Konfigurieren von VMware Identity Manager-Einstellungen

Nach der Bereitstellung der VMware Identity Manager-Instanz legen Sie mit dem Setup-Assistenten die Kennwörter fest und wählen eine Datenbank aus. Dann richten Sie die Verbindung zu Ihrem Active Directory oder LDAP-Verzeichnis ein.

Stellen Sie sicher, dass sie den Setup-Assistenten mit dem vollqualifizierten Hostnamen ausführen. Geben Sie die IP-Adresse nicht als Name ein.

Voraussetzungen

Die VMware Identity Manager-Maschine ist eingeschaltet.
Die externe Datenbank ist konfiguriert und die Informationen zur externen Datenbankverbindung sind verfügbar. Bevor Sie den Setup-Assistenten ausführen, stellen Sie sicher, dass die Konfiguration der Datenbank korrekt ist. Weitere Informationen finden Sie unter Erstellen der VMware Identity Manager-Dienstdatenbank.
Bevor Sie das Verzeichnis einrichten, überprüfen Sie die Verzeichnisintegration mit VMware Identity Manager auf Anforderungen und Einschränkungen.
Sie haben Ihre Active Directory- oder LDAP-Verzeichnisinformationen.
Wenn eine Active Directory-Umgebung in mehreren Strukturen konfiguriert wurde und die lokale Domänengruppe Mitglieder aus Domänen in verschiedenen Strukturen enthält, muss der auf der VMware Identity Manager-Verzeichnisseite verwendete Bind-DN-Benutzer zur Administratorgruppe der Domäne hinzugefügt werden, in der sich die lokale Domänengruppe befindet. Wird dies versäumt, fehlen diese Benutzer in der lokalen Domänengruppe.
Sie verfügen über eine Liste der Benutzerattribute, die Sie als Filter verwenden möchten, und eine Liste der Gruppen und Benutzer, die Sie VMware Identity Manager hinzufügen möchten.
Gruppennamen werden sofort mit dem Verzeichnis synchronisiert. Mitglieder einer Gruppe werden erst synchronisiert, wenn die Gruppe Berechtigungen für Ressourcen hat oder einer Richtlinienregel hinzugefügt wurde. Benutzer, die sich authentifizieren müssen, bevor Gruppenberechtigungen konfiguriert werden, sollten direkt während der Erstkonfiguration hinzugefügt werden.

Prozedur

Rufen Sie die VMware Identity Manager-URL auf, die angezeigt wurde, als Sie die Installation abgeschlossen haben. Geben Sie den voll qualifizierten Domänennamen (FQDN) ein. Beispiel: https://hostname.example.com.
Nehmen Sie das Zertifikat an, wenn Sie dazu aufgefordert werden.
Sie können das Zertifikat nach der Ersteinrichtung aktualisieren.
Auf der Seite „Erste Schritte“ klicken Sie auf Fortfahren.

Auf der Seite „Kennwörter festlegen“ geben Sie die Kennwörter für die nachfolgend aufgeführten Administratorkonten ein, die zur Verwaltung der Appliance verwendet werden, und klicken Sie dann auf Fortfahren.


Konto
Appliance-Administrator	Legen Sie das Kennwort für den Benutzer admin fest. Dieser Benutzername kann nicht geändert werden. Mit dem Konto des Benutzers admin werden die Appliance-Einstellungen verwaltet. Wichtig: Das Kennwort des Benutzers admin muss aus mindestens sechs Zeichen bestehen.
Appliance-Root	Legen Sie das Kennwort für den Benutzer `root` fest. Der root-Benutzer verfügt über die kompletten Rechte für die Appliance.
Remote-Benutzer	Legen Sie das Kennwort für sshuser fest, das für eine Remoteanmeldung bei der Appliance mit einer SSH-Verbindung verwendet wird.

