Nachdem Sie ein Verzeichnis erstellt haben, können Sie die für die Synchronisierung ausgewählten Benutzer und Gruppen auf der Registerkarte „Benutzer und Gruppen“ auf der Seite „Synchronisierungseinstellungen“ des Verzeichnisses anzeigen und ändern.

Beachten Sie beim Hinzufügen von Gruppen Folgendes.

  • Es wird empfohlen, anfänglich eine kleine Anzahl von Gruppen hinzuzufügen und zu synchronisieren. Nach der anfänglichen Einrichtung können Sie weitere Gruppen hinzufügen.
  • Wenn hier Gruppen hinzugefügt und synchronisiert werden, werden Gruppennamen mit dem Verzeichnis synchronisiert. Benutzer, die Mitglieder der Gruppe sind, werden erst mit dem Verzeichnis synchronisiert, wenn die Gruppe zur Nutzung einer Anwendung berechtigt ist wenn oder der Gruppenname zu einer Regel der Zugriffsrichtlinie hinzugefügt wurde.
    Hinweis: Sie können diese Einschränkung außer Kraft setzen, indem Sie die Option Gruppenmitglieder beim Hinzufügen der Gruppe mit dem Verzeichnis synchronisieren auf der Seite Identitäts- und Zugriffsmanagement > Einrichten > Einstellungen aktivieren.
  • Wenn Sie eine Gruppe synchronisieren, werden alle Benutzer, für die „Domänenbenutzer“ nicht die primäre Gruppe in Active Directory darstellt, nicht synchronisiert.

Beachten Sie beim Hinzufügen von Benutzern Folgendes:

  • Da Mitglieder in Gruppen nicht mit dem Verzeichnis synchronisiert werden, bis die Gruppe zu Anwendungen berechtigt ist oder zu einer Regel der Zugriffsrichtlinie hinzugefügt wird, fügen Sie alle Benutzer hinzu, die sich authentifizieren müssen, bevor Gruppenberechtigungen konfiguriert werden.
  • Der Bind-Benutzer, den Sie im Abschnitt „Bind-Details“ angegeben haben, wird standardmäßig nicht mit dem Workspace ONE Access-Dienst synchronisiert. Wenn Sie den Bind-Benutzer synchronisieren möchten, geben Sie den Bind-Benutzer-DN auf der Registerkarte „Benutzer“ ein. Nachdem das Verzeichnis synchronisiert wurde, legen Sie bei Bedarf die Rolle für den Bind-Benutzer fest.

Prozedur

  1. Navigieren Sie zur Seite Identitäts- und Zugriffsmanagement > Verwalten > Verzeichnisse.
  2. Klicken Sie auf das Verzeichnis, das Sie aktualisieren möchten.
  3. Klicken Sie auf Synchronisierungseinstellungen und wählen Sie dann die Registerkarte Gruppen aus.
    Die Seite zeigt den zuvor hinzugefügten Gruppen-DNs und die Anzahl der Gruppen in jedem Gruppen-DN an, die für die Synchronisierung ausgewählt wurden.
  4. Klicken Sie auf Auswählen, um die Liste der Gruppen unter einem Gruppen-DN anzuzeigen, und aktivieren bzw. deaktivieren Sie Gruppen nach Bedarf.
  5. Um weitere Gruppen-DNs hinzuzufügen, gehen Sie wie folgt vor.
    1. Klicken Sie in der Zeile Gruppen-DNs angeben auf + und geben Sie den Gruppen-DN an. Beispielsweise: CN=Benutzer,DC=Beispiel,DC=com
      Tipp: Die Eingabe eines High-Level-DN, wie z. B. der Basis-DN, unter dem gesucht werden soll, wird nicht empfohlen, da die Suche sehr lange dauern wird. Geben Sie einen spezifischeren DN für die Suche ein.
      Wichtig: Geben Sie Gruppen-DNs an, die sich unter dem Basis-DN befinden, den Sie in das Textfeld Basis-DN auf der Seite „Verzeichnis hinzufügen“ eingegeben haben. Wenn sich ein Benutzer-DN außerhalb des Basis-DN befindet, werden die Benutzer von dem DN zwar synchronisiert, können sich aber nicht anmelden.
    2. Wenn Sie alle Gruppen unter dem Gruppen-DN auswählen möchten, klicken Sie auf Alle auswählen.
      Wenn Gruppen in Active Directory nach dem Erstellen des Verzeichnisses zum Gruppen-DN hinzugefügt oder gelöscht werden, werden die Änderungen in nachfolgenden Synchronisierungen wiedergegeben.
    3. Wenn Sie bestimmte Gruppen unter dem Gruppen-DN auswählen möchten, anstatt sie alle auszuwählen, klicken Sie auf Auswählen, treffen Sie Ihre Auswahl und klicken Sie auf Speichern.
      Wenn Sie auf Auswählen klicken, werden alle im DN gefundenen Gruppen aufgelistet. Sie können die Ergebnisse einschränken oder nach bestimmten Gruppen suchen, indem Sie einen Suchbegriff in das Suchfeld eingeben.
    4. Aktivieren oder deaktivieren Sie nach Bedarf die Option Geschachtelte Gruppenmitglieder synchronisieren.
      Die Option Mitglieder verschachtelter Gruppen synchronisieren ist standardmäßig aktiviert. Wenn diese Option aktiviert ist, werden alle Benutzer synchronisiert, die direkt zu der von Ihnen ausgewählten Gruppe gehören, sowie alle Benutzer, die zu darin vorhandenen geschachtelten Gruppen gehören, wenn die Gruppe dazu berechtigt ist. Beachten Sie, dass die geschachtelten Gruppen selbst nicht synchronisiert werden. Es werden nur die Benutzer synchronisiert, die zu den geschachtelten Gruppen gehören. Im Verzeichnis Workspace ONE Access werden diese Benutzer als Mitglieder der übergeordneten Gruppe angezeigt, die Sie für die Synchronisierung ausgewählt haben.

