您可以将企业 LDAP 目录与 Workspace ONE Access 相集成,以便将用户和组从 LDAP 目录同步到 Workspace ONE Access 服务。
要集成 LDAP 目录,您需要创建对应的 Workspace ONE Access 目录,并将 LDAP 目录中的用户和组同步到 Workspace ONE Access 目录。您可以设置定期同步计划以进行后续更新。
您也可以选择要为用户同步的 LDAP 属性,然后将这些属性映射到 Workspace ONE Access 属性。
您的 LDAP 目录配置可以基于默认架构,也可以基于自定义架构。它还可以具有自定义属性。为了让 Workspace ONE Access 能够查询您的 LDAP 目录,从而获取用户或组对象,您需要提供适用于 LDAP 目录的 LDAP 搜索筛选器和属性名称。
具体来说,您需要提供以下信息。
- 用于获取组、用户和绑定用户的 LDAP 搜索筛选器
- 用于组成员资格、外部 ID 和标识名的 LDAP 属性名称或等效属性
LDAP 目录集成功能具有一些限制。请参阅 LDAP 目录集成的限制。
前提条件
- 安装目录同步服务,从版本 20.01.0.0 开始,该服务将作为 Workspace ONE Access Connector 的组件提供。请参阅最新版本的《安装 VMware Workspace ONE Access Connector》以了解相关信息。
如果要使用用户身份验证服务对目录的用户进行身份验证,则还需安装用户身份验证服务组件。
- 查看Workspace ONE Access 属性映射到 LDAP 目录属性。系统将为目录中的用户同步这些属性。
注: 更改用户属性时,请考虑此操作对 Workspace ONE Access 服务中的其他目录的影响。如果您计划同时添加 Active Directory 和 LDAP 目录,请确保不要将任何属性标记为“必需”,但 Username 除外。“用户属性”页面中的设置适用于服务中的所有目录。如果某个属性是必需的,则不会将没有该属性的用户同步到 Workspace ONE Access 服务。
页面中的用户属性,并根据需要添加其他要同步的属性。在创建目录时,您会将
- 绑定 DN 用户帐户。建议使用具有不过期密码的绑定 DN 用户帐户。
- 在您的 LDAP 目录中,用户和组的 UUID 必须为纯文本格式。
- 在您的 LDAP 目录中,所有用户和组都必须存在 domain 属性。
在创建 Workspace ONE Access 目录时,您会将此属性映射到 Workspace ONE Access domain 属性。
- 用户名不得包含空格。如果用户名包含空格,虽然可以同步用户,但用户无法获得授权。
- 如果使用证书身份验证,则用户必须具有 userPrincipalName 和电子邮件地址属性值。
过程
结果
此时会建立与 LDAP 目录的连接。如果单击保存并同步,则会将用户和组名称从 LDAP 目录同步到 Workspace ONE Access 目录。
有关如何同步组的详细信息,请参阅《VMware Workspace ONE Access 管理》中的“管理用户和组”。
下一步做什么
- 如果将身份验证选项设置为为此目录设置密码身份验证,则会自动为目录创建名为 directoryname 的 IDP 的身份提供程序以及密码(云部署)身份验证方法。您可以在 和 页面上查看这些内容。您也可以从连接器身份验证方法和身份验证方法页面中为目录创建更多身份验证方法。有关创建身份验证方法的信息,请参阅在 Workspace ONE Access 中管理用户身份验证方法。
- 在 页面上查看默认访问策略。
- 查看默认同步安全措施设置,并根据需要进行更改。有关信息,请参阅在 Workspace ONE Access 中设置目录同步安全措施。