Auf der Seite „Datenbank auswählen“ wählen Sie die gewünschte Datenbank aus.
Weitere Informationen hierzu finden Sie unter Konfigurieren von VMware Identity Manager für die Verwendung einer externen Datenbank
- Wenn Sie eine externe Datenbank verwenden, wählen Sie Externe Datenbank aus und geben Sie die Verbindungsinformationen, den Benutzernamen und das Kennwort der externen Datenbank ein. Um zu überprüfen, ob VMware Identity Manager eine Verbindung mit der Datenbank herstellen kann, klicken Sie auf Verbindung testen.
  Nach der Überprüfung der Verbindung klicken Sie auf Fortfahren.
- Wenn Sie die interne Datenbank verwenden, klicken Sie auf Fortfahren.
  Hinweis: Die interne Datenbank wird nicht zur Verwendung bei Produktionsbereitstellungen empfohlen.
Die Verbindung mit der Datenbank ist konfiguriert und die Datenbank ist initialisiert. Wenn der Vorgang abgeschlossen ist, wird die Seite Setup ist abgeschlossen angezeigt.
Klicken Sie auf den Link Melden Sie sich bei der Verwaltungskonsole an auf der Seite Setup ist abgeschlossen, um sich bei der VMware Identity Manager-Konsole zur Einrichtung der Verbindung zu Active Directory oder zum LDAP-Verzeichnis anzumelden.
Melden Sie sich bei der VMware Identity Manager-Konsole als Admin-Benutzer mit dem festgelegten Kennwort an.
Sie sind als lokaler Administrator angemeldet und die Seite „Verzeichnisse“ erscheint. Bevor Sie ein Verzeichnis hinzufügen, stellen Sie sicher, dass Sie Verzeichnisintegration mit VMware Identity Manager auf Anforderungen und Einschränkungen überprüfen.
Klicken Sie auf die Registerkarte Identitäts- und Zugriffsmanagement.
Klicken Sie auf Einrichten > Benutzerattribute, um die Benutzerattribute zur Synchronisierung mit dem Verzeichnis auszuwählen.
Es werden die Standardattribute aufgeführt und Sie können die erforderlichen Attribute auswählen. Wenn ein Attribut als erforderlich markiert ist, werden nur Benutzer mit diesem Attribut mit dem Dienst synchronisiert. Sie haben auch die Möglichkeit, andere Attribute hinzuzufügen.
Wichtig: Nach der Erstellung eines Verzeichnisses können Sie ein vorhandenes Attribut allerdings nicht als erforderliches Attribut definieren. Sie müssen die Auswahl jetzt durchführen.
Beachten Sie auch, dass die Einstellungen auf der Seite „Benutzerattribute“ für alle Verzeichnisse im Dienst gelten. Wenn Sie ein Attribut als erforderlich markieren, sollten Sie die Auswirkung auf andere Verzeichnisse bedenken. Wenn ein Attribut als erforderlich markiert ist, werden Benutzer ohne dieses Attribut nicht mit dem Dienst synchronisiert.
Klicken Sie auf Speichern.
Klicken Sie auf die Registerkarte Identitäts- und Zugriffsmanagement.
Klicken Sie auf der Seite „Verzeichnisse“ auf Verzeichnis hinzufügen, und wählen Sie je nach dem zu integrierenden Verzeichnistyp die Option Active Directory über LDAP/IWA hinzufügen oder LDAP-Verzeichnis hinzufügen.
Sie können auch ein lokales Verzeichnis im Dienst erstellen. Weitere Informationen zur Verwendung von lokalen Verzeichnissen finden Sie unter #GUID-FF1F0D8B-F68E-41CE-B2F7-733F32B82665.

Führen Sie diese Schritte für Active Directory aus.

Geben Sie einen Namen für das Verzeichnis ein, das Sie in VMware Identity Manager erstellen, und wählen Sie den Verzeichnistyp aus, entweder Active Directory über LDAP oder Active Directory (integrierte Windows-Authentifizierung).

Geben Sie die Verbindungsinformationen an.

