Cómo configurar la integración de directorios de Unified Communications Manager en un entorno de varios bosques

Actualizado:18 de abril de 2017

ID del documento:111979

Lenguaje no discriminatorio

El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.

Acerca de esta traducción

Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).

Introducción

Este documento explica cómo configurar la integración de directorios de Cisco Unified Communication Manager (CUCM) en un entorno multibosque.

Prerequisites

Requirements

Cisco recomienda que tenga:

Conocimiento de la implementación y configuración de la integración de directorios de CUCM.
Conocimiento de la implementación y configuración de Microsoft Active Directory Application Manager (ADAM) 2003 o Microsoft Lightweight Directory Services (AD LDS) 2008 o 2012.
CUCM versión 9.1(2) o posterior.
Cuando utiliza CUCM versión 9.1(2) o posterior, el filtro LDAP se puede cambiar con la interfaz web administrativa.
El número de cuentas de usuario que se van a sincronizar no debe superar las 60 000 cuentas por editor de CUCM. Cuando sea necesario sincronizar más de 60 000 cuentas, se debe utilizar el Kit de desarrollo de software (SDK) de servicios del teléfono IP para proporcionar un directorio personalizado. Consulte Cisco Developer Network para obtener más detalles. Cuando se utiliza Unified CM versión 10.0(1) o posterior, el número máximo de cuentas de usuario admitidas es 160 000.
Microsoft ADAM 2003 o Lightweight Directory Services (LDS) 2008 o 2012.
El requisito para SSL cuando utiliza la redirección de enlace no debe estar inhabilitado. Si está deshabilitada, hace que la contraseña de una entidad de seguridad de Windows pase al equipo que ejecuta ADAM sin cifrado. Por lo tanto, sólo se debe deshabilitar en un entorno de prueba.
El ID de usuario (sAMAccountName ) debe ser único en todos los bosques.
Si hay una configuración de AD LDS y si se debe utilizar el ID de usuario de CUCM asignado a sAMAccountName, ese acuerdo se debe configurar como AD.
Al configurar la relación de confianza de dominio entre el dominio de host de instancia de ADAM y el dominio de host de cuentas de usuario, el nivel funcional de dominio y el nivel funcional de bosque deben ser 2003 o posteriores.
CUCM sólo admite una partición de directorio de aplicaciones en AD LDS; actualmente no se admite la partición múltiple.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Prefacio

Microsoft AD LDS, anteriormente conocido como ADAM, se puede utilizar para proporcionar servicios de directorio para aplicaciones habilitadas para directorios. En lugar de utilizar la base de datos del Servicio de dominio de Active Directory (AD DS) de su organización para almacenar los datos de la aplicación habilitada para directorios, AD LDS se puede utilizar para almacenar los datos. AD LDS se puede usar junto con AD DS para que pueda tener una ubicación central para las cuentas de seguridad (AD DS) y otra ubicación para admitir la configuración de la aplicación y los datos del directorio (AD LDS). Con AD LDS, puede reducir la sobrecarga asociada con la replicación de AD, no es necesario extender el esquema de AD para admitir la aplicación y puede dividir la estructura de directorios de modo que el servicio de AD LDS sólo se implemente en los servidores que necesitan admitir la aplicación habilitada para directorio.

Instalar desde generación de medios: capacidad para crear medios de instalación para AD LDS con Ntdsutil.exe o Dsdbutil.exe.
Auditoría: audita los valores cambiados en el servicio de directorio.
Herramienta de montaje de base de datos: ofrece la posibilidad de ver datos en instantáneas de los archivos de base de datos.
Compatibilidad con sitios y servicios de AD: ofrece la capacidad de usar sitios y servicios de AD para administrar la replicación de los cambios de datos de AD LDS.
Lista dinámica de archivos LDIF: con esta función, puede asociar archivos LDIF personalizados con los archivos LDIF predeterminados actuales que se utilizan para configurar AD LDS en un servidor.
Consultas recursivas de atributos vinculados: las consultas LDAP pueden seguir los vínculos de atributos anidados para determinar propiedades de atributos adicionales, como la pertenencia a grupos.

Hay muchas diferencias entre ADAM y AD; ADAM solo puede ofrecer parte de las funciones que ofrece AD.

