المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

دمج AD مع CUAC واستيراد المستخدمين من AD

وظائف LDAP بين CUAC و AD

ملخص عملية LDAP

تفاصيل عملية LDAP

المقدمة

يصف هذا المستند الطريقة التي يعمل بها بروتوكول الوصول إلى الدليل خفيف الوزن (LDAP) بين وحدة تحكم الطلب التلقائي الموحدة (CUAC) من Cisco و Microsoft Active Directory (AD) والإجراءات التي يتم إستخدامها لدمج النظامين.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- CUCM

- كواك

- LDAP

- إعلان

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى الإصدار 10.x من CUAC.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

في إصدارات CUAC السابقة، يحصل الخادم على المستخدمين مباشرة من مدير الاتصالات الموحدة (CUCM) من Cisco من خلال الاستعلامات وعوامل التصفية المحددة مسبقا. مع إصدار CUAC Premium (CUACPE)، يسمح للمسؤولين بدمج واستيراد المستخدمين مباشرة من AD. ويمنح هذا الأمر المسؤولين مرونة لتنفيذ السمات والمرشحات التي يختارونها هم ومتطلباتهم الخاصة.

ملاحظة: تم الآن إستبدال CUACPE بالإصدار المتقدم من CUAC للإصدارات 10 والإصدارات اللاحقة.

دمج AD مع CUAC واستيراد المستخدمين من AD

أكمل الخطوات التالية من أجل دمج CUAC مع الإعلان واستيراد مستخدمين من الإعلان:

1. تمكين مزامنة الدليل ل AD على CUAC.

2. حدد Microsoft Active Directory وحدد خانة الاختيار تمكين المزامنة:

3. إدخال تفاصيل التكوين لخادم Active Directory:

على سبيل المثال، يتم إستخدام administrator@aloksin.lab للمصادقة:

4. في قسم إعدادات الخاصية، أدخل تفاصيل التكوين للخاصية الفريدة، والتي تظهر بمجرد إدخال التفاصيل الأخرى وانقر فوق حفظ.

ملاحظة: هذه قيمة فريدة لكل مدخل في الإعلان. إذا كان هناك قيم مضاعفة، يسحب CUAC إدخالا واحدا فقط.

5. في قسم الحاوية، أدخل تفاصيل التكوين ل DN الأساسي، وهو نطاق بحث المستخدم في AD.

يتم إستخدام حقل فئة الكائن بواسطة AD لتحديد نطاق البحث المطلوب. بشكل افتراضي، يتم تعيينها إلى جهة اتصال، مما يعني أن AD يبحث عن جهات اتصال (ليس مستخدمين) في قاعدة البحث المطلوبة. لاستيراد مستخدمين في CUAC، قم بتغيير إعداد فئة الكائن إلى المستخدم:

6. احفظ الإعدادات، وانقر فوق تعيينات حقل الدليل، وقم بتكوين كافة السمات التي تريد إستيرادها لأي مستخدم. هنا التكوين الذي يتم إستخدامه في هذا المثال:

7. انتقل إلى صفحة مصدر الدليل وانقر فوق قواعد الدليل:

8. انقر فوق إضافة جديد وإنشاء قاعدة. عند إضافة قاعدة دليل، يظهر عامل تصفية القاعدة بشكل افتراضي.

ملاحظة: لا حاجة لتغيير عامل تصفية القاعدة. فهو يستورد جميع المستخدمين الذين لديهم رقم هاتف مكون.

9. لتكوين المزامنة التلقائية مع AD، انقر فوق علامة التبويب مزامنة الدليل.

10. اكتمل التكوين الآن. انتقل إلى الهندسة > إدارة الخدمة وأعد تشغيل الوظيفة الإضافية LDAP لبدء المزامنة يدويا.

وظائف LDAP بين CUAC و AD

ملخص عملية LDAP

فيما يلي ملخص لعملية LDAP بين CUAC و AD:

1. تم إنشاء جلسة TCP بين الخادمين (CUAC و AD).

2. يرسل CUAC طلب BIND إلى AD ويصادق عن طريق المستخدم الذي تم تكوينه في إعدادات المصادقة.

3. وبمجرد مصادقة AD للمستخدم بنجاح، يرسل إعلام نجاح BIND إلى CUACPE.