Option	Beschreibung
Active Directory über LDAP	Im Feld Synchronisierungs-Konnektor wählen Sie den Connector für die Synchronisierung von Benutzern und Gruppen aus Active Directory mit dem VMware Identity Manager-Verzeichnis aus. Standardmäßig ist immer eine Konnektorkomponente mit dem VMware Identity Manager-Dienst verfügbar. Dieser Konnektor wird in der Dropdown-Liste angezeigt. Wenn Sie mehrere VMware Identity Manager-Appliances für eine Hochverfügbarkeit installieren, erscheint die Konnektorkomponente von jeder Appliance in der Liste. Klicken Sie im Feld Authentifizierung auf Ja, wenn Sie dieses Active Directory für die Authentifizierung von Benutzern verwenden möchten. Wenn Sie die Authentifizierung der Benutzer mit einem externen Identitätsanbieter durchführen möchten, klicken Sie auf Nein. Nachdem Sie die Active Directory-Verbindung zur Synchronisierung von Benutzern und Gruppen konfiguriert haben, öffnen Sie die Seite Identitäts- und Zugriffsmanagement > Einrichten > Identitätsanbieter, um den externen Identitätsanbieter zur Authentifizierung hinzuzufügen. Wählen Sie im Feld Verzeichnissuchattribut das Kontoattribut aus, das den Benutzernamen enthält. Wenn das Active Directory die DNS-Dienstspeicherort-Suche verwendet, treffen Sie die nachfolgend aufgeführte Auswahl. Aktivieren Sie im Abschnitt Serverstandort das Kontrollkästchen Dieses Verzeichnis unterstützt den DNS-Dienstspeicherort. Wenn das Active Directory eine STARTTLS-Verschlüsselung erfordert, aktivieren Sie das Kontrollkästchen Dieses Verzeichnis erfordert für alle Verbindungen die Verwendung von SSL im Abschnitt Zertifikate, kopieren Sie das Active Directory-Stammzertifizierungsstellen-Zertifikat und fügen Sie es in das Feld SSL-Zertifikat ein. Stellen Sie sicher, dass das Zertifikat im PEM-Format vorliegt, und fügen Sie die Zeilen „BEGIN CERTIFICATE“ und „END CERTIFICATE“ ein. Hinweis: Wenn für das Active Directory STARTTLS erforderlich ist, können Sie das Verzeichnis nicht erstellen, wenn Sie das Zertifikat nicht bereitstellen. Wenn das Active Directory nicht die DNS-Dienstspeicherort-Suche verwendet, treffen Sie die folgende Auswahl. Stellen Sie sicher, dass im Abschnitt Serverstandort das Kontrollkästchen Dieses Verzeichnis unterstützt den DNS-Dienstspeicherort deaktiviert ist, und geben Sie den Active Directory-Serverhostnamen und die Portnummer ein. Informationen zum Konfigurieren des Verzeichnisses als globalen Katalog finden Sie im Abschnitt „Mehrere Domänen in einer einzelnen Active Directory-Struktur“ unter „Active Directory-Umgebungen“ in Verzeichnisintegration mit VMware Identity Manager. Wenn für das Active Directory ein Zugriff über eine SSL-Verschlüsselung erforderlich ist, aktivieren Sie das Kontrollkästchen Dieses Verzeichnis erfordert für alle Verbindungen die Verwendung von SSL im Abschnitt Zertifikate, kopieren Sie das Active Directory-Stammzertifizierungsstellen-Zertifikat und fügen Sie es in das Feld SSL-Zertifikat ein. Stellen Sie sicher, dass das Zertifikat im PEM-Format vorliegt, und fügen Sie die Zeilen „BEGIN CERTIFICATE“ und „END CERTIFICATE“ ein. Hinweis: Wenn für das Active Directory SSL erforderlich ist, können Sie das Verzeichnis nicht erstellen, wenn Sie das Zertifikat nicht bereitstellen. Aktivieren Sie im Abschnitt Kennwortänderung zulassen die Option Kennwortänderung aktivieren, wenn Benutzer ihr Kennwort auf der VMware Identity Manager-Anmeldeseite zurücksetzen dürfen, wenn das Kennwort abläuft oder wenn der Active Directory-Administrator das Kennwort des Benutzers zurücksetzt. Geben Sie im Feld Basis-DN den Namen der Domäne an, in der die Kontosuche beginnen soll. Beispiel: OU=MeineEinheit,DC=MeineFirma,DC=com. Geben Sie im Feld Bind-DN das Konto an, das nach Benutzern suchen kann. Beispiel: CN=MeineEinheit,DC=MeineFirma,DC=com. Hinweis: Es empfiehlt sich, ein Bind-DN-Benutzerkonto zu verwenden, bei dem das Kennwort nicht abläuft. Nach Eingabe des Bind-Kennworts klicken Sie auf Verbindung testen, um zu überprüfen, ob das Verzeichnis eine Verbindung mit Active Directory herstellen kann.
Active Directory (integrierte Windows-Authentifizierung)	Im Feld Synchronisierungs-Konnektor wählen Sie den Connector für die Synchronisierung von Benutzern und Gruppen aus Active Directory mit dem VMware Identity Manager-Verzeichnis aus. Standardmäßig ist immer eine Konnektorkomponente mit dem VMware Identity Manager-Dienst verfügbar. Dieser Konnektor wird in der Dropdown-Liste angezeigt. Wenn Sie mehrere VMware Identity Manager-Appliances für eine Hochverfügbarkeit installieren, erscheint die Konnektorkomponente von jeder Appliance in der Liste. Im Feld Authentifizierung klicken Sie auf Ja, wenn Sie dieses Active Directory für die Authentifizierung von Benutzern verwenden möchten. Wenn Sie die Authentifizierung der Benutzer mit einem externen Identitätsanbieter durchführen möchten, klicken Sie auf Nein. Nachdem Sie die Active Directory-Verbindung zur Synchronisierung von Benutzern und Gruppen konfiguriert haben, öffnen Sie die Seite Identitäts- und Zugriffsmanagement > Einrichten > Identitätsanbieter, um den externen Identitätsanbieter zur Authentifizierung hinzuzufügen. Wählen Sie im Feld Verzeichnissuchattribut das Kontoattribut aus, das den Benutzernamen enthält. Wenn für das Active Directory eine STARTTLS-Verschlüsselung erforderlich ist, aktivieren Sie das Kontrollkästchen Dieses Verzeichnis erfordert für alle Verbindungen die Verwendung von STARTTLS im Abschnitt Zertifikate, kopieren Sie das Active Directory-Stammzertifizierungsstellen-Zertifikat und fügen Sie es in das Feld SSL-Zertifikat ein. Stellen Sie sicher, dass das Zertifikat im PEM-Format vorliegt, und fügen Sie die Zeilen „BEGIN CERTIFICATE“ und „END CERTIFICATE“ ein. Wenn das Verzeichnis über mehrere Domänen verfügt, fügen Sie die Stammzertifizierungsstellen-Zertifikate für alle Domänen gleichzeitig hinzu. Hinweis: Wenn für das Active Directory STARTTLS erforderlich ist, können Sie das Verzeichnis nicht erstellen, wenn Sie das Zertifikat nicht bereitstellen. Geben Sie den Namen der Active Directory-Domäne ein, der beigetreten werden soll. Geben Sie eine Kombination von Benutzername und ein Kennwort ein, die eine Berechtigung zum Beitreten der Domäne besitzt. Weitere Informationen finden Sie unter „Erforderliche Berechtigungen für den Beitritt zu einer Domäne“ in Verzeichnisintegration mit VMware Identity Manager. Aktivieren Sie im Abschnitt Kennwortänderung zulassen die Option Kennwortänderung aktivieren, wenn Benutzer ihr Kennwort auf der VMware Identity Manager-Anmeldeseite zurücksetzen dürfen, wenn das Kennwort abläuft oder wenn der Active Directory-Administrator das Kennwort des Benutzers zurücksetzt. Geben Sie im Abschnitt Bind-Benutzerdetails den Benutzernamen und das Kennwort des Bind-Benutzers ein, der über die Berechtigung zur Abfrage von Benutzern und Gruppen für die erforderlichen Domänen verfügt. Geben Sie für den Benutzernamen den sAMAccountName ein, z. B. jdoe. Wenn die Domäne des Bind-Benutzers von der Beitrittsdomäne, die oben eingegeben wurde, abweicht, geben Sie den Benutzernamen als sAMAccountName@domain ein, wobei Domäne der vollqualifizierte Domänenname ist. Beispielsweise [email protected]. Hinweis: Es empfiehlt sich, ein Bind-Benutzerkonto zu verwenden, bei dem das Kennwort nicht abläuft.

