So konfigurieren Sie die Unified Communications Manager-Verzeichnisintegration in einer Multi-Forest-Umgebung

Einleitung

In diesem Dokument wird erläutert, wie die Verzeichnisintegration von Cisco Unified Communication Manager (CUCM) in einer Multi-Forest-Umgebung konfiguriert wird.   

Voraussetzungen

Anforderungen

Cisco empfiehlt Folgendes:

1. Kenntnisse der Bereitstellung und Konfiguration der CUCM-Verzeichnisintegration.
2. Kenntnisse der Bereitstellung und Konfiguration von Microsoft Active Directory Application Manager (ADAM) 2003 oder Microsoft Lightweight Directory Services (AD LDS) 2008 oder 2012
3. CUCM Version 9.1(2) oder höher
4. Wenn Sie CUCM Version 9.1(2) oder höher verwenden, kann der LDAP-Filter über die Administrations-Webschnittstelle geändert werden. 
5. Die Anzahl der zu synchronisierenden Benutzerkonten darf 60.000 Konten pro CUCM-Publisher nicht überschreiten. Wenn mehr als 60.000 Konten synchronisiert werden müssen, muss das IP Phone Services Software Development Kit (SDK) verwendet werden, um ein benutzerdefiniertes Verzeichnis bereitzustellen. Weitere Informationen finden Sie im Cisco Developer Network. Wenn Sie Unified CM Version 10.0(1) oder höher verwenden, werden maximal 160.000 Benutzerkonten unterstützt.
6. Microsoft ADAM 2003 oder LDS 2008 oder 2012
7. Die SSL-Anforderung bei der Verwendung der Bindungsumleitung sollte nicht deaktiviert werden. Wenn diese Option deaktiviert ist, wird das Kennwort eines Windows-Sicherheitsprinzipals an den Computer übergeben, auf dem ADAM ohne Verschlüsselung ausgeführt wird. Daher sollte sie nur in einer Testumgebung deaktiviert werden.
8. Die Benutzer-ID (sAMAccountName ) muss in allen Gesamtstrukturen eindeutig sein.
9. Wenn eine AD LDS-Einrichtung vorhanden ist und die sAMAccountName zugeordnete CUCM-Benutzer-ID verwendet werden muss, sollte diese Vereinbarung als AD konfiguriert werden.
10. Wenn Sie die Domänenvertrauensbeziehung zwischen der Hostdomäne der ADAM-Instanz und der Hostdomäne der Benutzerkonten konfigurieren, sollten die Domänenfunktionsebene und die Gesamtstrukturfunktionsebene 2003 oder höher sein.
11. CUCM unterstützt nur eine einzelne Anwendungsverzeichnispartition in AD LDS. Derzeit werden mehrere Partitionen nicht unterstützt.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Vorwort

Microsoft AD LDS (ehemals ADAM) kann zur Bereitstellung von Verzeichnisdiensten für verzeichnisfähige Anwendungen verwendet werden. Anstatt die AD DS-Datenbank (Active Directory Domain Service) der Organisation zum Speichern der Verzeichnisanwendungsdaten zu verwenden, kann AD LDS zum Speichern der Daten verwendet werden. AD LDS kann in Verbindung mit AD DS verwendet werden, sodass Sie einen zentralen Speicherort für Sicherheitskonten (AD DS) und einen anderen Speicherort zur Unterstützung der Anwendungskonfiguration und Verzeichnisdaten (AD LDS) haben können. Mit AD LDS können Sie den mit der AD-Replikation verbundenen Overhead reduzieren. Sie müssen das AD-Schema nicht erweitern, um die Anwendung zu unterstützen, und Sie können die Verzeichnisstruktur partitionieren, sodass der AD LDS-Dienst nur auf den Servern bereitgestellt wird, die die verzeichnisfähige Anwendung unterstützen müssen.

• Installieren von der Mediengenerierung - Die Möglichkeit, Installationsmedien für AD LDS mit Ntdsutil.exe oder Dsdbutil.exe zu erstellen.
• Audit - Die Werte im Verzeichnisdienst wurden überprüft.
• Datenbankbereitstellungstool - Ermöglicht das Anzeigen von Daten in Snapshots der Datenbankdateien.
• AD Sites and Services Support - Ermöglicht die Verwendung von AD Sites and Services, um die Replikation der AD LDS-Datenänderungen zu verwalten.
• Dynamische Liste von LDIF-Dateien - Mit dieser Funktion können Sie benutzerdefinierte LDIF-Dateien den aktuellen Standard-LDIF-Dateien zuordnen, die für die Einrichtung von AD LDS auf einem Server verwendet werden.
• Rekursive verknüpfte Attributabfragen - LDAP-Abfragen können geschachtelten Attributverknüpfungen folgen, um zusätzliche Attributeigenschaften zu bestimmen, z. B. Gruppenmitgliedschaften.

Es gibt viele Unterschiede zwischen ADAM und AD, ADAM kann nur einen Teil der von AD bereitgestellten Funktionen bereitstellen.

Überblick

Das Ziel dieses Dokuments besteht darin, die Mechanismen zu erläutern, die es CUCM oder anderen Cisco Produkten, die den Directory Integration Service (DirSync) verwenden, ermöglichen, Benutzerinformationen abzurufen und eine Authentifizierung von verschiedenen AD-Domänen durchzuführen, die in verschiedenen Gesamtstrukturen vorhanden sein können. Um dieses Ziel zu erreichen, wird ADAM verwendet, um seine Benutzerdatenbank mit verschiedenen AD-Domänencontrollern oder anderen LDAP-Quellen zu synchronisieren.

