В консоли Workspace ONE Access создайте каталог, введите сведения, необходимые для подключения к Active Directory, а затем выберите пользователей и группы, которые необходимо синхронизировать с каталогом Workspace ONE Access. Для подключения Active Directory можно использовать Active Directory с протоколом LDAP или встроенной проверкой подлинности Windows в Active Directory. Подключение Active Directory с протоколом LDAP поддерживает функцию поиска места расположения службы DNS.
Необходимые условия
- Установите службу синхронизации каталогов, которая доступна в качестве компонента Workspace ONE Access Connector, начиная с версии 20.01.0.0. См. последнюю версию установки VMware Workspace ONE Access Connector для получения дополнительной информации.
Если необходимо использовать службу проверки подлинности пользователей для проверки подлинности пользователей каталога, установите также компонент «Служба проверки подлинности пользователей».
- Выберите обязательные атрибуты пользователя и при необходимости добавьте настраиваемые атрибуты на странице Workspace ONE Access. См. Управление атрибутами пользователей в Workspace ONE Access. Следует учитывать следующие факторы:
- Если атрибут пользователя является обязательным, его значение должно быть установлено для всех пользователей, которых требуется синхронизировать. Пользователи без значений для атрибута не будут синхронизированы.
- Атрибуты применяются для всех каталогов.
- После настройки одного или более каталогов в службе Workspace ONE Access атрибуты больше нельзя будет пометить как требуемые.
в консоли - Создайте список групп и пользователей, которые нужно синхронизировать из Active Directory. Имена групп сразу синхронизируются с каталогом. Участники группы не синхронизируются, пока группе не будут предоставлены права на использование ресурсов или пока добавлены в правило политики. Во время первоначальной настройки необходимо добавить пользователей, которым нужно пройти проверку подлинности перед настройкой права группы.
- Если создается каталог типа «Active Directory с протоколом LDAP» с использованием параметра «Глобальный каталог», необходимо убедиться, что в других каталогов арендатора Workspace ONE Access не синхронизируются пользователи из того же домена, что и каталог «Глобальный каталог». Конфликт может привести к ошибкам синхронизации.
- Для «Active Directory с протоколом LDAP» необходимо указать базовое различающееся имя, различающееся имя пользователя подключения и пароль.
Пользователь подключения должен иметь следующие разрешения в Active Directory для предоставления доступа к объектам пользователей и групп:
- Чтение
- Чтение всех свойств
- Разрешения на чтение
Примечание: Рекомендуется использовать учетную запись пользователя подключения с паролем без срока действия. - Для подключения к Active Directory через встроенную службу проверки подлинности Windows необходимо указать имя и пароль пользователя подключения, который имеет разрешение на создание запросов к пользователям и группам для требуемых доменов.
Пользователь подключения должен иметь следующие разрешения в Active Directory для предоставления доступа к объектам пользователей и групп:
- Чтение
- Чтение всех свойств
- Разрешения на чтение
Примечание: Рекомендуется использовать учетную запись пользователя подключения с паролем без срока действия. - Если для Active Directory требуется доступ по протоколу SSL/TLS, то необходимы сертификаты промежуточного (если используется) и корневого центров сертификации контроллеров доменов для всех соответствующих доменов Active Directory. Если контроллеры доменов имеют сертификаты от нескольких промежуточных и корневых центров сертификации, то необходимы все сертификаты промежуточных и корневых центров сертификации.
Примечание: В каталогах типа «Active Directory со встроенной проверкой подлинности Windows» для шифрования автоматически используется привязка SASL Kerberos. Сертификат не требуется.
- Если для встроенной проверки подлинности Windows в Active Directory настроена служба Active Directory с несколькими лесами, а локальная группа домена содержит участников из доменов в разных лесах, обязательно добавьте пользователя подключения в группу администраторов домена, в котором находится локальная группа домена. Если не сделать этого, эти участники не будут входить в локальную группу домена.
- Для Active Directory с использованием встроенной проверки подлинности Windows:
- для всех контроллеров домена, указанных в SRV-записях и скрытых RODC, поиск имени узла и IP-адреса с помощью nslookup должен работать.
- На всех контроллерах доменов должно быть доступно сетевое подключение.
- Если соединитель Workspace ONE Access запущен в режиме FIPS, применяются дополнительные требования и предварительные условия. См. раздел Workspace ONE Access Connector и режим FIPS для нужной версии соединителя.
Процедура
Результаты
Подключение к Active Directory установлено. При нажатии кнопки Сохранить и синхронизировать имена пользователей и групп синхронизируются из Active Directory в каталог Workspace ONE Access.
Дополнительные сведения о синхронизации групп см. в разделе «Управление пользователями и группами» в документе Администрирование VMware Workspace ONE Access.
Дальнейшие действия
- Если для параметра Проверка подлинности задать значение Настроить для этого каталога проверку подлинности с помощью пароля, то для каталога автоматически создается поставщик удостоверений с именем Поставщик удостоверений для directoryname и метод проверки подлинности «Пароль (облачная среда)». Их можно просмотреть на страницах и . Можно также создавать дополнительные методы проверки подлинности для каталога на страницах Методы проверки подлинности соединителя Connector и Методы проверки подлинности. Дополнительные сведения о создании методов проверки подлинности см. в разделе Управление методами проверки подлинности пользователей в Workspace ONE Access.
- Проверьте политику доступа по умолчанию на странице .
- Просмотрите параметры мер безопасности по умолчанию и при необходимости внесите требуемые изменения. Дополнительные сведения см. в разделе Настройка мер безопасности при синхронизации каталогов в Workspace ONE Access.