Option

Beschreibung

Active Directory über LDAP

Im Feld Synchronisierungs-Konnektor wählen Sie den Connector für die Synchronisierung von Benutzern und Gruppen aus Active Directory mit dem VMware Identity Manager-Verzeichnis aus.
Standardmäßig ist immer eine Konnektorkomponente mit dem VMware Identity Manager-Dienst verfügbar. Dieser Konnektor wird in der Dropdown-Liste angezeigt. Wenn Sie mehrere VMware Identity Manager-Appliances für eine Hochverfügbarkeit installieren, erscheint die Konnektorkomponente von jeder Appliance in der Liste.
Klicken Sie im Feld Authentifizierung auf Ja, wenn Sie dieses Active Directory für die Authentifizierung von Benutzern verwenden möchten.
Wenn Sie die Authentifizierung der Benutzer mit einem externen Identitätsanbieter durchführen möchten, klicken Sie auf Nein. Nachdem Sie die Active Directory-Verbindung zur Synchronisierung von Benutzern und Gruppen konfiguriert haben, öffnen Sie die Seite Identitäts- und Zugriffsmanagement > Einrichten > Identitätsanbieter, um den externen Identitätsanbieter zur Authentifizierung hinzuzufügen.
Wählen Sie im Feld Verzeichnissuchattribut das Kontoattribut aus, das den Benutzernamen enthält.
Wenn das Active Directory die DNS-Dienstspeicherort-Suche verwendet, treffen Sie die nachfolgend aufgeführte Auswahl.
- Aktivieren Sie im Abschnitt Serverstandort das Kontrollkästchen Dieses Verzeichnis unterstützt den DNS-Dienstspeicherort.
- Wenn das Active Directory eine STARTTLS-Verschlüsselung erfordert, aktivieren Sie das Kontrollkästchen Dieses Verzeichnis erfordert für alle Verbindungen die Verwendung von SSL im Abschnitt Zertifikate, kopieren Sie das Active Directory-Stammzertifizierungsstellen-Zertifikat und fügen Sie es in das Feld SSL-Zertifikat ein.
  Stellen Sie sicher, dass das Zertifikat im PEM-Format vorliegt, und fügen Sie die Zeilen „BEGIN CERTIFICATE“ und „END CERTIFICATE“ ein.
  
  Hinweis: Wenn für das Active Directory STARTTLS erforderlich ist, können Sie das Verzeichnis nicht erstellen, wenn Sie das Zertifikat nicht bereitstellen.
Wenn das Active Directory nicht die DNS-Dienstspeicherort-Suche verwendet, treffen Sie die folgende Auswahl.
- Stellen Sie sicher, dass im Abschnitt Serverstandort das Kontrollkästchen Dieses Verzeichnis unterstützt den DNS-Dienstspeicherort deaktiviert ist, und geben Sie den Active Directory-Serverhostnamen und die Portnummer ein.
  Informationen zum Konfigurieren des Verzeichnisses als globalen Katalog finden Sie im Abschnitt „Mehrere Domänen in einer einzelnen Active Directory-Struktur“ unter „Active Directory-Umgebungen“ in Verzeichnisintegration mit VMware Identity Manager.
- Wenn für das Active Directory ein Zugriff über eine SSL-Verschlüsselung erforderlich ist, aktivieren Sie das Kontrollkästchen Dieses Verzeichnis erfordert für alle Verbindungen die Verwendung von SSL im Abschnitt Zertifikate, kopieren Sie das Active Directory-Stammzertifizierungsstellen-Zertifikat und fügen Sie es in das Feld SSL-Zertifikat ein.
  Stellen Sie sicher, dass das Zertifikat im PEM-Format vorliegt, und fügen Sie die Zeilen „BEGIN CERTIFICATE“ und „END CERTIFICATE“ ein.
  
