このサービスは、単一の Active Directory ドメイン、単一の Active Directory フォレスト内の複数のドメイン、または複数の Active Directory フォレストにわたる複数のドメインを持つ Active Directory 環境と連携できます。

単一の Active Directory ドメイン環境

単一の Active Directory 環境では、単一の Active Directory ドメインからユーザーとグループを同期できます。

この環境で、VMware Identity Manager サービスにディレクトリを追加するときには、追加するディレクトリとして [LDAP/IWA 経由の Active Directory] を選択します。

詳細については、次を参照してください。

マルチ ドメイン、シングル フォレストの Active Directory 環境

マルチドメイン、シングル フォレストの Active Directory 環境では、シングル フォレスト内の複数の Active Directory ドメインからユーザーとグループを同期できます。

単一の Active Directory（統合 Windows 認証）のディレクトリ タイプとして、また、グローバル カタログ オプションで構成された [LDAP 経由の Active Directory] ディレクトリ タイプとして、この Active Directory 環境にサービスを構成できます。
  • 推奨されるオプションは、単一の Active Directory（統合 Windows 認証）のディレクトリ タイプです。

    この環境にディレクトリを追加する場合、[Active Directory（統合 Windows 認証）] オプションを選択します。ディレクトリ内のドメインと VMware Identity Manager Connector が参加しているドメインの間に、直接の（非推移的な）双方向の信頼が設定されていることを確認します。

    詳細については、次を参照してください。

  • 統合 Windows 認証がユーザーの Active Directory 環境で動作しない場合、LDAP 経由の Active Directory を作成して、グローバル カタログ オプションを選択します。

    グローバル カタログ オプションを選択するときには、次のようないくつかの制約があります。

    • グローバル カタログに複製される Active Directory のオブジェクト属性は、Active Directory スキーマで部分的な属性セット (PAS) として識別されます。これらの属性のみが、サービスによる属性マッピングで利用できます。必要な場合には、スキーマを編集して、グローバル カタログに保存されている属性を追加または削除します。
    • グローバル カタログには、ユニバーサル グループのグループ メンバーシップ（メンバー属性）のみが保存されます。ユニバーサル グループのみがサービスと同期されます。必要な場合、グループの範囲を、ローカル ドメインまたはグローバルからユニバーサルへと変更できます。
    • サービスでディレクトリを構成するときに定義したバインド DN アカウントには、Token-Groups-Global-And-Universal (TGGAU) 属性の読み取り権限が必要です。
    • Workspace ONE UEM が VMware Identity Manager と統合され、複数の Workspace ONE UEM 組織グループが設定されている場合は、[Active Directory グローバル カタログ] オプションは使用できません。

    Active Directory は、標準の LDAP クエリにポート 389 と 636 を使用します。グローバル カタログ クエリには、ポート 3268 および 3269 が使用されます。

    グローバル カタログ環境でディレクトリを追加するときには、構成時に次の項目を指定します。

    • [LDAP 経由の Active Directory] オプションを選択します。
    • [このディレクトリは DNS サービス ロケーションをサポートします] オプションのチェック ボックスを選択解除します。
    • [このディレクトリには、グローバル カタログがあります] オプションを選択します。このオプションを選択すると、サーバのポート番号が 3268 に自動的に変更されます。また、グローバル カタログ オプションを構成するときにベース DN は不要であるため、[ベース DN] テキスト ボックスは表示されません。
    • Active Directory サーバのホスト名を追加します。
    • Active Directory に SSL 経由でアクセスする必要がある場合、[このディレクトリには SSL を使用するすべての接続が必要です] オプションを選択して、表示されるテキスト ボックスに証明書をペーストします。このオプションを選択すると、サーバのポート番号が 3269 に自動的に変更されます。

信頼関係があるマルチフォレスト Active Directory 環境

信頼関係があるマルチフォレスト Active Directory 環境では、ドメイン間で双方向に信頼するフォレスト全体で複数の Active Directory ドメインのユーザーとグループを同期できます。この Active Directory 環境のサービスは、単一の Active Directory（統合 Windows 認証）ディレクトリ タイプとして構成できます。

この環境にディレクトリを追加する場合、[Active Directory（統合 Windows 認証）] オプションを選択します。ディレクトリ フォレスト内のドメインと VMware Identity Manager Connector が参加しているドメインの間に、直接の（非推移的な）双方向の信頼が設定されていることを確認します。

この環境にディレクトリを追加する場合、[Active Directory（統合 Windows 認証）] オプションを選択します。

詳細については、次を参照してください。

信頼関係がないマルチフォレスト Active Directory 環境

信頼関係がないマルチフォレスト Active Directory 環境では、ドメイン間に信頼関係がないフォレスト全体で複数の Active Directory ドメインのユーザーとグループを同期できます。この環境では、各フォレストに対して 1 つのディレクトリを作成し、VMware Identity Manager サービス内で複数のディレクトリを作成します。

サービスで作成するディレクトリのタイプは、フォレストによって変わります。複数のドメインがあるフォレストの場合、[Active Directory（統合 Windows 認証）] オプションを選択します。単一ドメインのフォレストでは、[LDAP 経由の Active Directory] オプションを選択します。

詳細については、次を参照してください。