ADAM kann eine Datenbank von Benutzern erstellen und deren Details speichern. Die Single Sign On (SSO)-Funktion ist erwünscht, um zu vermeiden, dass Endbenutzer unterschiedliche Anmeldeinformationssätze in verschiedenen Systemen verwalten müssen. Daher wird die ADAM-Bindungsumleitung verwendet. Die ADAM-Bindungsumleitung ist eine spezielle Funktion für Anwendungen, die LDAP-Bindungen als Authentifizierungsmechanismus unterstützen. In einigen Fällen können Sie aufgrund des speziellen Schemas oder Namenskontexts gezwungen sein, AD zu vermeiden. Aus diesem Grund ist ADAM eine wichtige Wahl. Dadurch müssen sich Benutzer nicht mehr mehrere Passwörter merken, da sie ein zusätzliches Verzeichnis mit eigener Benutzer-ID und eigenem Passwort verwenden müssen.

Ein spezielles Benutzerproxyobjekt in ADAM wird einem regulären AD-Benutzerkonto zugeordnet. Der Benutzerproxy verfügt nicht über ein tatsächliches Kennwort, das im ADAM-Objekt selbst gespeichert ist. Wenn die Anwendung ihre normale Bindungsoperation durchführt, überprüft sie die ID lokal, das Kennwort jedoch anhand von AD unter den Abdeckungen, wie in dieser Abbildung dargestellt. Die Anwendung muss diese AD-Interaktion nicht kennen.

Die ADAM-Bindungsumleitung sollte nur in Sonderfällen verwendet werden, in denen eine Anwendung eine einfache LDAP-Bindung an ADAM durchführen kann. Die Anwendung muss den Benutzer jedoch weiterhin einem Sicherheitsprinzipal in AD zuordnen.

Die ADAM-Bindungsumleitung erfolgt, wenn versucht wird, eine Bindung an ADAM mithilfe eines speziellen Objekts, das als Proxyobjekt bezeichnet wird, herzustellen. Ein Proxyobjekt ist ein Objekt in ADAM, das einen Sicherheitsprinzipal in AD darstellt.  Jedes Proxyobjekt in ADAM enthält die SID eines Benutzers in AD. Wenn ein Benutzer versucht, eine Bindung an ein Proxyobjekt herzustellen, nimmt ADAM die SID, die im Proxyobjekt gespeichert ist, zusammen mit dem Kennwort, das zur Bindungszeit bereitgestellt wird, und übergibt die SID und das Kennwort zur Authentifizierung an AD. Ein Proxyobjekt in ADAM speichert kein Kennwort, und Benutzer können ihre AD-Kennwörter nicht über ADAM-Proxyobjekte ändern.

Das Kennwort wird ADAM im Klartext angezeigt, da es sich bei der ersten Verbindungsanforderung um eine einfache LDAP-Verbindungsanforderung handelt. Aus diesem Grund ist standardmäßig eine SSL-Verbindung zwischen dem Verzeichnis-Client und ADAM erforderlich. ADAM verwendet Windows-Sicherheits-APIs, um AD das Kennwort anzuzeigen.

Weitere Informationen zur Bindungsumleitung finden Sie unter Understanding ADAM bind redirection .

Szenario für die Unterstützung mehrerer Active Directory-Gesamtstrukturen in CUCM

Um die Methode zu erläutern, stellen Sie sich ein Szenario vor, in dem Cisco Systems (Forest 2) zwei weitere Unternehmen übernommen hat: Tandberg (Forest 3) und Webex (Forest 1). Integrieren Sie in der Migrationsphase die AD-Struktur jedes Unternehmens, um die Bereitstellung eines einzelnen Cisco Unified Communications-Clusters zu ermöglichen.

In diesem Beispiel verfügt das Unternehmen Cisco (Forest 2) über zwei Domänen: die Forest-Stammdomäne CISCO (dns cisco.com) und eine Unterdomäne EMERG (dns emerg.cisco.com). Beide Domänen verfügen über einen Domänencontroller, der ebenfalls ein globaler Katalog ist, und jede Domäne wird in Windows 2008 Server SP2 gehostet.

Die Firma Tandberg (Forest 3) verfügt über eine einzige Domäne mit einem Domänencontroller, der ebenfalls ein globaler Katalog ist, und wird in Windows 2008 Server SP2 gehostet.

Unternehmen Webex (Forest 1) hat eine einzige Domäne mit einem Domänencontroller, der ebenfalls ein globaler Katalog ist, und wird in Windows 2003 R2 Server SP2 gehostet.

AD LDS wird im Domänencontroller für die Domäne CISCO installiert oder kann ein separater Computer sein. Die DNS-Infrastruktur muss so eingerichtet sein, dass Domänen in einer Gesamtstruktur mit Domänen in anderen Gesamtstrukturen kommunizieren können und die entsprechenden Vertrauensbeziehungen und Validierungen zwischen den Gesamtstrukturen etabliert werden.

Beziehung zur Domänenvertrauensstellung

Damit die Authentifizierung der Benutzer funktioniert, benötigen Sie eine Vertrauensstellung zwischen der Domäne, in der die ADAM-Instanz gehostet wird, und den anderen Domänen, die die Benutzerkonten hosten. Bei dieser Vertrauensstellung kann es sich gegebenenfalls um eine unidirektionale Vertrauensstellung handeln (ausgehende Vertrauensstellung von der Domäne, die die ADAM-Instanz hostet, an die Domäne(n), die die Benutzerkonten hostet). Auf diese Weise kann die ADAM-Instanz die Authentifizierungsanforderungen an die Domänencontroller in diesen Domänen weiterleiten.

Darüber hinaus benötigen Sie ein Benutzerkonto aus beiden Kontodomänen, das Zugriff auf alle Attribute aller Benutzerkonten in der Domäne hat. Dieses Konto wird von ADAMSync verwendet, um die Account Domain-Benutzer mit ADAM zu synchronisieren.