  Hinweis: Wenn für das Active Directory SSL erforderlich ist, können Sie das Verzeichnis nicht erstellen, wenn Sie das Zertifikat nicht bereitstellen.
Aktivieren Sie im Abschnitt Kennwortänderung zulassen die Option Kennwortänderung aktivieren, wenn Benutzer ihr Kennwort auf der VMware Identity Manager-Anmeldeseite zurücksetzen dürfen, wenn das Kennwort abläuft oder wenn der Active Directory-Administrator das Kennwort des Benutzers zurücksetzt.
Geben Sie im Feld Basis-DN den Namen der Domäne an, in der die Kontosuche beginnen soll. Beispiel: OU=MeineEinheit,DC=MeineFirma,DC=com.
Geben Sie im Feld Bind-DN das Konto an, das nach Benutzern suchen kann. Beispiel: CN=MeineEinheit,DC=MeineFirma,DC=com.
Hinweis: Es empfiehlt sich, ein Bind-DN-Benutzerkonto zu verwenden, bei dem das Kennwort nicht abläuft.
Nach Eingabe des Bind-Kennworts klicken Sie auf Verbindung testen, um zu überprüfen, ob das Verzeichnis eine Verbindung mit Active Directory herstellen kann.

Active Directory (integrierte Windows-Authentifizierung)

Im Feld Synchronisierungs-Konnektor wählen Sie den Connector für die Synchronisierung von Benutzern und Gruppen aus Active Directory mit dem VMware Identity Manager-Verzeichnis aus.
Standardmäßig ist immer eine Konnektorkomponente mit dem VMware Identity Manager-Dienst verfügbar. Dieser Konnektor wird in der Dropdown-Liste angezeigt. Wenn Sie mehrere VMware Identity Manager-Appliances für eine Hochverfügbarkeit installieren, erscheint die Konnektorkomponente von jeder Appliance in der Liste.
Im Feld Authentifizierung klicken Sie auf Ja, wenn Sie dieses Active Directory für die Authentifizierung von Benutzern verwenden möchten.
Wenn Sie die Authentifizierung der Benutzer mit einem externen Identitätsanbieter durchführen möchten, klicken Sie auf Nein. Nachdem Sie die Active Directory-Verbindung zur Synchronisierung von Benutzern und Gruppen konfiguriert haben, öffnen Sie die Seite Identitäts- und Zugriffsmanagement > Einrichten > Identitätsanbieter, um den externen Identitätsanbieter zur Authentifizierung hinzuzufügen.
Wählen Sie im Feld Verzeichnissuchattribut das Kontoattribut aus, das den Benutzernamen enthält.
Wenn für das Active Directory eine STARTTLS-Verschlüsselung erforderlich ist, aktivieren Sie das Kontrollkästchen Dieses Verzeichnis erfordert für alle Verbindungen die Verwendung von STARTTLS im Abschnitt Zertifikate, kopieren Sie das Active Directory-Stammzertifizierungsstellen-Zertifikat und fügen Sie es in das Feld SSL-Zertifikat ein.
Stellen Sie sicher, dass das Zertifikat im PEM-Format vorliegt, und fügen Sie die Zeilen „BEGIN CERTIFICATE“ und „END CERTIFICATE“ ein.
Wenn das Verzeichnis über mehrere Domänen verfügt, fügen Sie die Stammzertifizierungsstellen-Zertifikate für alle Domänen gleichzeitig hinzu.

Hinweis: Wenn für das Active Directory STARTTLS erforderlich ist, können Sie das Verzeichnis nicht erstellen, wenn Sie das Zertifikat nicht bereitstellen.
Geben Sie den Namen der Active Directory-Domäne ein, der beigetreten werden soll. Geben Sie eine Kombination von Benutzername und ein Kennwort ein, die eine Berechtigung zum Beitreten der Domäne besitzt. Weitere Informationen finden Sie unter „Erforderliche Berechtigungen für den Beitritt zu einer Domäne“ in Verzeichnisintegration mit VMware Identity Manager.
Aktivieren Sie im Abschnitt Kennwortänderung zulassen die Option Kennwortänderung aktivieren, wenn Benutzer ihr Kennwort auf der VMware Identity Manager-Anmeldeseite zurücksetzen dürfen, wenn das Kennwort abläuft oder wenn der Active Directory-Administrator das Kennwort des Benutzers zurücksetzt.
Geben Sie im Abschnitt Bind-Benutzerdetails den Benutzernamen und das Kennwort des Bind-Benutzers ein, der über die Berechtigung zur Abfrage von Benutzern und Gruppen für die erforderlichen Domänen verfügt. Geben Sie für den Benutzernamen den sAMAccountName ein, z. B. jdoe. Wenn die Domäne des Bind-Benutzers von der Beitrittsdomäne, die oben eingegeben wurde, abweicht, geben Sie den Benutzernamen als sAMAccountName@domain ein, wobei Domäne der vollqualifizierte Domänenname ist. Beispielsweise [email protected].
Hinweis: Es empfiehlt sich, ein Bind-Benutzerkonto zu verwenden, bei dem das Kennwort nicht abläuft.

Klicken Sie auf Speichern und weiter.
Daraufhin wird die Seite mit der Liste der Domänen angezeigt.

Führen Sie diese Schritte für LDAP-Verzeichnisse aus.

Geben Sie die Verbindungsinformationen an.