      Wenn die Option Geschachtelte Gruppenmitglieder synchronisieren deaktiviert ist und Sie eine Gruppe für die Synchronisierung festlegen, werden alle Benutzer, die direkt zu dieser Gruppe gehören, synchronisiert. Benutzer, die zu geschachtelten Gruppen gehören, werden in diesem Fall nicht synchronisiert. Das Deaktivieren dieser Option ist bei großen Active Directory-Konfigurationen sinnvoll, wenn die Durchsicht eines Gruppenstrukturbaums ressourcen- und zeitintensiv ist. Wenn Sie diese Option deaktivieren, müssen Sie sicherstellen, dass alle diejenigen Gruppen ausgewählt sind, deren Benutzer Sie synchronisieren möchten.

  6. Klicken Sie auf Speichern.
  7. Klicken Sie auf die Registerkarte Benutzer und wählen Sie die Benutzer aus, die synchronisiert werden sollen.
    1. Klicken Sie in der Zeile Benutzer-DNs angeben auf + und geben Sie die Benutzer-DNs ein. Beispiel:

      CN=username,CN=Users,OU=myUnit,DC=example,DC=com

      Sie können auch LDAP-Suchfilter mit den Benutzer-DNs angeben, um Ihre Suche einzugrenzen. Filter, die mit Benutzer-DNs verwendet werden, sind Einschlussfilter und können Ihnen helfen, eine effektivere Suche durchzuführen.

      Um einen Filter anzugeben, hängen Sie ein Semikolon an den Benutzer-DN an, den Sie filtern möchten, und geben Sie dann den Filter ein. Verwenden Sie die standardmäßige LDAP-Suchfiltersyntax. Beispiel:

      CN=Users,DC=sales,DC=example,DC=com;(&(objectClass=User)(objectCategory=Person)(memberOf=CN=Domain Users,CN=Users,DC=sales,DC=example,DC=com)(UserAccountControl=512))

      Um zu überprüfen, ob der Benutzer-DN gültig ist, und um die Anzahl der Benutzer zu sehen, die synchronisiert werden, klicken Sie auf die Schaltfläche Test für diese Zeile.

      Wichtig: Geben Sie Benutzer-DNs an, die sich unter dem Basis-DN befinden, den Sie in das Textfeld Basis-DN auf der Seite „Verzeichnis hinzufügen“ eingegeben haben. Wenn sich ein Benutzer-DN außerhalb des Basis-DN befindet, werden die Benutzer von dem DN zwar synchronisiert, können sich aber nicht anmelden.
    2. (Optional) Zum Ausschluss von Benutzern erstellen Sie Filter, um Benutzer basierend auf dem ausgewählten Attribut auszuschließen. Sie können mehrere Ausschlussfilter erstellen.
      Wählen Sie das Benutzerattribut für den Filter und den Abfragefilter, um den von Ihnen definierten Wert anzuwenden.
      Option Beschreibung
      Enthält Schließt alle Benutzer aus, die mit dem eingestellten Attribut und Wert übereinstimmen. Beispielsweise schließt Name enthält Jane Benutzer mit dem Namen „Jane“ aus.
      Enthält nicht Schließt alle Benutzer aus mit Ausnahme derjenigen, die mit dem eingestellten Attribut und Wert übereinstimmen. Beispielsweise schließt Telefonnummer enthält keine 800 nur Benutzer ein, deren Telefonnummer „800“ enthält.
      Beginnt mit Schließen Sie alle Benutzer aus, bei denen der Attributwert mit den angegebenen Zeichen beginnt. Beispielsweise schließt Mitarbeiter-ID beginnt mit ACME0 alle Benutzer mit einer Mitarbeiter-ID aus, deren ID-Nummer am Anfang „ACME0“ enthält.
      Endet mit Schließen Sie alle Benutzer aus, bei denen der Attributwert mit den angegebenen Zeichen endet. Beispielsweise schließt Mail endet mit example1.com alle Benutzer aus, deren E-Mail-Adresse auf "example1.com" endet.
    Beim Wert die Groß- und Kleinschreibung beachten. Verwenden Sie nicht die folgenden Symbole in der Wertzeichenfolge.
    • Sternchen *
    • Zirkumflex^
    • Klammern ( )
    • Fragezeichen ?
    • Ausrufezeichen !
    • Dollarzeichen $