Nicht zuletzt muss der Computer, auf dem ADAM ausgeführt wird, in der Lage sein, alle Domänen (DNS) zu finden, Domänencontroller in beiden Domänen (mit DNS) zu finden und eine Verbindung mit diesen Domänencontrollern herzustellen.

Gehen Sie wie folgt vor, um die Intertrust-Beziehungen einzurichten:

1. Öffnen Sie Active Directory-Domänen und Vertrauensstellungen, klicken Sie mit der rechten Maustaste auf die Domäne, die AD LDS hostet, und wählen Sie Eigenschaften aus.

   

2. Klicken Sie auf die Registerkarte Trusts, und klicken Sie auf New Trust (Neue Vertrauenswürdigkeit).

   

3. Folgen Sie dem Assistenten, und geben Sie den Namen der Domäne ein, mit der Sie die Vertrauenswürdigkeit einrichten möchten. Klicken Sie auf Next (Weiter).

   

4. Klicken Sie auf das Optionsfeld Gesamtstrukturvertrauensstellung. Klicken Sie auf Next (Weiter).

   

5. Auf der Richtung des Vertrauens nur 'eine Richtung: ausgehend" erforderlich. Klicken Sie auf One-way: Optionsfeld "Ausgehend". Klicken Sie auf Next (Weiter).

   

6. Lassen Sie den Assistenten beide Domänen konfigurieren. Klicken Sie auf das Optionsfeld Sowohl diese Domäne als auch die angegebene Domäne. Klicken Sie auf Next (Weiter).

   

7. Geben Sie die Anmeldeinformationen für die andere Domäne ein. Klicken Sie auf Next (Weiter).

   

8. Klicken Sie auf das Optionsfeld Gesamtstrukturweite Authentifizierung. Klicken Sie auf Next (Weiter).

   

9. Klicken Sie auf das Optionsfeld Ja, Vertrauenswürdigkeit bestätigen. Klicken Sie auf Next (Weiter).

   

Dies ist das Ergebnis, das Sie erhalten, nachdem Sie diesen Prozess für die Tandberg- und WebEx-Domäne ausgeführt haben. Die emerg-Domäne ist standardmäßig vorhanden, da es sich um eine untergeordnete Domäne handelt. Klicken Sie auf OK.

AD LDS installieren

AD LDS 2008 installieren

1. Öffnen Sie den Server Manager, klicken Sie auf Rollen, und klicken Sie auf Rollen hinzufügen.

   

2. Aktivieren Sie das Kontrollkästchen Active Directory Lightweight Directory Services. Klicken Sie auf Next (Weiter).

   

3. Das Fenster AD LDS Services Installation Progress (Installationsstatus für AD LDS-Dienste) wird angezeigt.

   

AD LDS 2012 installieren

Führen Sie die folgenden Schritte aus, um AD LDS 2012 einzurichten:

1. Öffnen Sie den Server Manager, und wählen Sie Add Roles and Features (Rollen und Features hinzufügen). Klicken Sie auf Weiter und dann auf Installationstyp, um zur Seite Installationstyp zu wechseln.

   

2. Wählen Sie die Standardoptionen aus, und klicken Sie auf Weiter.

   

3. Klicken Sie auf das Optionsfeld Server aus Serverpool auswählen, um den Standardserver auszuwählen. Klicken Sie auf Next (Weiter).

   

4. Aktivieren Sie das Kontrollkästchen Active Directory Lightweight Directory Services, und klicken Sie auf Features hinzufügen. Setzen Sie die Installation fort.

   

5. Klicken Sie auf den folgenden Seiten auf Weiter.
6. Klicken Sie auf das Kontrollkästchen Zielserver automatisch neu starten, falls erforderlich, und klicken Sie auf Installieren, um die Funktion zu installieren.

   

7. Wenn die Installation erfolgreich abgeschlossen wurde, klicken Sie auf Schließen, um den Assistenten zu schließen.

   

Installieren der Instanz für die Unterstützung mehrerer Gesamtstrukturen

AD LDS kann verschiedene Instanzen der Dienste mit unterschiedlichen Ports ausführen, sodass verschiedene "Anwendungen" des Benutzerverzeichnisses auf demselben Computer ausgeführt werden können. Standardmäßig wählt AD LDS die Ports 389/LDAP und 636/LDAPS aus. Wenn das System jedoch bereits über LDAP-Dienste verfügt, die diese ausführen, werden die Ports 50000/LDAP und 50001/LDAPS verwendet. Jede Instanz verfügt über zwei Ports, die basierend auf den zuvor verwendeten Nummern inkrementiert werden.

In einigen Fällen werden die Ports aufgrund eines Microsoft-Fehlers bereits vom Microsoft DNS-Server verwendet, und der Instanzassistent gibt einen Fehler aus (was nicht selbsterklärend ist). Dieser Fehler kann behoben werden, wenn Sie die Ports im TCP/IP-Stack reservieren. Wenn Sie dieses Problem finden, sehen Sie beim Starten des AD LDS-Diensts die Fehlermeldung "Setup could not start the service..." (Setup konnte den Dienst nicht starten). + Fehlercode 8007041d.

Unterstützung mehrerer Gesamtstrukturen 2008

1. Wählen Sie im Server-Manager Rollen und dann Active Directory Lightweight Directory Services aus.  Klicken Sie hier, um eine AD LDS-Instanz zu erstellen.

   

2. Klicken Sie auf das Optionsfeld Eine eindeutige Instanz. Klicken Sie auf Next (Weiter).

   

3. Geben Sie im Feld Instanzname den Namen der Instanz ein. In diesem Beispiel ist dies MultiForest. Klicken Sie auf Next (Weiter).

   

4. Geben Sie die ausgewählten LDAP-Portnummern und SSL-Portnummern ein, oder lassen Sie das System diese für Sie auswählen. Klicken Sie auf Next (Weiter).