Overview

El objetivo de este documento es explicar los mecanismos que permiten a CUCM, o a cualquier otro producto de Cisco que utilice el servicio de integración de directorios (DirSync), obtener información de usuario y realizar la autenticación de diferentes dominios AD que pueden existir en distintos bosques. Para lograr este objetivo, ADAM se utiliza para sincronizar su base de datos de usuarios con diferentes controladores de dominio de AD u otros orígenes LDAP.

ADAM puede crear una base de datos de usuarios y almacenar sus detalles. La funcionalidad de inicio de sesión único (SSO) es deseable para evitar que los usuarios finales tengan que mantener diferentes conjuntos de credenciales en diferentes sistemas; por lo tanto, se utiliza la redirección de enlace ADAM. La redirección de enlaces ADAM es una función especial para aplicaciones que soportan el enlace LDAP como mecanismo de autenticación. En algunos casos, el esquema especial, o contexto de nomenclatura, puede obligarle a evitar AD, lo que convierte a ADAM en una opción necesaria. Esto evita que los usuarios tengan que recordar varias contraseñas debido al uso de un directorio adicional con su propia ID de usuario y contraseña.

Un objeto de proxy de usuario especial en ADAM se asigna a una cuenta de usuario de AD normal. El proxy de usuario no tiene una contraseña real almacenada en el propio objeto ADAM. Cuando la aplicación realiza su operación de enlace normal, comprueba el ID localmente, pero compara la contraseña con AD en las portadas, como se muestra en esta figura. No es necesario que la aplicación sea consciente de esta interacción AD.

La redirección de enlaces ADAM sólo se debe utilizar en casos especiales en los que una aplicación puede realizar un enlace LDAP simple a ADAM. Sin embargo, la aplicación aún necesita asociar el usuario con una entidad de seguridad en AD.

La redirección de enlaces de ADAM se produce cuando se intenta un enlace a ADAM con el uso de un objeto especial denominado objeto proxy. Un objeto proxy es un objeto de ADAM que representa una entidad de seguridad en AD. Cada objeto proxy de ADAM contiene el SID de un usuario en AD. Cuando un usuario intenta enlazar a un objeto proxy, ADAM toma el SID almacenado en el objeto proxy, junto con la contraseña que se suministra en tiempo de enlace, y presenta el SID y la contraseña a AD para la autenticación. Un objeto proxy de ADAM no almacena una contraseña y los usuarios no pueden cambiar sus contraseñas de AD mediante objetos proxy de ADAM.

La contraseña se presenta en texto sin formato a ADAM porque la solicitud de enlace inicial es una solicitud de enlace LDAP simple. Por este motivo, se requiere una conexión SSL de forma predeterminada entre el cliente de directorio y ADAM. ADAM utiliza las API de seguridad de Windows para presentar la contraseña a AD.

Puede obtener más información sobre la redirección de enlaces en Introducción a la redirección de enlaces ADAM .

Escenario de compatibilidad con varios bosques de Active Directory en CUCM

Para explicar el método, imagine un escenario en el que Cisco Systems (Forest 2) ha adquirido otras dos empresas: Tandberg (Forest 3) y Webex (Forest 1). En la fase de migración, integre la estructura AD de cada empresa para permitir la implementación de un único clúster de Cisco Unified Communications.

En el ejemplo, la empresa Cisco (Bosque 2) tiene dos dominios, el dominio raíz del bosque denominado CISCO (dns cisco.com) y un subdominio denominado EMERG (dns emerg.cisco.com). Ambos dominios tienen un controlador de dominio que también es un catálogo global y cada uno está alojado en Windows 2008 Server SP2.

La empresa Tandberg (Bosque 3) tiene un único dominio con un controlador de dominio que también es un catálogo global y está alojado en Windows 2008 Server SP2.

La empresa Webex (Bosque 1) tiene un único dominio con un controlador de dominio que también es un catálogo global y está alojado en Windows 2003 R2 Server SP2.

AD LDS está instalado en el controlador de dominio para el dominio CISCO o puede ser un equipo independiente; de hecho, podría estar en cualquier parte de uno de los tres bosques. La infraestructura DNS debe estar en su lugar de modo que los dominios de un bosque puedan comunicarse con los dominios de otros bosques y establecer las relaciones de confianza y validaciones apropiadas entre los bosques.