Option	Beschreibung
Verzeichnisname	Ein Name für das Verzeichnis, das Sie in VMware Identity Manager erstellen.
Verzeichnissynchronisierung und Authentifizierung	Wählen Sie im Feld Synchronisierungs-Konnektor den Konnektor aus, der für die Synchronisierung von Benutzern und Gruppen aus Ihrem LDAP-Verzeichnis mit dem VMware Identity Manager-Verzeichnis verwendet werden soll. Standardmäßig ist immer eine Konnektorkomponente mit dem VMware Identity Manager-Dienst verfügbar. Dieser Konnektor wird in der Dropdown-Liste angezeigt. Wenn Sie mehrere VMware Identity Manager-Appliances für eine Hochverfügbarkeit installieren, erscheint die Konnektorkomponente von jeder Appliance in der Liste. Sie benötigen keinen separaten Konnektor für ein LDAP-Verzeichnis. Ein Connector kann mehrere Verzeichnisse unterstützen – unabhängig davon, ob es sich dabei um Active Directory oder LDAP-Verzeichnisse handelt. Klicken Sie im Feld Authentifizierung auf Ja, wenn Sie dieses LDAP-Verzeichnis für die Authentifizierung von Benutzern verwenden möchten. Wenn die Authentifizierung der Benutzer durch einen externen Identitätsanbieter erfolgen soll, wählen Sie Nein. Nach dem Hinzufügen der Verzeichnis-Verbindung zur Synchronisierung von Benutzern und Gruppen öffnen Sie die Seite Identitäts- und Zugriffsmanagement > Verwalten > Identitätsanbieter, um den externen Identitätsanbieter zur Authentifizierung hinzuzufügen. Geben Sie im Feld Verzeichnissuchattribut das für den Benutzernamen zu verwendende LDAP-Verzeichnisattribut an. Wenn das Attribut nicht aufgeführt ist, wählen Sie Benutzerdefiniert, und geben Sie den Attributnamen ein, z. B.`cn`.
Server-Speicherort	Geben Sie den Host und die Portnummer des LDAP-Verzeichnisservers ein. Für den Server-Host können Sie entweder den vollqualifizierten Domänennamen (FQDN) oder die IP-Adresse angeben. Z. B. `meinLDAPserver.beispiel.com` oder `100.00.00.0`. Wenn sich hinter einem Lastausgleichsdienst ein Server-Cluster befindet, geben Sie stattdessen die Informationen zum Lastausgleichsdienst ein.
LDAP-Konfiguration	Geben Sie die LDAP-Suchfilter und -Attribute an, die VMware Identity Manager zur Abfrage Ihres LDAP-Verzeichnisses verwenden kann. Standardwerte werden auf Basis des LDAP-Grundschemas bereitgestellt. LDAP-Abfragen Gruppen abrufen: Der Suchfilter zum Abrufen von Gruppenobjekten. Z. B.: `(Objektklasse=Gruppe)` Verbindungsbenutzer abrufen: Der Suchfilter zum Abrufen des Objekts Verbindungsbenutzer, d. h. des Benutzers, der eine Verbindung zum Verzeichnis herstellen kann. Z. B.: `(Objektklasse=Person)` Benutzer abrufen: Der Suchfilter zum Abrufen der zu synchronisierenden Benutzer. Z. B.:`(&(Objektklasse=Benutzer)(Objektkategorie=Person))` Attribute Mitgliedschaft: Das Attribut, das in Ihrem LDAP-Verzeichnis zum Definieren der Mitglieder einer Gruppe verwendet wird. Z. B.: `Mitglied` Objekt-UUID: Das Attribut, das in Ihrem LDAP-Verzeichnis zum Definieren der UUID eines Benutzers oder einer Gruppe verwendet wird. Z. B.: `EingabeUUID` Eindeutiger Name: Das Attribut, das in Ihrem LDAP-Verzeichnis zum Definieren des eindeutigen Namens eines Benutzers oder einer Gruppe verwendet wird. Z. B.: `EingabeDN`
Zertifikate	Wenn Ihr LDAP-Verzeichnis den Zugriff über SSL erfordert, aktivieren Sie die Option Dieses Verzeichnis erfordert für alle Verbindungen die Verwendung von SSL, und geben Sie das Stammzertifizierungsstellen-SSL-Zertifikat des LDAP-Verzeichnisservers mittels Kopieren und Einfügen ein. Stellen Sie sicher, dass das Zertifikat im PEM-Format vorliegt, und fügen Sie die Zeilen „ZERTIFIKATANFANG“ und „ZERTIFIKATENDE“ ein.
Details des Bind-Benutzers	Basis-DN: Geben Sie die DN ein, ab der die Suche starten soll. Beispiel: cn=users,dc=example,dc=com. Bind-DN: Geben Sie den für die Verbindung zum LDAP-Verzeichnis zu verwendenden Benutzernamen ein. Hinweis: Es empfiehlt sich, ein Bind-DN-Benutzerkonto zu verwenden, bei dem das Kennwort nicht abläuft. Bind-DN-Kennwort: Geben Sie das Kennwort für den Bind-DN-Benutzer ein.