   

5. Anmerkung: CUCM unterstützt nur eine einzelne Anwendungsverzeichnispartition. Derzeit werden mehrere Partitionen nicht unterstützt.
   
   Siehe Schritt 5: Praktische Übung Arbeiten mit Anwendungsverzeichnispartitionen mit Informationen zum Erstellen einer Anwendungsverzeichnispartition. Der Prozess zum Erstellen einer Verzeichnispartition für jede Domäne, mit der Sie synchronisieren möchten, funktioniert basierend auf LDAP-Verweisen (RFC 2251) und erfordert, dass der LDAP-Client (CUCM, CUP usw.) Verweise unterstützt.

   Klicken Sie auf das Optionsfeld Ja, Anwendungsverzeichnispartition erstellen. Geben Sie den Partitionsnamen im Feld Partitionsname für die Instanz ein. Stellen Sie keine cn bereit, wie im Beispiel des Assistenten, da die meiste Zeit, die einen Fehler in den Schemas erzeugt. In diesem Szenario wurde die gleiche Partition wie der AD-Domänencontroller eingegeben, der AD LDS hostet (dc=Cisco,dc=com). Klicken Sie auf Next (Weiter).

   

6. Klicken Sie auf das Optionsfeld Dieses Konto. Geben Sie einen Benutzernamen und ein Kennwort ein, um den Server zu starten. Klicken Sie auf Next (Weiter).

   

7. Klicken Sie auf das Optionsfeld Derzeit angemeldeter Benutzer. Geben Sie den Namen des Benutzers mit Administratorberechtigungen ein. Klicken Sie auf Next (Weiter).

   

8. Importieren Sie die markierten Standard-LDIF-Dateien, um das Schema zu erstellen. Klicken Sie auf Next (Weiter).

   

Anmerkung: Wenn ADAM auf einem Windows 2003-Server installiert ist, stehen auf dem vorherigen Bildschirm nur vier Optionen zur Verfügung:  MS-AZMan.LDF, MS-InternetOrgPerson.LDF, MS-User.LDF und MS-UserProxy.LDF. Aktivieren Sie in diesen vier Feldern nur die Kontrollkästchen für MS-User.LDF und MS-InternetOrgPerson.LDF.

Unterstützung mehrerer Gesamtstrukturen im Jahr 2012

1. Öffnen Sie die Verwaltungstools, und doppelklicken Sie auf den Assistenten zum Einrichten von Active Directory Lightweight Directory Services.

   

2. Klicken Sie auf Next (Weiter).

   

3. Aktivieren Sie das Optionsfeld Eine eindeutige Instanz. Klicken Sie auf Next (Weiter).

   

4. Geben Sie einen Instanznamen und eine Beschreibung für die Instanz ein. Hier wird der Name "MultiForest" eingetragen. Klicken Sie auf Next (Weiter).

   

5. Geben Sie die LDAP- und SSL-Portnummern ein. Die bevorzugten Ports sind 389 und 636. Wenn der Domänenserver ein untergeordneter Server ist und die übergeordnete Domäne diese Ports verwendet, werden standardmäßig andere Portnummern eingetragen. Ändern Sie diese in diesem Fall nicht, und setzen Sie die Installation fort. Klicken Sie auf Next (Weiter).

   

6. Hier wurden standardmäßig andere Portnummern eingetragen. Klicken Sie auf Next (Weiter).

   

7. Anmerkung: CUCM unterstützt nur eine einzelne Anwendungsverzeichnispartition. Derzeit werden mehrere Partitionen nicht unterstützt.
   
   Siehe Schritt 5: Praktische Übung Arbeiten mit Anwendungsverzeichnispartitionen mit Informationen zum Erstellen einer Anwendungsverzeichnispartition. Der Prozess zum Erstellen einer Verzeichnispartition für jede Domäne, mit der Sie synchronisieren möchten, funktioniert basierend auf LDAP-Verweisen (RFC 2251) und erfordert, dass der LDAP-Client (CUCM, CUP usw.) Verweise unterstützt. Weitere Informationen finden Sie unter Microsoft Support.

   Klicken Sie auf das Optionsfeld Ja, Anwendungsverzeichnispartition erstellen. Geben Sie den Partitionsnamen ein. Erstellen Sie die Partition für LDS als cisco.com. Es kann ein beliebiger geeigneter Wert angegeben werden. Klicken Sie auf Next (Weiter).

   

8. Wählen Sie auf nachfolgenden Seiten die Standardoptionen aus, und fahren Sie fort.

   

   

   

9. Aktivieren Sie die Kontrollkästchen MS-InetOrgPerson.LDF, MS-User.LDF, MS-UserProxy.LDF und MS-UserProxyFull.LDF. Klicken Sie auf Next (Weiter).

   

   

10. Klicken Sie auf Weiter, um die Installation zu starten.

    

    

11. Die Installation wurde erfolgreich abgeschlossen. Klicken Sie auf Beenden.

    

ADAM-Schemaanalyse konfigurieren

Wenn die Benutzer-IDs (sAMAccountNames) in verschiedenen Domänen eindeutig sind und es in verschiedenen Domänen verschiedener Gesamtstrukturen nicht mehrere Benutzer mit derselben ID gibt, können die Benutzer vom AD mit den entsprechenden Gesamtstrukturen auf dem AD LDS synchronisiert werden, die alle in einer Multi-Forest-Konfiguration auf einer einzigen Partition auf dem AD LDS vorhanden sein können. Betrachten Sie beispielsweise die Abbildung im Abschnitt Active Directory Multiple Forest Support Scenario im CUCM-Abschnitt. Wenn eine Benutzer-ID "alice" nur in einer der drei Domänen vorhanden ist, würde die Konfiguration in diesem Szenario wie folgt aussehen:

PARTITION FOREST-DN

P1 cisco.com DC=cisco,DC=com

                       webex.com DC=webex, DC=cisco,DC=com

                       tandberg.com DC=Tandberg, DC=cisco,DC=com

Um CUCM mit AD LDS zu konfigurieren, muss die Benutzer-ID (sAMAccountName) in allen Gesamtstrukturen eindeutig sein. CUCM unterstützt derzeit nur eine einzelne Partition in AD LDS.