Relación de confianza de dominio

Para que la autenticación de los usuarios funcione, debe tener una relación de confianza entre el dominio en el que se aloja la instancia de ADAM y el resto de dominios que alojan las cuentas de usuario. Esta confianza puede ser unidireccional si es necesario (confianza de salida del dominio que aloja la instancia de ADAM en los dominios que alojan las cuentas de usuario). De esta manera, la instancia de ADAM podrá reenviar las solicitudes de autenticación a los DC en esos dominios de cuenta.

Además, deberá tener una cuenta de usuario de ambos dominios de cuenta que tenga acceso a todos los atributos de todas las cuentas de usuario del dominio. ADAMSync utiliza esta cuenta para sincronizar los usuarios del dominio de cuenta con ADAM.

Por último, pero no por ello menos importante, la máquina que ejecuta ADAM debe ser capaz de encontrar todos los dominios (DNS), encontrar controladores de dominio en ambos dominios (con DNS) y conectarse a estos controladores de dominio.

Complete estos pasos para configurar las relaciones de interconfianza:

Abra Dominios y confianzas de Active Directory, haga clic con el botón secundario en el dominio que hospeda AD LDS y elija Propiedades.
Haga clic en la pestaña Confianzas y haga clic en Nueva confianza.
Siga el asistente e introduzca el nombre del dominio con el que desea establecer la confianza. Haga clic en Next (Siguiente).
Haga clic en el botón de opción Confianza de bosque. Haga clic en Next (Siguiente).
En la dirección de la confianza solo "unidireccional: saliente' es obligatorio. Haga clic en One-way (Unidireccional): botón de radio saliente. Haga clic en Next (Siguiente).
Permitir que el asistente configure ambos dominios. Haga clic en el botón de opción Both this domain and the specified domain. Haga clic en Next (Siguiente).
Introduzca las credenciales para el otro dominio. Haga clic en Next (Siguiente).
Haga clic en el botón de opción Autenticación en todo el bosque. Haga clic en Next (Siguiente).
Haga clic en el botón de opción Sí, confirmar la confianza saliente. Haga clic en Next (Siguiente).

Este es el resultado que recibirá después de ejecutar este proceso para los dominios Tandberg y Webex. El dominio emergente está allí de forma predeterminada, ya que es un dominio secundario. Click OK.

Instalación de AD LDS

Instalación de AD LDS en 2008

Abra el Administrador del servidor, haga clic en Roles, y haga clic en Agregar roles.
Marque la casilla de verificación Active Directory Lightweight Directory Services. Haga clic en Next (Siguiente).
Aparecerá la ventana Progreso de la instalación de los servicios de AD LDS.

Instalación de AD LDS en 2012

Complete estos pasos para configurar AD LDS en 2012:

Abra el Administrador del servidor y elija Agregar funciones y características. Haga clic en Siguiente y haga clic en Tipo de Instalación para ir a la página Tipo de Instalación.
Elija las opciones predeterminadas y haga clic en Next.
Haga clic en el botón de opción Select a server from the server pool para seleccionar el servidor predeterminado. Haga clic en Next (Siguiente).
Marque la casilla de verificación Active Directory Lightweight Directory Services y haga clic en Agregar características. Continúe con la instalación.
Haga clic en Siguiente en las páginas siguientes.
Haga clic en la casilla de verificación Reiniciar el servidor de destino automáticamente si es necesario y haga clic en Instalar para instalar la función.
Una vez que la instalación se haya completado correctamente, haga clic en Cerrar para cerrar el asistente.

Instalación de la instancia para compatibilidad con varios bosques

AD LDS puede ejecutar diferentes instancias de los servicios con diferentes puertos, lo que permite ejecutar diferentes "aplicaciones" de directorio de usuario en el mismo equipo. De forma predeterminada, AD LDS elige los puertos 389/LDAP y 636/LDAPS, pero si el sistema ya tiene algún tipo de servicio LDAP que los ejecute, usará los puertos 50000/LDAP y 50001/LDAPS. Cada instancia tendrá un par de puertos que se incrementarán en función de los números anteriores utilizados.

En algunos casos, debido a un error de funcionamiento de Microsoft, los puertos ya están siendo utilizados por el servidor DNS de Microsoft y el asistente para instancias genera un error (que no se explica por sí mismo). Este error se puede corregir al reservar los puertos en la pila TCP/IP. Si encuentra este problema, vea Error al iniciar el servicio de AD LDS "La instalación no pudo iniciar el servicio..." + código de error 8007041d.