Zum Testen der Verbindung zum LDAP-Verzeichnisserver klicken Sie auf Verbindung testen.
Wenn keine Verbindung hergestellt werden kann, prüfen Sie die von Ihnen eingegebenen Informationen, und nehmen Sie entsprechende Änderungen vor.
Klicken Sie auf Speichern und weiter.
Dann wird die Seite mit der Domäne angezeigt.

Für ein LDAP-Verzeichnis kann die aufgeführte Domäne nicht geändert werden.
Für Active Directory über LDAP sind die Domänen aufgeführt und können nicht geändert werden.
Bei Verwendung von „Active Directory (integrierte Windows-Authentifizierung)“ wählen Sie die Domänen aus, die dieser Active Directory-Verbindung zugeordnet werden sollen.

Hinweis: Wenn Sie nach der Verzeichniserstellung eine Domäne mit Vertrauensbeziehung hinzufügen, erkennt der Dienst nicht automatisch die neue Domäne mit Vertrauensbeziehung. Damit der Dienst die Domäne erkennen kann, muss der Connector die Domäne verlassen und ihr dann erneut beitreten. Wenn der Connector erneut der Domäne beitritt, wird die Domäne mit Vertrauensbeziehung in der Liste angezeigt.

Klicken Sie auf Weiter.
Überprüfen Sie, ob die VMware Identity Manager-Attributnamen den richtigen Active Directory- oder LDAP-Attributen zugeordnet sind. Nehmen Sie ggf. Änderungen vor.

Wichtig: Wenn Sie ein LDAP-Verzeichnis integrieren, müssen Sie eine Zuordnung für das Attribut Domäne angeben.
Klicken Sie auf Weiter.

Wählen Sie die Gruppen aus, die aus Ihrem Active Directory- oder LDAP-Verzeichnis mit dem VMware Identity Manager-Verzeichnis synchronisiert werden sollen.

Option	Beschreibung
Gruppen-DNs angeben	Zum Auswählen von Gruppen geben Sie einen oder mehrere Gruppen-DNs an und wählen die Gruppen an, die sich darunter befinden. Klicken Sie auf + und geben Sie den Gruppen-DN an. Beispielsweise: CN=Benutzer,DC=Beispiel,DC=com Wichtig: Geben Sie Gruppen-DNs an, die sich unter dem von Ihnen eingegebenen Basis-DN befinden. Wenn sich ein Benutzer-DN außerhalb des Basis-DN befindet, werden die Benutzer von dem DN zwar synchronisiert, können sich aber nicht anmelden. Klicken Sie auf Gruppen suchen. In der Spalte Gruppen für die Synchronisation ist die Anzahl der Gruppen aufgeführt, die im DN gefunden wurden. Um alle Gruppen in dem DN auszuwählen, klicken Sie auf Alle auswählen, klicken Sie ansonsten auf Auswählen und wählen Sie die spezifischen Gruppen für die Synchronisierung aus. Hinweis: Wenn Ihr LDAP-Verzeichnis mehrere Gruppen mit dem gleichen Namen enthält, müssen Sie für sie eindeutige Namen in VMware Identity Manager angeben. Sie können den Namen ändern, während Sie die Gruppe auswählen. Hinweis: Wenn Sie eine Gruppe synchronisieren, werden alle Benutzer, für die „Domänenbenutzer“ nicht die primäre Gruppe im aktiven Verzeichnis darstellt, nicht synchronisiert.
Geschachtelte Gruppenmitglieder synchronisieren	Die Option Mitglieder verschachtelter Gruppen synchronisieren ist standardmäßig aktiviert. Wenn diese Option aktiviert ist, werden alle Benutzer synchronisiert, die direkt zu der von Ihnen ausgewählten Gruppe gehören, sowie alle Benutzer, die zu darin vorhandenen geschachtelten Gruppen gehören. Beachten Sie, dass die geschachtelten Gruppen selbst nicht synchronisiert werden. Es werden nur die Benutzer synchronisiert, die zu den geschachtelten Gruppen gehören. Im Verzeichnis VMware Identity Manager werden diese Benutzer als Mitglieder der übergeordneten Gruppe angezeigt, die Sie für die Synchronisierung ausgewählt haben. Wenn die Option Geschachtelte Gruppenmitglieder synchronisieren deaktiviert ist und Sie eine Gruppe für die Synchronisierung festlegen, werden alle Benutzer, die direkt zu dieser Gruppe gehören, synchronisiert. Benutzer, die zu geschachtelten Gruppen gehören, werden in diesem Fall nicht synchronisiert. Das Deaktivieren dieser Option ist bei großen Aktives-Verzeichnis-Konfigurationen sinnvoll, wenn die Durchsicht eines Gruppenstrukturbaums ressourcen- und zeitintensiv ist. Wenn Sie diese Option deaktivieren, müssen Sie sicherstellen, dass alle diejenigen Gruppen ausgewählt sind, deren Benutzer Sie synchronisieren möchten.

Option

Beschreibung

Gruppen-DNs angeben

Zum Auswählen von Gruppen geben Sie einen oder mehrere Gruppen-DNs an und wählen die Gruppen an, die sich darunter befinden.