Wenn die sAMAccountNames nicht eindeutig sind, sollten Sie eines dieser Attribute verwenden, wenn es sich um ein eindeutiges Benutzerkonto handelt - E-Mail, Telefonnummer, Mitarbeiternummer, UID oder userPrincipalName.

1. Kopieren Sie das Schema aus der Domäne in ADAM.
2. Öffnen Sie den AD DS/LDS-Schemaanalysator (ADSchemaAnalyzer.exe) im Verzeichnis c:\windows\adam.
3. Wählen Sie Datei > Zielschema laden.

   

4. Geben Sie die Anmeldeinformationen des Quell-AD-Domänencontrollers ein, von dem Sie importieren möchten. Klicken Sie auf OK.

   

5. Wählen Sie Datei > Basisschema laden.

   

6. Geben Sie den AD LDS an, mit dem Sie eine Verbindung herstellen möchten, und erweitern Sie das Schema. Klicken Sie auf OK.

   

7. Wählen Sie Schema > Alle nicht vorhandenen Elemente als eingeschlossen markieren.

   

8. Wählen Sie Datei > LDIF-Datei erstellen aus.  In diesem Beispiel ist die in diesem Schritt erstellte Datei diff-schema.ldf. Um den Vorgang zu vereinfachen, sollte die Datei in c:\windows\adam erstellt werden.

   

   Eine Möglichkeit, die zu erstellenden Dateien zu organisieren, besteht darin, ein separates Verzeichnis zu erstellen, damit diese Dateien vom Hauptverzeichnis c:\windows\adam getrennt werden können. Öffnen Sie eine Eingabeaufforderung, und erstellen Sie ein Protokollverzeichnis in c:\windows\adam.

   cd \windows\adam
   mkdir logs

9. Importieren Sie das mit ADSchema Analyzer erstellte ldif-Schema in AD LDS.

   ldifde -i -s localhost:50000 -c CN=Configuration,DC=X
    #ConfigurationNamingContext -f diff-schema.ldf -j c:\windows\adam\logs
   

   Weitere Optionen und Befehlsformate finden Sie unter Verwenden von LDIFDE zum Importieren und Exportieren von Verzeichnisobjekten in Active Directory.

   

Erweitern des AD LDS-Schemas mit den User-Proxy-Objekten

Das Objekt für die Proxy-Authentifizierung muss erstellt werden, und die Objektklasse "user" wird nicht verwendet. Die erstellte Objektklasse "userProxy" ermöglicht die Bindungsumleitung. Die Objektklassendetails müssen in einer LDIF-Datei erstellt werden. Bei der Datei handelt es sich um die Erstellung einer neuen Datei, in diesem Beispiel MS-UserProxy-Cisco.ldf.  Diese neue Datei wird aus der ursprünglichen MS-UserProxy.ldf generiert und bearbeitet. Verwenden Sie ein Textbearbeitungsprogramm, um diesen Inhalt zu erhalten:

#==================================================================
# @@UI-Description: AD LDS simple userProxy class.
#
# This file contains user extensions for default ADAM schema.
# It should be imported with the following command:
#   ldifde -i -f MS-UserProxy.ldf -s server:port -b username domain password -k -j . -c 
"CN=Schema,CN=Configuration,DC=X" #schemaNamingContext
#
#==================================================================

dn: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: top
objectClass: classSchema
cn: User-Proxy
subClassOf: top
governsID: 1.2.840.113556.1.5.246
schemaIDGUID:: bxjWYLbzmEiwrWU1r8B2IA==
rDNAttID: cn
showInAdvancedViewOnly: TRUE
adminDisplayName: User-Proxy
adminDescription: Sample class for bind proxy implementation.
objectClassCategory: 1
lDAPDisplayName: userProxy
systemOnly: FALSE
possSuperiors: domainDNS
possSuperiors: organizationalUnit
possSuperiors: container
possSuperiors: organization
defaultSecurityDescriptor:
 D:(OA;;CR;ab721a53-1e2f-11d0-9819-00aa0040529b;;PS)S:
defaultHidingValue: TRUE
defaultObjectCategory: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
systemAuxiliaryClass: msDS-BindProxy
systemMayContain: userPrincipalName
systemMayContain: givenName
systemMayContain: middleName
systemMayContain: sn
systemMayContain: manager
systemMayContain: department
systemMayContain: telephoneNumber
systemMayContain: mail
systemMayContain: title
systemMayContain: homephone
systemMayContain: mobile
systemMayContain: pager
systemMayContain: msDS-UserAccountDisabled
systemMayContain: samAccountName
systemMayContain: employeeNumber
systemMayContain: initials
systemMayContain: ipPhone
systemMayContain: displayName 
systemMayContain: msRTCSIP-primaryuseraddress
systemMayContain: uid

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

Speichern Sie die Datei MS-UserProxy-Cisco.ldf unter C:\windows\adam.