Apoyo forestal múltiple en 2008

En el administrador del servidor, elija Roles y luego Active Directory Lightweight Directory Services. Haga clic en Haga clic aquí para crear una instancia de AD LDS.
Haga clic en el botón de opción Una instancia única. Haga clic en Next (Siguiente).
En el campo Nombre de instancia, introduzca el nombre de la instancia. Es MultiForest en este ejemplo. Haga clic en Next (Siguiente).
Introduzca el número de puerto LDAP y el número de puerto SSL seleccionados o permita que el sistema los elija automáticamente. Haga clic en Next (Siguiente).
Nota: CUCM sólo admite una partición de directorio de aplicaciones; actualmente no se admite la partición múltiple.

Consulte el paso 5: Practique Trabajando con particiones de directorio de aplicaciones para obtener información sobre cómo crear una partición de directorio de aplicaciones. El proceso para crear una partición de directorio para cada dominio que desea sincronizar con trabajos basados en referencia LDAP (RFC 2251) y requiere que el cliente LDAP (CUCM, CUP, etc.) admita referencias.

Haga clic en el botón de opción Sí, crear una partición de directorio de aplicaciones. Introduzca el nombre de la partición en el campo Nombre de partición de la instancia. No proporcione una cn como en el ejemplo del asistente, ya que la mayoría de las veces se crea un error en los esquemas. En este escenario, se especificó la misma partición que el controlador de dominio de AD que hospeda AD LDS (dc=Cisco,dc=com). Haga clic en Next (Siguiente).
Haga clic en el botón de opción Esta cuenta. Ingrese un nombre de usuario y contraseña para iniciar el servidor. Haga clic en Next (Siguiente).
Haga clic en el botón de opción Usuario conectado actualmente. Introduzca el nombre del usuario con permisos administrativos. Haga clic en Next (Siguiente).
Importe los archivos LDIF predeterminados resaltados para generar el esquema. Haga clic en Next (Siguiente).

Nota: Si ADAM está instalado en un servidor Windows 2003, la pantalla anterior sólo tendrá cuatro opciones: MS-AZMan.LDF, MS-InetOrgPerson.LDF, MS-User.LDF y MS-UserProxy.LDF. De estas cuatro, marque solamente las casillas de verificación para MS-User.LDF y MS-InetOrgPerson.LDF.

Apoyo forestal múltiple en 2012

Abra las herramientas administrativas y haga doble clic en Asistente de configuración de Active Directory Lightweight Directory Services.
Haga clic en Next (Siguiente).
Marque el botón de opción Una instancia única. Haga clic en Next (Siguiente).
Introduzca un nombre y una descripción de instancia para la instancia. Aquí se introduce el nombre "MultiForest". Haga clic en Next (Siguiente).
Introduzca los números de puerto LDAP y SSL. Los puertos preferidos son 389 y 636, respectivamente. Si el servidor de dominio es un servidor secundario y el dominio principal utiliza estos puertos, se rellenarán números de puerto diferentes de forma predeterminada. En ese caso, no los cambie y continúe con la instalación. Haga clic en Next (Siguiente).
Aquí, de forma predeterminada, se han rellenado otros números de puerto. Haga clic en Next (Siguiente).
Nota: CUCM sólo admite una partición de directorio de aplicaciones; actualmente no se admite la partición múltiple.

Consulte el paso 5: Practique Trabajando con particiones de directorio de aplicaciones para obtener información sobre cómo crear una partición de directorio de aplicaciones. El proceso para crear una partición de directorio para cada dominio que desea sincronizar con trabajos basados en referencia LDAP (RFC 2251) y requiere que el cliente LDAP (CUCM, CUP, etc.) admita referencias. Consulte Soporte técnico de Microsoft para obtener más información.

Haga clic en el botón de opción Sí, crear una partición de directorio de aplicaciones. Introduzca el nombre de la partición. Cree la partición para LDS como cisco.com. Se puede proporcionar cualquier valor adecuado. Haga clic en Next (Siguiente).
Seleccione las opciones predeterminadas en las páginas siguientes y continúe.
Marque las casillas de verificación MS-InetOrgPerson.LDF, MS-User.LDF, MS-UserProxy.LDF y MS-UserProxyFull.LDF. Haga clic en Next (Siguiente).
Haga clic en Siguiente para iniciar la instalación.
La instalación se ha completado correctamente. Haga clic en Finish (Finalizar).