Klicken Sie auf + und geben Sie den Gruppen-DN an. Beispielsweise: CN=Benutzer,DC=Beispiel,DC=com
Wichtig: Geben Sie Gruppen-DNs an, die sich unter dem von Ihnen eingegebenen Basis-DN befinden. Wenn sich ein Benutzer-DN außerhalb des Basis-DN befindet, werden die Benutzer von dem DN zwar synchronisiert, können sich aber nicht anmelden.
Klicken Sie auf Gruppen suchen.
In der Spalte Gruppen für die Synchronisation ist die Anzahl der Gruppen aufgeführt, die im DN gefunden wurden.
Um alle Gruppen in dem DN auszuwählen, klicken Sie auf Alle auswählen, klicken Sie ansonsten auf Auswählen und wählen Sie die spezifischen Gruppen für die Synchronisierung aus.
Hinweis: Wenn Ihr LDAP-Verzeichnis mehrere Gruppen mit dem gleichen Namen enthält, müssen Sie für sie eindeutige Namen in VMware Identity Manager angeben. Sie können den Namen ändern, während Sie die Gruppe auswählen.

Hinweis: Wenn Sie eine Gruppe synchronisieren, werden alle Benutzer, für die „Domänenbenutzer“ nicht die primäre Gruppe im aktiven Verzeichnis darstellt, nicht synchronisiert.

Geschachtelte Gruppenmitglieder synchronisieren

Die Option Mitglieder verschachtelter Gruppen synchronisieren ist standardmäßig aktiviert. Wenn diese Option aktiviert ist, werden alle Benutzer synchronisiert, die direkt zu der von Ihnen ausgewählten Gruppe gehören, sowie alle Benutzer, die zu darin vorhandenen geschachtelten Gruppen gehören. Beachten Sie, dass die geschachtelten Gruppen selbst nicht synchronisiert werden. Es werden nur die Benutzer synchronisiert, die zu den geschachtelten Gruppen gehören. Im Verzeichnis VMware Identity Manager werden diese Benutzer als Mitglieder der übergeordneten Gruppe angezeigt, die Sie für die Synchronisierung ausgewählt haben.

Wenn die Option Geschachtelte Gruppenmitglieder synchronisieren deaktiviert ist und Sie eine Gruppe für die Synchronisierung festlegen, werden alle Benutzer, die direkt zu dieser Gruppe gehören, synchronisiert. Benutzer, die zu geschachtelten Gruppen gehören, werden in diesem Fall nicht synchronisiert. Das Deaktivieren dieser Option ist bei großen Aktives-Verzeichnis-Konfigurationen sinnvoll, wenn die Durchsicht eines Gruppenstrukturbaums ressourcen- und zeitintensiv ist. Wenn Sie diese Option deaktivieren, müssen Sie sicherstellen, dass alle diejenigen Gruppen ausgewählt sind, deren Benutzer Sie synchronisieren möchten.

Klicken Sie auf Weiter.
Geben Sie ggf. zusätzliche zu synchronisierende Benutzer an.
Da Gruppenmitglieder nicht mit dem Verzeichnis synchronisiert werden, bis die Gruppe zu Anwendungen berechtigt ist oder zu einer Regel der Zugriffsrichtlinie hinzugefügt wird, fügen Sie alle Benutzer hinzu, die sich authentifizieren müssen, bevor Gruppenberechtigungen konfiguriert werden.
1. Klicken Sie auf + und geben Sie die Benutzer-DNs ein. Zum Beispiel: CN=Benutzername,CN=Benutzer,OU=MeineEinheit,DC=MeineFirma,DC=Com.
  
  Wichtig: Geben Sie Benutzer-DNs an, die sich unter dem von Ihnen eingegebenen Basis-DN befinden. Wenn sich ein Benutzer-DN außerhalb des Basis-DN befindet, werden die Benutzer von dem DN zwar synchronisiert, können sich aber nicht anmelden.
2. (Optional) Um Benutzer auszuschließen, erstellen Sie einen Filter für den Ausschluss bestimmter Benutzertypen.
  Dazu wählen Sie das Benutzerattribut für den Filter, die Abfrageregel und den Wert aus.
Klicken Sie auf Weiter.
Überprüfen Sie auf der Seite, wie viele Benutzer und Gruppen mit dem Verzeichnis synchronisiert werden und wie die Synchronisierung terminiert ist.

Um Änderungen für Benutzer und Gruppen oder für die Synchronisierungshäufigkeit durchzuführen, klicken Sie jeweils auf Bearbeiten.
Klicken Sie auf Verzeichnis synchronisieren, um die Verzeichnissynchronisierung zu starten.

Ergebnisse

Hinweis: Wenn ein Netzwerkfehler auftritt und der Hostname mithilfe von DNS-Reverse-Lookup nicht eindeutig aufgelöst werden kann, wird der Konfigurationsvorgang beendet. Sie müssen zuerst die Netzwerkprobleme beheben und dann die virtuelle Appliance neu starten. Anschließend können Sie mit der Bereitstellung fortfahren. Die neuen Netzwerkeinstellungen stehen erst nach einem Neustart der virtuellen Appliance zur Verfügung.

Nächste Maßnahme

Erläuterungen zum Einrichten eines Lastausgleichsdienstes oder einer Hochverfügbarkeit erhalten Sie unter Erweiterte Konfiguration für die VMware Identity Manager-Appliance.