Die neue Objektklasse in AD LDS importieren.

ldifde -i -s localhost:50000 -c CN=Configuration,DC=X #ConfigurationNamingContext -f
 MS-UserProxy-Cisco.ldf -j c:\windows\adam\logs

Benutzer aus AD DC in AD LDS importieren

Der Benutzer jeder Domäne muss nun in AD LDS importiert werden. Dieser Schritt muss für jede zu synchronisierende Domäne wiederholt werden. Dieses Beispiel zeigt nur den Prozess für eine der Domänen. Beginnen Sie mit der ursprünglichen MS-AdamSyncConf.xml, erstellen Sie eine XML-Datei für jede Domäne, die synchronisiert werden muss, und ändern Sie die Datei mit den für jede Domäne spezifischen Details, um diesen Inhalt zu erhalten:

<?xml version="1.0"?>
<doc> 
 <configuration>  
  <description>Adam-Sync1</description>  
  <security-mode>object</security-mode>         
  <source-ad-name>ad2k8-1</source-ad-name>  
  <source-ad-partition>dc=cisco,dc=com</source-ad-partition>
  <source-ad-account></source-ad-account>               
  <account-domain></account-domain>
  <target-dn>dc=cisco,dc=com</target-dn>  
  <query>   
   <base-dn>dc=cisco,dc=com</base-dn>
    <object-filter>
(&#124;(&amp;(!cn=Administrator)(!cn=Guest) (!cn=ASPNET)
(!cn=krbtgt)(sAMAccountType=805306368))(&amp;(objectClass=user)(isDeleted=TRUE)))
    </object-filter>
   <attributes>
    <include>objectSID</include>
    <include>mail</include> 
    <include>userPrincipalName</include>
    <include>middleName</include> 
    <include>manager</include> 
    <include>givenName</include> 
    <include>sn</include> 
    <include>department</include> 
    <include>telephoneNumber</include> 
    <include>title</include> 
    <include>homephone</include> 
    <include>mobile</include> 
    <include>pager</include> 
    <include>msDS-UserAccountDisabled</include>
    <include>samAccountName</include>
    <include>employeeNumber</include>
    <include>initials</include>
    <include>ipPhone</include>
    <include> displayName</include> 
    <include> msRTCSIP-primaryuseraddress</include>
    <include>uid</include>
    <exclude></exclude>
   </attributes>  
  </query>
 <user-proxy>
    <source-object-class>user</source-object-class>
    <target-object-class>userProxy</target-object-class>
  </user-proxy>  
  <schedule>   
   <aging>    
    <frequency>0</frequency>    
    <num-objects>0</num-objects>   
   </aging>   
   <schtasks-cmd></schtasks-cmd>  
  </schedule> 
 </configuration> 
 <synchronizer-state>  
  <dirsync-cookie></dirsync-cookie>  
  <status></status>  
  <authoritative-adam-instance></authoritative-adam-instance>
  <configuration-file-guid></configuration-file-guid>  
  <last-sync-attempt-time></last-sync-attempt-time>  
  <last-sync-success-time></last-sync-success-time>  
  <last-sync-error-time></last-sync-error-time>  
  <last-sync-error-string></last-sync-error-string>  
  <consecutive-sync-failures></consecutive-sync-failures>  
  <user-credentials></user-credentials>  
  <runs-since-last-object-update></runs-since-last-object-update>
  <runs-since-last-full-sync></runs-since-last-full-sync> 
 </synchronizer-state>
</doc>

In dieser Datei sollten diese Tags ersetzt werden, damit sie mit der Domäne übereinstimmen:

• <Quell-Ad-Name> - Verwenden Sie den Hostnamen der Domäne.
• <source-ad-partition> - Verwenden Sie die Root-Partition des Quell-AD-DC, aus dem Sie importieren möchten (z. B. dc=Cisco, dc=com oder dc=Tandberg, dc=com ).
• <base-dn> - Wählen Sie den Container aus, aus dem importiert werden soll. Wenn z. B. alle Benutzer der Domäne erforderlich sind, sollte dies der gleiche Vorgang sein wie <source-ad-partition>. Wenn die Benutzer jedoch aus einer bestimmten Organisationseinheit stammen (z. B. Finanz-OU), sollte er mit OU=Finance, DC=Cisco, DC=com vergleichbar sein. 

Weitere Informationen zum Erstellen eines <object-filter> finden Sie unter Suchfiltersyntax.

Speichern Sie die neu erstellte XML-Datei unter C:\windows\adam.

Öffnen Sie das Befehlsfenster cd \windows\adam.

Geben Sie den Befehl ADAMSync /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log ein.

Stellen Sie sicher, dass es sich bei der Datei AdamSyncConf1.xml um die neu erstellte XML-Datei handelt.

Synchronisieren Sie die Benutzer mit dem Befehl ADAMSync /sync localhost:50000 "dc=cisco,dc=com" /log c:\windows\adam\logs\sync.log.

Das Ergebnis sollte ähnlich sein wie:

Um eine automatische Synchronisierung von AD mit ADAM abzuschließen, verwenden Sie den Task-Planer in Windows.

Erstellen Sie eine BAT-Datei mit diesem Inhalt: 

"C:\Windows\ADAM\ADAMSync" /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log

"C:\Windows\ADAM\ADAMSync" /sync localhost:50000 "dc=cisco,dc=com" /log c:\windows\adam\logs\syn.log

Planen Sie den Task so, dass die BAT-Datei bei Bedarf ausgeführt wird. Dadurch werden Hinzufügungen, Änderungen und Löschungen berücksichtigt, die in AD vorgenommen werden und ebenfalls in ADAM wiedergegeben werden.

Sie können eine weitere BAT-Datei erstellen und planen, dass sie automatisch mit der anderen Gesamtstruktur synchronisiert wird.

Erstellen des Benutzers in AD LDS für die CUCM-Synchronisierung und -Authentifizierung

1. Öffnen Sie ADSI Edit über die Administrator-Tools im Startmenü.
2. Wählen Sie Datei > Verbindung (oder Aktion > Verbindung herstellen mit).
3. Stellen Sie eine Verbindung mit der Basis-DN der AD LDS-Struktur her (DC=Cisco,DC=com), und geben Sie den Host und den Port an, auf dem er gehostet wird (localhost:50000). Klicken Sie auf OK.