Configurar ADAM Schema Analyzer

Si los Id. de usuario (sAMAccountNames) son únicos en diferentes dominios y no hay varios usuarios con el mismo Id. en diferentes dominios de bosques diferentes, los usuarios se pueden sincronizar desde AD a los respectivos bosques en AD LDS, todos los cuales pueden existir en una sola partición en AD LDS en una configuración de varios bosques. Por ejemplo, considere la figura en la sección Escenario de soporte de bosque múltiple de Active Directory en CUCM, y si existe un ID de usuario "alice" en uno solo de los tres dominios, la configuración en este escenario sería la siguiente:

DN DE BOSQUE DE PARTICIÓN

P1 cisco.com DC=cisco,DC=com

webex.com DC=webex, DC=cisco,DC=com

tandberg.com DC=Tandberg, DC=cisco,DC=com

Para configurar CUCM con AD LDS, el ID de usuario (sAMAccountName) debe ser único en todos los bosques. Actualmente, CUCM sólo admite una partición en AD LDS.

Si los sAMAccountNames no son únicos, considere la posibilidad de utilizar cualquiera de estos atributos si identifican de forma exclusiva una cuenta de usuario: email, phoneNumber, employeeNumber, uid o userPrincipalName.

Copie el esquema del dominio a ADAM.
Abra el analizador de esquemas de AD DS/LDS (ADSchemaAnalyzer.exe) en el directorio c:\windows\adam.
Elija Archivo > Cargar esquema de destino.
Proporcione las credenciales del controlador de dominio de AD de origen desde el que desea importar. Click OK.
Elija Archivo > Cargar esquema base.
Especifique el AD LDS al que desea conectarse y extienda el esquema. Click OK.
Elija Esquema > Marcar todos los elementos no presentes como incluidos.
Elija File > Create LDIF file. En este ejemplo, el archivo creado mediante este paso es diff-schema.ldf. Para simplificar el proceso, el archivo debe crearse en c:\windows\adam.

Una opción disponible para ayudar a organizar los archivos que se deben generar es crear un directorio independiente para permitir que estos archivos se separen del directorio principal c:\windows\adam. Abra un símbolo del sistema y cree un directorio de registro en c:\windows\adam.
```
cd \windows\adam
mkdir logs
```
Importe el esquema ldif, creado con el Analizador de esquema ADSchema, a AD LDS.
```
ldifde -i -s localhost:50000 -c CN=Configuration,DC=X
 #ConfigurationNamingContext -f diff-schema.ldf -j c:\windows\adam\logs
```
Consulte Uso de LDIFDE para importar y exportar objetos de directorio a Active Directory para obtener opciones ldifde y formatos de comando adicionales.

Extender el esquema de AD LDS con los objetos de proxy de usuario

Se debe crear el objeto para la autenticación de proxy y no se utilizará la clase de objeto 'user'. La clase de objeto que se crea, userProxy, es la que permite la redirección de enlace. Los detalles de la clase de objeto se deben crear en un archivo ldif. El archivo es una creación de un nuevo archivo, que en este ejemplo es MS-UserProxy-Cisco.ldf. Este nuevo archivo se genera a partir del MS-UserProxy.ldf original y se edita, utilice un programa de edición de texto, para tener este contenido:

#==================================================================
# @@UI-Description: AD LDS simple userProxy class.
#
# This file contains user extensions for default ADAM schema.
# It should be imported with the following command:
#   ldifde -i -f MS-UserProxy.ldf -s server:port -b username domain password -k -j . -c 
"CN=Schema,CN=Configuration,DC=X" #schemaNamingContext
#
#==================================================================

