Каталог типа «Другой», в котором хранятся пользователи и группы, синхронизированные из Workspace ONE UEM, можно преобразовать в каталог типа Active Directory с протоколом LDAP или Active Directory со встроенной проверкой подлинности Windows, связанный с соединителем VMware Identity Manager. После преобразования каталога VMware Identity Manager Connector будет использоваться вместо ACC для синхронизации пользователей и групп из корпоративного каталога в службу VMware Identity Manager.
Необходимые условия
- Установите и активируйте VMware Identity Manager Connector.
Чтобы использовать некоторые функции, сервер Windows должен быть присоединен к домену, установка соединителя VMware Identity Manager должна быть выполнена от имени пользователя домена, который входит в группу администраторов сервера Windows, а служба IDM Connector должна быть запущена от имени пользователя домена Windows.
Данное требование применимо для следующих случаев.
- Если планируется преобразование каталога типа «Другой» в Active Directory со встроенной проверкой подлинности Windows
- Если вы планируете использовать проверку подлинности Kerberos
- Вам понадобится следующая информация по Active Directory:
- Если выполняется преобразование в «Active Directory с протоколом LDAP», требуется указать базовое различающееся имя, различающееся имя пользователя подключения и пароль.
Пользователь подключения должен иметь следующие разрешения в Active Directory для предоставления доступа к объектам пользователей и групп:
- Чтение
- Чтение всех свойств
- Разрешения на чтение
Рекомендуется использовать учетную запись пользователя подключения с паролем без срока действия.
- При преобразовании в «Active Directory со встроенной проверкой подлинности Windows» необходимо указать имя и пароль пользователя подключения, который имеет разрешение на создание запросов к пользователям и группам для требуемых доменов.
Пользователь подключения должен иметь следующие разрешения в Active Directory для предоставления доступа к объектам пользователей и групп:
- Чтение
- Чтение всех свойств
- Разрешения на чтение
Рекомендуется использовать учетную запись пользователя подключения с паролем без срока действия.
- Если для Active Directory требуется доступ по протоколу SSL/TLS, то необходимы сертификаты промежуточного (если используется) и корневого центров сертификации контроллеров доменов для всех соответствующих доменов Active Directory. Если контроллеры доменов имеют сертификаты от нескольких промежуточных и корневых центров сертификации, то необходимы все сертификаты промежуточных и корневых центров сертификации.
- Если для встроенной проверки подлинности Windows в Active Directory настроена служба Active Directory с несколькими лесами, а локальная группа домена содержит участников из доменов в разных лесах, обязательно добавьте пользователя подключения в группу администраторов домена, в котором находится локальная группа домена. Если не сделать этого, эти участники не будут входить в локальную группу домена.
- Для Active Directory с использованием встроенной проверки подлинности Windows:
- для всех контроллеров домена, указанных в SRV-записях и скрытых RODC, поиск имени узла и IP-адреса с помощью nslookup должен работать.
- На всех контроллерах доменов должно быть доступно сетевое подключение.
- Если выполняется преобразование в «Active Directory с протоколом LDAP», требуется указать базовое различающееся имя, различающееся имя пользователя подключения и пароль.
Процедура
Дальнейшие действия
Остановите синхронизацию каталога из Workspace ONE UEM в преобразованный каталог.