   

4. Klicken Sie mit der rechten Maustaste auf die Basis-DN, und wählen Sie Neu > Objekt.

   

5. Benutzer auswählen. Klicken Sie auf Next (Weiter).

   

6. Geben Sie im Feld Wert den gewünschten Objektnamen ein. In diesem Beispiel ist "root" der ausgewählte Name (ein beliebiger Name kann hier gewählt werden). Klicken Sie auf Next (Weiter).

   

7. Um dem neuen Benutzer ein Kennwort zuzuweisen, klicken Sie mit der rechten Maustaste auf den Benutzer, und wählen Sie Kennwort zurücksetzen.

   

8. Der neue Benutzer ist standardmäßig deaktiviert. Um den neuen Benutzer zu aktivieren, klicken Sie mit der rechten Maustaste auf den Benutzer, und wählen Sie Eigenschaften aus.

   

9. Navigieren Sie zum Attribut msDS-UserAccountDisabled, und klicken Sie auf Bearbeiten.

   

10. Klicken Sie auf das Optionsfeld False, um das Benutzerkonto zu aktivieren. Klicken Sie auf OK.

    

11. Klicken Sie auf das Optionsfeld True, um sicherzustellen, dass das Kennwort niemals abläuft. Klicken Sie auf OK.

    

12. Der neue Benutzer muss einer Gruppe hinzugefügt werden, die über Leseberechtigungen für den AD LDS verfügt. In diesem Beispiel wurde der Administrator ausgewählt. Navigieren Sie zu CN=Roles > CN=Administrators. Klicken Sie mit der rechten Maustaste auf CN=Administrators, und wählen Sie Eigenschaften aus.

    

13. Wählen Sie das Attributelement aus, und klicken Sie auf Bearbeiten.

    

14. Geben Sie die neue DN ein, die zuvor erstellt wurde: cn=root,dc=Cisco,dc=com, für diese Gruppe. Klicken Sie auf OK.

    

15. Wählen Sie Update Schema Now (Schema jetzt aktualisieren) aus, und starten Sie AD LDS neu.

    

    

Bind-Umleitung konfigurieren

Standardmäßig erfordert die Bindung an ADAM mit Bindungsumleitung eine SSL-Verbindung. SSL erfordert die Installation und Verwendung von Zertifikaten auf dem Computer, der ADAM ausführt, und auf dem Computer, der sich als Client mit ADAM verbindet. Wenn Zertifikate nicht in Ihrer ADAM-Testumgebung installiert sind, können Sie die Anforderung für SSL als Alternative deaktivieren.

Standardmäßig ist SSL aktiviert. Damit das LDAPS-Protokoll in ADAM/LDS funktioniert, müssen Sie ein Zertifikat generieren.

In diesem Beispiel wird der Microsoft Certification Authority Server verwendet, um das Zertifikat auszustellen. Um ein Zertifikat anzufordern, rufen Sie die Webseite der Microsoft-Zertifizierungsstelle auf: http://<Hostname der Microsoft-Zertifizierungsstelle>/certsrv, und führen Sie die folgenden Schritte aus:

1. Klicken Sie auf Zertifikat anfordern.
2. Klicken Sie auf advanced certificate request (erweiterte Zertifikatsanforderung).
3. Klicken Sie auf Erstellen, und senden Sie eine Anfrage an diese Zertifizierungsstelle.
4. Geben Sie im Textfeld Name den vollständigen DNS-Namen des ADAM/AD LDS-Servers ein.
5. Stellen Sie sicher, dass der Zertifikatstyp Serverauthentifizierungszertifikat ist.
6. Wählen Sie als Format PCKS10 aus.
7. Wählen Sie Schlüssel als exportierbar markieren aus.
8. Geben Sie ggf. die anderen Informationen ein.
9. Geben Sie im Textfeld Anzeigename den vollständigen DNS-Namen des ADAM/AD LDS-Servers ein.
10. Klicken Sie auf Senden.

Wechseln Sie zurück zur Schnittstelle der Zertifizierungsstelle, und klicken Sie auf den Ordner Ausstehende Zertifikate. Klicken Sie mit der rechten Maustaste auf die Zertifikatanforderung des ADAM/AD-LDS-Computers, und stellen Sie das Zertifikat aus.

Das Zertifikat wurde jetzt erstellt und befindet sich im Ordner "Ausgestellte Zertifikate". Als Nächstes müssen Sie das Zertifikat herunterladen und installieren:

1. Öffnen Sie http://<MSFT CA-Hostname>/certsrv.
2. Klicken Sie auf Status einer ausstehenden Zertifikatsanforderung anzeigen.
3. Klicken Sie auf die Zertifikatsanforderung.
4. Klicken Sie auf das Zertifikat, um es zu installieren.

Damit der ADAM-Dienst das Zertifikat verwenden kann, müssen Sie das Zertifikat im persönlichen Speicher des ADAM-Dienstes ablegen:

1. Wählen Sie im Startmenü die Option Ausführen. Geben Sie mmc ein. Dadurch wird die Verwaltungskonsole geöffnet.
2. Klicken Sie auf Datei \ Snap-In hinzufügen/entfernen.
3. Klicken Sie auf Hinzufügen, und wählen Sie Zertifikate aus.
4. Wählen Sie Dienstkonto aus.
5. Wählen Sie Lokaler Computer aus.
6. Wählen Sie Ihren ADAM-Instanzdienst aus.
7. Fügen Sie ein neues Zertifikat-Snap-In hinzu, aber wählen Sie diesmal Mein Benutzerkonto statt Dienstkonto aus.
8. Klicken Sie auf Schließen und dann auf OK.
9. Öffnen Sie in der Struktur Zertifikate - Aktueller Benutzer den Ordner Persönlich.
10. Wählen Sie das Zertifikat aus und kopieren Sie es unter "Zertifikate - Adam-Instanzname" an denselben Speicherort.