4. يرسل CUAC طلب بحث إلى AD، الذي يحتوي على معلومات نطاق البحث، مرشحات للبحث، وسمات لأي مستخدم تمت تصفيته.

5. يتم مسح AD للكائن المطلوب (المكون في إعدادات فئة الكائن) في قاعدة البحث. يقوم بتصفية الكائنات التي تطابق المعايير (عامل التصفية) المفصلة في رسالة طلب البحث.

6. يستجيب الإعلان إلى CUAC مع نتائج البحث.

هنا sniffer التقاط أن يوضح هذا steps:

تفاصيل عملية LDAP

بمجرد اكتمال التكوين على CUAC وإعادة تشغيل مكون LDAP الإضافي، يقوم خادم CUAC بإعداد جلسة TCP باستخدام AD.

يرسل CUAC بعد ذلك طلب BIND للمصادقة مع خادم AD. إذا كانت المصادقة ناجحة، يرسل AD إستجابة نجاح الربط إلى CUAC. وبهذا، يحاول كلا الخادمين إعداد جلسة عمل على المنفذ 389 لمزامنة المستخدمين ومعلوماتهم.

فيما يلي التكوين على الخادم الذي يحدد الاسم المميز، والذي يتم إستخدامه للمصادقة في معاملة BIND:

تظهر هذه الرسائل في الربط يلتقط:

- فيما يلي مصافحة TCP، يتبعها طلب BIND:

- فيما يلي توسيع طلب BIND:

- فيما يلي توسيع إستجابة BIND، الذي يشير إلى المصادقة الناجحة للمستخدم (المسؤول في هذا المثال):

عند نجاح الربط، يرسل الخادم طلب بحث إلى AD لاستيراد المستخدمين. يحتوي طلب البحث هذا على المرشح والسمات المستخدمة من قبل AD. ثم يبحث AD عن المستخدمين ضمن قاعدة البحث المحددة (كما هو مفصل في رسالة طلب البحث)، والتي تستوفي المعايير الموجودة في المرشح والتحقق من الخصائص.

هنا مثال على طلب البحث الذي تم إرساله بواسطة CUCM:

Lightweight Directory Access Protocol

LDAPMessage searchRequest(2) "dc=aloksin,dc=lab" wholeSubtree

messageID: 2

protocolOp: searchRequest (3)

searchRequest

baseObject: dc=aloksin,dc=lab

scope: wholeSubtree (2)

derefAliases: derefAlways (3)

sizeLimit: 0

timeLimit: 0

typesOnly: False

Filter: (&(&(objectclass=user)(!(objectclass=Computer)))

(!(UserAccountControl:1.2.840.113556.1.4.803:=2)))

filter: and (0)

and: (&(&(objectclass=user)(!(objectclass=Computer)))

(!(UserAccountControl:1.2.840.113556.1.4.803:=2)))

and: 3 items

Filter: (objectclass=user)

and item: equalityMatch (3)

equalityMatch

attributeDesc: objectclass

assertionValue: user

Filter: (!(objectclass=Computer))

and item: not (2)

Filter: (objectclass=Computer)

not: equalityMatch (3)

equalityMatch

attributeDesc: objectclass

assertionValue: Computer

Filter: (!(UserAccountControl:1.2.840.113556.1.4.

803:=2))

and item: not (2)

Filter: (UserAccountControl:1.2.840.113556

.1.4.803:=2)

not: extensibleMatch (9)

extensibleMatch UserAccountControl

matchingRule: 1.2.840.113556.

1.4.803

type: UserAccountControl

matchValue: 2

dnAttributes: False

attributes: 15 items

AttributeDescription: objectguid

AttributeDescription: samaccountname

AttributeDescription: givenname

AttributeDescription: middlename

AttributeDescription: sn

AttributeDescription: manager

AttributeDescription: department

AttributeDescription: telephonenumber

AttributeDescription: mail

AttributeDescription: title

AttributeDescription: homephone

AttributeDescription: mobile

AttributeDescription: pager

AttributeDescription: msrtcsip-primaryuseraddress

AttributeDescription: msrtcsip-primaryuseraddress

[Response In: 103]

controls: 1 item

Control

controlType: 1.2.840.113556.1.4.319 (pagedResultsControl)

criticality: True

SearchControlValue

size: 250

cookie: <MISSING>

عندما يستقبل AD هذا الطلب من CUCM، فإنه يبحث عن مستخدمين في baseObject: dc=aloksin،dc=lab، مما يفي بعامل التصفية. يتم تجاهل أي مستخدم لا يفي بالمتطلبات التفصيلية بواسطة عامل التصفية. يستجيب الإعلان إلى CUCM مع جميع المستخدمين الذين تمت تصفيتها ويرسل قيم السمات المطلوبة.