dn: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: top
objectClass: classSchema
cn: User-Proxy
subClassOf: top
governsID: 1.2.840.113556.1.5.246
schemaIDGUID:: bxjWYLbzmEiwrWU1r8B2IA==
rDNAttID: cn
showInAdvancedViewOnly: TRUE
adminDisplayName: User-Proxy
adminDescription: Sample class for bind proxy implementation.
objectClassCategory: 1
lDAPDisplayName: userProxy
systemOnly: FALSE
possSuperiors: domainDNS
possSuperiors: organizationalUnit
possSuperiors: container
possSuperiors: organization
defaultSecurityDescriptor:
 D:(OA;;CR;ab721a53-1e2f-11d0-9819-00aa0040529b;;PS)S:
defaultHidingValue: TRUE
defaultObjectCategory: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
systemAuxiliaryClass: msDS-BindProxy
systemMayContain: userPrincipalName
systemMayContain: givenName
systemMayContain: middleName
systemMayContain: sn
systemMayContain: manager
systemMayContain: department
systemMayContain: telephoneNumber
systemMayContain: mail
systemMayContain: title
systemMayContain: homephone
systemMayContain: mobile
systemMayContain: pager
systemMayContain: msDS-UserAccountDisabled
systemMayContain: samAccountName
systemMayContain: employeeNumber
systemMayContain: initials
systemMayContain: ipPhone
systemMayContain: displayName 
systemMayContain: msRTCSIP-primaryuseraddress
systemMayContain: uid

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

Guarde el archivo MS-UserProxy-Cisco.ldf en C:\windows\adam.

Importar la nueva clase de objeto a AD LDS.

ldifde -i -s localhost:50000 -c CN=Configuration,DC=X #ConfigurationNamingContext -f
 MS-UserProxy-Cisco.ldf -j c:\windows\adam\logs

Importar los usuarios de AD DC a AD LDS

Ahora es necesario importar el usuario de cada dominio a AD LDS. Este paso debe repetirse para cada dominio que necesite sincronizarse. En este ejemplo sólo se muestra el proceso en uno de los dominios. Comience con el archivo MS-AdamSyncConf.xml original y cree un archivo XML para cada dominio que necesite sincronizarse y modifique el archivo con los detalles específicos de cada dominio para que tenga este contenido:

<?xml version="1.0"?>
<doc> 
 <configuration>  
  <description>Adam-Sync1</description>  
  <security-mode>object</security-mode>         
  <source-ad-name>ad2k8-1</source-ad-name>  
  <source-ad-partition>dc=cisco,dc=com</source-ad-partition>
  <source-ad-account></source-ad-account>               
  <account-domain></account-domain>
  <target-dn>dc=cisco,dc=com</target-dn>  
  <query>   
   <base-dn>dc=cisco,dc=com</base-dn>
    <object-filter>
(&#124;(&amp;(!cn=Administrator)(!cn=Guest) (!cn=ASPNET)
(!cn=krbtgt)(sAMAccountType=805306368))(&amp;(objectClass=user)(isDeleted=TRUE)))
    </object-filter>
   <attributes>
    <include>objectSID</include>
    <include>mail</include> 
    <include>userPrincipalName</include>
    <include>middleName</include> 
    <include>manager</include> 
    <include>givenName</include> 
    <include>sn</include> 
    <include>department</include> 
    <include>telephoneNumber</include> 
    <include>title</include> 
    <include>homephone</include> 
    <include>mobile</include> 
    <include>pager</include> 
    <include>msDS-UserAccountDisabled</include>
    <include>samAccountName</include>
    <include>employeeNumber</include>
    <include>initials</include>
    <include>ipPhone</include>
    <include> displayName</include> 
    <include> msRTCSIP-primaryuseraddress</include>
    <include>uid</include>
    <exclude></exclude>
   </attributes>  
  </query>
 <user-proxy>
    <source-object-class>user</source-object-class>
    <target-object-class>userProxy</target-object-class>
  </user-proxy>  
  <schedule>   
   <aging>    
    <frequency>0</frequency>    
    <num-objects>0</num-objects>   
   </aging>   
   <schtasks-cmd></schtasks-cmd>  
  </schedule> 
 </configuration> 
 <synchronizer-state>  
  <dirsync-cookie></dirsync-cookie>  
  <status></status>  
  <authoritative-adam-instance></authoritative-adam-instance>
  <configuration-file-guid></configuration-file-guid>  
  <last-sync-attempt-time></last-sync-attempt-time>  
  <last-sync-success-time></last-sync-success-time>  
  <last-sync-error-time></last-sync-error-time>  
  <last-sync-error-string></last-sync-error-string>  
  <consecutive-sync-failures></consecutive-sync-failures>  
  <user-credentials></user-credentials>  
  <runs-since-last-object-update></runs-since-last-object-update>
  <runs-since-last-full-sync></runs-since-last-full-sync> 
 </synchronizer-state>
</doc>

En este archivo, estas etiquetas deben ser reemplazadas para que coincidan con el dominio:

<source-ad-name>: utilice el nombre de host del dominio.
<source-ad-partition>: utilice la partición raíz del DC de AD de origen desde el que desea importar (por ejemplo, dc=Cisco, dc=com o dc=Tandberg, dc=com ).
<base-dn> - Elija el contenedor desde el cual importar. Por ejemplo, si se requieren todos los usuarios del dominio, debe ser igual que <source-ad-partition>, pero si los usuarios son de una unidad organizativa específica (como OU financiera), debe ser similar a OU=Finance, DC=Cisco, DC=com.