Führen Sie die folgenden Schritte aus, um dem Netzwerkdienstkonto die Leseberechtigung für das Serverauthentifizierungszertifikat zu gewähren:

1. Navigieren Sie zu diesem Standardverzeichnis, in dem die installierten oder importierten Zertifikate gespeichert sind: C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys.
2. Klicken Sie mit der rechten Maustaste auf das entsprechende Serverauthentifizierungszertifikat. Klicken Sie auf Properties (Eigenschaften).
3. Klicken Sie auf die Registerkarte Sicherheit. Klicken Sie auf Bearbeiten.
4. Klicken Sie im Dialogfeld Berechtigungen auf Hinzufügen.
5. Geben Sie im Dialogfeld Benutzer, Computer oder Gruppen auswählen den Befehl Netzwerkdienst ein. Klicken Sie auf OK.
6. Starten Sie Ihre ADAM-Instanz neu.

Weitere Informationen finden Sie in Anhang A: Konfigurieren der LDAP-über-SSL-Anforderungen für AD LDS.

Laden Sie anschließend das Zertifikat der Zertifizierungsstelle, die das Zertifikat ausgestellt hat, als CUCM-Verzeichnisvertrauensstellung auf den ADAM/AD LDS-Computer hoch.

Weitere Informationen finden Sie im Cisco Unified Communications Operations System Administration Guide (Cisco Unified Communications Operations System - Administrationshandbuch).

Aktivieren Sie das Kontrollkästchen, um SSL auf den Seiten LDAP-Verzeichnis und LDAP-Authentifizierung zu verwenden.

Geben Sie (in diesem Beispiel) 50001 für den LDAP-Port ein. Dies ist die SSL-Portnummer, die Sie bei der Installation der ADAM/AD LDS-Instanz angegeben haben.

Führen Sie die folgenden Schritte aus, um die SSL-Anforderung für die Umleitung von Bindungen zu deaktivieren:

1. Klicken Sie auf Start, zeigen Sie auf Verwaltung, und klicken Sie auf ADSI Bearbeiten.
2. Klicken Sie im Menü Aktion auf Verbinden mit.
3. Geben Sie im Feld Computer den Befehl localhost:5000 ein (dies ist der ADAM-Host und der Port.).
4. Klicken Sie im Abschnitt "Verbindungspunkt" auf das Optionsfeld Bekannten Namenskontext auswählen. Wählen Sie in der Dropdown-Liste Configuration (Konfiguration). Klicken Sie auf OK.
5. Navigieren Sie in der Konsolenstruktur zu diesem Containerobjekt in der Konfigurationspartition: CN=Verzeichnisdienst,CN=Windows NT,CN=Dienste.
6. Klicken Sie mit der rechten Maustaste auf CN=Directory Service, und wählen Sie Eigenschaften aus.
7. Klicken Sie unter Attributes auf msDS-Other-Settings. Klicken Sie auf Bearbeiten.
8. Klicken Sie unter Values auf RequireSecureProxyBind=1 und dann auf Remove (Entfernen).
9. Geben Sie in Value to add die Zeichenfolge RequireSecureProxyBind=0 ein, klicken Sie auf Add, und klicken Sie dann auf OK.
10. Starten Sie AD LDS neu, damit die Änderungen wirksam werden.

  

CUCM konfigurieren

Die ADAM/AD LDS-Synchronisierung und -Authentifizierung wird von CUCM Version 9.1(2) und höheren Versionen unterstützt.

1. Wählen Sie System > LDAP > LDAP System aus.
2. Wählen Sie Microsoft ADAM oder Lightweight Directory Services aus.
3. Sie können eines der folgenden LDAP-Benutzerattribute auswählen: E-Mail, Mitarbeiternummer oder Telefonnummer.

   uid wird nur mit eigenständigen ADAM/AD LDS und nicht mit AD-Multi-Forest-Unterstützung verwendet.

   

   Für den Modus "Microsoft ADAM or Lightweight Directory Services" des LDAP-Servertyps ist samAccountName derzeit nicht im Dropdown-Menü "LDAP-Attribut für Benutzer-ID" enthalten. Der Grund hierfür ist, dass es sich nicht um ein Attribut handelt, das von eigenständigen ADAM/AD LDS unterstützt wird. Wenn die sAMAccountName zugeordnete CUCM-Benutzer-ID verwendet werden muss, muss diese Vereinbarung als AD konfiguriert werden.

   

4. Konfigurieren Sie die LDAP-Synchronisierung mit den Anmeldeinformationen des in AD LDS erstellten Benutzers.

   

5. Konfigurieren Sie die LDAP-Authentifizierung mit den Anmeldeinformationen des in AD LDS erstellten Benutzers.

   

LDAP-Filter in CUCM

Die Objektklasse User wird nicht mehr verwendet. Daher muss der LDAP-Filter so geändert werden, dass userProxy anstelle von User verwendet wird.

Der Standardfilter ist:
(&(objectclass=user)(!(objectclass=Computer))(!(msDS-UserAccountDisabled=TRUE)))

Um diesen Filter zu ändern, melden Sie sich mit einem Webbrowser bei CCMAdmin an, und wählen Sie im LDAP-Konfigurationsmenü die Option Benutzerdefinierter LDAP-Filter aus.

Dieser Filter wird auf der Seite für das LDAP-Verzeichnis verwendet, während LDAP für die Synchronisierungsvereinbarung konfiguriert wird, wie in der vorherigen Abbildung gezeigt.