ملاحظة: لا يمكن إستيراد الكائنات. يتم إستيراد المستخدمين فقط. وذلك لأن عامل التصفية الذي يتم إرساله في رسالة طلب البحث يتضمن objectClass=user. وبالتالي، يبحث الإعلان فقط عن المستخدمين وليس جهات الاتصال. يحتوي CUCM على كل هذه التعيينات وعامل تصفية بشكل افتراضي.

لم يتم تكوين CUAC بشكل افتراضي، لا توجد تفاصيل تعيين تم تكوينها لاستيراد سمات للمستخدمين، لذلك يجب إدخال هذه التفاصيل يدويا. لإنشاء هذه التعيينات، انتقل إلى تكوين النظام > إدارة مصدر الدليل > خدمة Active Directory > تعيين حقل الدليل.

يسمح للمسؤولين بتعيين الحقول حسب متطلباتهم الخاصة. فيما يلي مثال:

يتم إرسال معلومات حقل المصدر إلى AD في رسالة طلب البحث. عندما يرسل الإعلان رسالة إستجابة البحث، فإن تلك القيم يتم تخزينها في الحقول المستهدفة على CUACPE.

لاحظ أن CUAC لديه بشكل افتراضي فئة الكائن معينة إلى جهات الاتصال. في حالة إستخدام هذا الإعداد الافتراضي، يظهر المرشح الذي يتم إرساله إلى AD كما هو موضح هنا:

Filter: (&(&(objectclass=contact)(  ............

باستخدام عامل التصفية هذا، لا يقوم AD بإرجاع أي مستخدمين إلى CUACPE، نظرا لأنه يقوم بالبحث عن جهات الاتصال في قاعدة البحث، وليس المستخدمين. لهذا السبب، يجب تغيير فئة الكائن إلى المستخدم:

حتى هذه النقطة، هذا عملية إعداد يتلقى يكون شكلت على ال CUAC:

- تفاصيل الاتصالات

- المصادقة (مستخدم مميز للربط)

- إعدادات الحاوية

- تعيين الدليل

في هذا المثال، يتم تكوين الخاصية "فريدة" ك sAMAccountName. إذا قمت بإعادة تشغيل ملحق LDAP على CUAC وفحصت رسالة طلب البحث، فإنه لا يحتوي على سمات أو مرشح باستثناء ObjectClass=user:

Lightweight Directory Access Protocol

LDAPMessage searchRequest(224) "dc=aloksin,dc=lab" wholeSubtree

messageID: 224

protocolOp: searchRequest (3)

searchRequest

baseObject: dc=aloksin,dc=lab

scope: wholeSubtree (2)

derefAliases: neverDerefAliases (0)

sizeLimit: 1

timeLimit: 0

typesOnly: True

Filter: (ObjectClass=user)

filter: equalityMatch (3)

equalityMatch

attributeDesc: ObjectClass

assertionValue: user

attributes: 0 items

[Response In: 43]

لاحظ أن قاعدة الدليل مفقودة هنا. لمزامنة جهات الاتصال مع AD، يجب إنشاء قاعدة. بشكل افتراضي، لم يتم تكوين قاعدة الدليل. بمجرد إنشاء أحد المرشحات، يكون عامل التصفية موجودا بالفعل. لا حاجة لتغيير عامل التصفية، حيث يجب إستيراد كافة المستخدمين الذين لديهم رقم هاتف.

