В этой статье мы объясним и покажем, как настроить ваш аккаунт Cato для работы с Active Directory (интеграция LDAP). Эта функция позволит вам извлекать пользователей и автоматически добавлять их в Приложение Управления Cato (CMA). Она НЕ аутентифицируется на сервере AD.
Атрибут sAMAccountName используется для имени группы пользователей в приложении управления Cato.
Синхронизация имеет две основные опции:
1. Синхронизация с локальным сервером AD
2. Синхронизация с внешним сервером AD
Понимание настроек синхронизации пользователя
Изменения пользователей LDAP на контроллере домена могут вызывать множество изменений пользователей в приложении управления Cato. Чтобы снизить риск ошибок, можно ограничить количество изменений, сделанных в каждой синхронизации, следующими способами:
Предотвратить удаление или отключение пользователей: Вы можете ограничить количество пользователей, которые удаляются или отключаются.
Предотвратить обновление членства в группах: Если синхронизация LDAP изменяет членство пользователей в группе для 1500 и более пользователей, локальный Active Directory Microsoft может удалить пользователей из группы. Чтобы предотвратить это, вы можете настроить максимальное количество пользователей, которые могут изменить членство в группе пользователей за одну синхронизацию. Для получения дополнительной информации см. Устранение ошибок служб каталогов и осведомленности пользователя
Обновить электронные письма пользователей: Вы можете ограничить количество адресов электронной почты пользователей, которые обновляются.
Если лимит превышен, то следующая синхронизация LDAP завершится сбоем, и создастся событие с подтипом Службы каталогов.
Заметка:
A single group containing more than 10,000 members cannot be synced.
Синхронизация локального сервера AD
Если синхронизация LDAP не работает должным образом, см. Устранение неисправностей синхронизации и предоставления LDAP.
Как синхронизировать локальный сервер AD (сервер за площадкой Cato):
Добавьте сервер AD на страницу Статические резервации хостов для сайта.
Из меню навигации выберите Network > Sites, и выберите сайт.
В меню навигации выберите Настройки Сайта > Хосты.
Нажмите Новый и введите настройки для сервера AD.
Нажмите Применить, а затем Сохранить.
Добавьте новый домен в LDAP сервисы для аккаунта.
Из меню навигации нажмите Доступ > Службы каталогов и выберите вкладку или раздел LDAP.
Нажмите Новый и настройте параметры для домена AD.
Имя входа DN и Базовый DN - Уникальная строка для AD (аутентификация для извлеченных пользователей)
Пароль - Пароль для доступа к DN Active Directory
Шифрование - Выберите Использовать SSL для обеспечения безопасности соединения, поддерживается не всеми серверами
Настройки синхронизации пользователей SDP - Выберите ограничения для добавления в синхронизацию LDAP
Нажмите Save.
Добавьте сервер AD (из шага 1) как контроллер домена (DC) к домену.
В разделе навигации по панели нажмите Контроллеры домена.
В верхнем раскрывающемся меню выберите Хост, а в следующем раскрывающемся меню выберите хост из шага 1.
Нажмите Save.
Выберите группы AD для синхронизации с вашим аккаунтом Cato.
Заметка:
Если группы не выбраны, все группы AD импортируются для осведомленности пользователя.
Вложенные группы синхронизируются, если вы выберете родительскую группу
Параметр User Principal Name (UPN) в AD должен быть настроен, чтобы пользователя можно было определить с помощью Осведомленность Пользователя
В разделе навигации панели нажмите Группы пользователей.
Выберите Группы AD, которые синхронизируются.
Заметка:
Важен регистр при импорте организационных единиц из Active Directory. ExampleGroup будет рассматриваться иначе, чем EXAMPLEGROUP.
Если вы изменили название OU в Active Directory, убедитесь, что также изменили выбранные OU в рамках CMA.
Выберите Ежедневная синхронизация групп пользователей SDP, чтобы включить автоматическую синхронизацию групп и пользователей каждый день.
Нажмите Сохранить и закрыть.
На экране Службы каталогов нажмите Синхронизировать сейчас.
После синхронизации пользователей, им можно назначить лицензию SDP.
Для Осведомленности Пользователя пользователи могут быть определены с помощью запроса AD или агента идентификации.
Синхронизация внешнего сервера AD
Если вам нужно синхронизировать внешний AD сервер, вы можете выполнить ту же процедуру, что и выше.
Когда UPN и/или адрес электронной почты LDAP пользователя изменяются в AD, статус затронутого LDAP пользователя остается неизменным в CMA.
При синхронизации Azure AD синхронизированы оба типа пользователей: Получатель и Гость.
Убедитесь, что для пользователей AD настроены Имя и Фамилия. В противном случае, пользователи, у которых отсутствует Имя или Фамилия, НЕ синхронизируются с вашей учетной записью Cato.
Синхронизация локального сервера AD
Если ваш Контроллер домена находится за IPsec соединением или если вы маршрутизируете только некоторые подсети к Сокету, убедитесь, что IP-адрес CMA включен в конфигурацию маршрутизации вашего VPN-туннеля. Трафик от и до этого IP-адреса должен маршрутизироваться через туннель Cato.
Для получения дополнительной информации об IP-адресе для CMA см. Решение проблем с LDAP-синхронизацией (для просмотра этой статьи вы должны войти в свою учетную запись База Знаний Cato).