Maak een directory in de Workspace ONE Access-console, geef informatie op die nodig is om verbinding te maken met uw Active Directory en selecteer de gebruikers en groepen om te synchroniseren met de Workspace ONE Access-directory. De verbindingsopties van de Active Directory zijn Active Directory via LDAP of Active Directory via geïntegreerde Windows-verificatie. Een verbinding met Active Directory via LDAP ondersteunt de opzoekfunctie DNS Service Location.
Voorwaarden
- Installeer de directorysynchronisatieservice, die vanaf versie 20.01.0.0 beschikbaar is als onderdeel van de Workspace ONE Access Connector. Zie de nieuwste versie van VMware Workspace ONE Access Connector installeren voor meer informatie.
Als u de gebruikersverificatieservice wilt gebruiken om gebruikers van de directory te verifiëren, installeert u ook het onderdeel gebruikersverificatieservice.
- Selecteer de gebruikerskenmerken die zijn vereist en voeg indien nodig aangepaste kenmerken toe op de pagina Workspace ONE Access-console. Zie Gebruikerskenmerken beheren in Workspace ONE Access. Houd rekening met de volgende overwegingen:
- Als een gebruikerskenmerk is vereist, moet de waarde worden ingesteld voor alle gebruikers die u wilt synchroniseren. Gebruikers die geen waarde voor het kenmerk hebben, worden niet gesynchroniseerd.
- Kenmerken zijn van toepassing op alle directory's.
- Nadat een of meer directory's zijn geconfigureerd in de Workspace ONE Access-service, kunnen kenmerken niet meer als vereist worden gemarkeerd.
in de - Maak een lijst met de gebruikers en groepen die u vanuit Active Directory wilt synchroniseren. Groepsnamen worden onmiddellijk gesynchroniseerd naar de directory. Leden van een groep worden niet gesynchroniseerd tot de groep rechten heeft voor bronnen of is toegevoegd aan een beleidsregel. Gebruikers die zich moeten verifiëren voordat groepsrechten worden geconfigureerd, moet worden toegevoegd tijdens de oorspronkelijke configuratie.
- Als u een directory van het type Active Directory via LDAP maakt met behulp van de optie Global Catalog, moet u ervoor zorgen dat geen andere directory's in de Workspace ONE Access-tenant gebruikers van dezelfde domeinen synchroniseren als de Global Catalog-directory. Het conflict kan synchronisatiefouten veroorzaken.
- Voor Active Directory via LDAP is onder andere de Base DN vereist en de Bind-gebruiker DN en het wachtwoord.
De Bind-gebruiker moet de volgende machtigingen in Active Directory hebben om toegang te verlenen aan gebruikers en groepsobjecten:
- Lezen
- Alle eigenschappen lezen
- Leesmachtigingen
Opmerking: U wordt aanbevolen een Bind-gebruikersaccount te gebruiken met een wachtwoord dat niet verloopt. - Voor Active Directory via geïntegreerde Windows-verificatie heeft u de gebruikersnaam en het wachtwoord nodig van de Bind-gebruiker die is gemachtigd om gebruikers en groepen voor de vereiste domeinen op te vragen.
De Bind-gebruiker moet de volgende machtigingen in Active Directory hebben om toegang te verlenen aan gebruikers en groepsobjecten:
- Lezen
- Alle eigenschappen lezen
- Leesmachtigingen
Opmerking: U wordt aanbevolen een Bind-gebruikersaccount te gebruiken met een wachtwoord dat niet verloopt. - Als uw Active Directory toegang via SSL/TLS vereist, zijn de tussenliggende en root-CA-certificaten van de domeincontrollers voor alle relevante Active Directory-domeinen vereist. Als de domeincontrollers certificaten hebben van meerdere tussenliggende en rootcertificeringsinstanties, zijn alle tussenliggende en root-CA-certificaten vereist.
Opmerking: Voor directory's van het type Active Directory via geïntegreerde Windows-verificatie wordt automatisch SASL Kerberos-binding gebruikt voor versleuteling. Een certificaat is niet vereist.
- Voor Active Directory via geïntegreerde Windows-verificatie met een configuratie van meerdere forests voor Active Directory en een lokale domeingroep met meerdere leden van domeinen in verschillende forests, moet u ervoor zorgen dat de Bind-gebruiker wordt toegevoegd aan de groep Administrators van het domein waarin zich de lokale domeingroep bevindt. Als u dit niet doet, ontbreken deze leden in de lokale domeingroep.
- Voor Active Directory via geïntegreerde Windows-verificatie:
- Voor alle domeincontrollers in SRV-records en verborgen RODC's moeten nslookup van hostnaam en IP-adres werken.
- Alle domeincontrollers moeten via het netwerk bereikbaar zijn.
- Als Workspace ONE Access Connector wordt uitgevoerd in de FIPS-modus, gelden extra vereisten. Zie Workspace ONE Access Connector en FIPS-modus voor uw versie van de connector.
Procedure
resultaten
De verbinding met Active Directory is tot stand gebracht. Als u op Opslaan en synchroniseren heeft geklikt, worden gebruikers en groepsnamen gesynchroniseerd van Active Directory naar de Workspace ONE Access-directory.
Zie 'Gebruikers en groepen beheren' in VMware Workspace ONE Access beheren voor meer informatie over hoe groepen worden gesynchroniseerd.
Volgende stappen
- Als u de optie Verificatie op Wachtwoordverificatie voor deze directory instellen instelt, worden voor de directory automatisch een identiteitsprovider met de naam IDP voor directorynaam en een verificatiemethode Wachtwoord (cloudimplementatie) gemaakt. U kunt deze bekijken op de pagina's en . U kunt ook meer verificatiemethoden voor de directory maken vanaf de pagina's Verificatiemethoden voor connector en Verificatiemethoden. Zie Verificatiemethoden voor gebruikers beheren in Workspace ONE Access voor informatie over het maken van verificatiemethoden.
- Controleer het standaardtoegangsbeleid op de pagina .
- Controleer de standaardinstellingen voor synchronisatiebeveiligingen en wijzig die indien nodig. Raadpleeg Beveiligingsmaatregelen voor directorysynchronisatie in Workspace ONE Access instellen voor meer informatie.