قم بإعادة تشغيل الوظيفة الإضافية LDAP من أجل بدء مزامنة مع AD واستيراد المستخدمين. هنا طلب البحث من CUAC:

Lightweight Directory Access Protocol

LDAPMessage searchRequest(4) "dc=aloksin,dc=lab" wholeSubtree

messageID: 4

protocolOp: searchRequest (3)

searchRequest

baseObject: dc=aloksin,dc=lab

scope: wholeSubtree (2)

derefAliases: neverDerefAliases (0)

sizeLimit: 0

timeLimit: 15

typesOnly: False

Filter: (&(&(objectclass=user)(telephoneNumber=*))

(!(UserAccountControl:1.2.840.113556.1.4.803:=2)))

filter: and (0)

and: (&(&(objectclass=user)(telephoneNumber=*))

(!(UserAccountControl:1.2.840.113556.1.4.803:=2)))

and: 3 items

Filter: (objectclass=user)

and item: equalityMatch (3)

equalityMatch

attributeDesc: objectclass

assertionValue: user

Filter: (telephoneNumber=*)

and item: present (7)

present: telephoneNumber

Filter: (!(UserAccountControl:1.2.840.113556.

1.4.803:=2))

and item: not (2)

Filter: (UserAccountControl:1.2.840.113556.

1.4.803:=2)

not: extensibleMatch (9)

extensibleMatch UserAccountControl

matchingRule: 1.2.840.113556.1.

4.803

type: UserAccountControl

matchValue: 2

dnAttributes: False

attributes: 10 items

AttributeDescription: TELEPHONENUMBER

AttributeDescription: MAIL

AttributeDescription: GIVENNAME

AttributeDescription: SN

AttributeDescription: sAMAccountName

AttributeDescription: ObjectClass

AttributeDescription: whenCreated

AttributeDescription: whenChanged

AttributeDescription: uSNCreated

AttributeDescription: uSNChanged

[Response In: 11405]

controls: 1 item

Control

controlType: 1.2.840.113556.1.4.319 (pagedResultsControl)

SearchControlValue

size: 500

cookie: <MISSING>

إذا وجد AD مستخدمين يتطابقون مع المعايير المفصلة في رسالة طلب البحث، يرسل بعد ذلك رسالة SearchResEntry التي تحتوي على معلومات المستخدم.

فيما يلي رسالة SearchResEntry:

Lightweight Directory Access Protocol

LDAPMessage searchResEntry(4) "CN=Suhail Angi,CN=Users,DC=aloksin,DC=lab" [4 results]

messageID: 4

protocolOp: searchResEntry (4)

searchResEntry

objectName: CN=Suhail Angi,CN=Users,DC=aloksin,DC=lab

attributes: 9 items

PartialAttributeList item objectClass

type: objectClass

vals: 4 items

top

person

organizationalPerson

user

PartialAttributeList item sn

type: sn

vals: 1 item

Angi

PartialAttributeList item telephoneNumber

type: telephoneNumber

vals: 1 item

1002

PartialAttributeList item givenName

type: givenName

vals: 1 item

Suhail

PartialAttributeList item whenCreated

type: whenCreated

vals: 1 item

20131222000850.0Z

PartialAttributeList item whenChanged

type: whenChanged

vals: 1 item

20131222023413.0Z

PartialAttributeList item uSNCreated

type: uSNCreated

vals: 1 item

12802

PartialAttributeList item uSNChanged

type: uSNChanged

vals: 1 item

12843

PartialAttributeList item sAMAccountName

type: sAMAccountName

vals: 1 item

sangi

[Response To: 11404]

[Time: 0.001565000 seconds]

Lightweight Directory Access Protocol

LDAPMessage searchResEntry(4) "CN=Pragathi NS,CN=Users,DC=aloksin,DC=lab" [5 results]

messageID: 4

protocolOp: searchResEntry (4)

searchResEntry

objectName: CN=Pragathi NS,CN=Users,DC=aloksin,DC=lab

attributes: 9 items

PartialAttributeList item objectClass

type: objectClass

vals: 4 items

top

person

organizationalPerson

user

PartialAttributeList item sn

type: sn

vals: 1 item

NS

PartialAttributeList item telephoneNumber

type: telephoneNumber

vals: 1 item

1000

.......

....{message truncated}..........

.....

ملاحظة: لا يوجد بريد في الاستجابة، على الرغم من طلب هذه السمة. وذلك لأنه لم يتم تكوين معرف البريد للمستخدمين على AD.

بمجرد إستلام هذه القيم بواسطة CUAC، فإنها تخزنها في جدول لغة الاستعلام المنظمة (SQL). يمكنك بعد ذلك تسجيل الدخول إلى وحدة التحكم، وتحضر وحدة التحكم قائمة المستخدمين من جدول SQL هذا على خادم CUACPE.