy skonfigurować w ramach usługi
Nasz serwis pomaga skonfigurować stanowiska pracy tak, aby logowanie domenowe do komputera (AD) i logowanie do Comarch ERP XT (Comarch ID) działały bezproblemowo obok siebie – w tym zapisywanie danych logowania w przeglądarce zgodnie z polityką bezpieczeństwa firmy, konfigurację przekierowań na stronę logowania oraz, jeśli to wymagane, włączenie weryfikacji dwuetapowej dla kont użytkowników korzystających z systemu.
Podsumowanie
Nie należy więc oczekiwać funkcji „AD logon” bezpośrednio do Comarch ERP XT – system ten nie oferuje takiej integracji, ponieważ działa jako niezależna usługa chmurowa z własnym mechanizmem tożsamości opartym na Comarch ID.
Typowe nieporozumienia dotyczące integracji z AD
W praktyce serwisowej zdarza się, że klienci migrujący z systemów on-premise oczekują, iż nowy pracownik dodany do domeny Active Directory automatycznie uzyska dostęp do Comarch ERP XT – tak jak działo się to w starszych, lokalnie instalowanych programach księgowych zintegrowanych z domeną firmową. Trzeba jasno wytłumaczyć, że są to dwa oddzielne systemy uwierzytelniania: dodanie użytkownika do domeny AD reguluje wyłącznie dostęp do zasobów sieci firmowej, a dostęp do Comarch ERP XT wymaga osobnego założenia konta Comarch ID i nadania mu uprawnień z poziomu panelu administracyjnego samego systemu.
Bezpieczne przechowywanie danych logowania w środowisku domenowym
W firmach korzystających z Active Directory dobrą praktyką jest ustalenie jasnej polityki dotyczącej zapisywania haseł do Comarch ID w przeglądarce na komputerach firmowych – szczególnie jeśli z jednego komputera korzysta więcej niż jedna osoba w ciągu dnia. Rekomendujemy wtedy korzystanie z osobnych profili przeglądarki dla każdego pracownika lub wylogowywanie się z konta Comarch ID po zakończeniu pracy, zamiast pozostawiania zapisanej sesji na wspólnym stanowisku.
Co robimy w ramach konfiguracji stanowiska
Nasz serwis pomaga ustawić profile użytkowników Windows powiązane z kontami domenowymi tak, aby każdy pracownik miał własny, odizolowany profil przeglądarki z zapisanymi własnymi danymi logowania do Comarch ID – co eliminuje ryzyko przypadkowego zalogowania się na cudze konto lub udostępnienia hasła innej osobie korzystającej z tego samego komputera.