Refiérase a Sintaxis de Filtro de Búsqueda para obtener más información sobre cómo crear un <object-filter>.

Guarde el archivo XML recién creado en C:\windows\adam.

Abra una ventana de comandos, cd \windows\adam.

Ingrese el comando ADAMSync /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log.

Compruebe que el archivo AdamSyncConf1.xml es el archivo XML recién creado.

Sincronice los usuarios con el comando ADAMSync /sync localhost:50000 "dc=cisco,dc=com" /log c:\windows\adam\logs\sync.log.

El resultado debe ser similar al siguiente:

Para completar una sincronización automática de AD a ADAM , use el Programador de tareas en Windows.

Cree un archivo .bat con este contenido:

"C:\Windows\ADAM\ADAMSync" /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log

"C:\Windows\ADAM\ADAMSync" /sync localhost:50000 "dc=cisco,dc=com" /log c:\windows\adam\logs\syn.log

Programe la tarea para ejecutar el archivo .bat como y cuando sea necesario. Esto se ocupa de las adiciones, modificaciones y eliminaciones que se producen en AD para que se reflejen también en ADAM.

Puede crear otro archivo .bat y programarlo para completar una sincronización automática desde el otro bosque.

Crear el usuario en AD LDS para la sincronización y autenticación de CUCM

Abra ADSI Edit desde las herramientas de administración del menú Inicio.
Elija Archivo > Conexión (o Acción > Conectar a).
Conéctese al DN base del árbol de AD LDS (DC=Cisco,DC=com) y especifique el host y el puerto donde se aloja (localhost:50000). Click OK.
Haga clic con el botón derecho en el DN base y elija Nuevo > Objeto.
Elija user. Haga clic en Next (Siguiente).
En el campo Valor, introduzca el nombre del objeto seleccionado. En este ejemplo "root" es el nombre elegido (cualquier nombre podría ser elegido aquí). Haga clic en Next (Siguiente).
Para proporcionar una contraseña al nuevo usuario, haga clic con el botón derecho en el usuario y elija Restablecer contraseña.
El nuevo usuario está desactivado de forma predeterminada. Para habilitar el nuevo usuario, haga clic con el botón derecho en el usuario y elija Properties.
Busque el atributo msDS-UserAccountDisabled y haga clic en Edit.
Haga clic en el botón de opción False para habilitar la cuenta de usuario. Click OK.
Haga clic en el botón de opción True para asegurarse de que la contraseña nunca caducará. Click OK.
El nuevo usuario debe agregarse a un grupo que tenga permiso de lectura en AD LDS, que en este ejemplo se eligió como Administradores. Vaya a CN=Roles > CN=Administrators. Haga clic con el botón derecho del ratón en CN=Administrators y elija Properties.
Elija el miembro del atributo y haga clic en Editar.
Introduzca el nuevo DN creado anteriormente, cn=root,dc=Cisco,dc=com, para este grupo. Click OK.
Elija Update Schema Now y reinicie AD LDS.

Configurar redirección de enlace

De forma predeterminada, el enlace a ADAM con redirección de enlace requiere una conexión SSL. SSL requiere la instalación y el uso de certificados en el equipo que ejecuta ADAM y en el equipo que se conecta a ADAM como cliente. Si los certificados no están instalados en el entorno de prueba de ADAM, puede deshabilitar el requisito de SSL como alternativa.

SSL está activado de forma predeterminada. Para que el protocolo LDAPS funcione en ADAM/LDS, deberá generar un certificado.

En este ejemplo, se utiliza Microsoft Certification Authority Server para emitir el certificado. Para solicitar un certificado, vaya a la página web de Microsoft CA - http://<MSFT CA hostname>/certsrv y complete estos pasos:

Haga clic en Solicitar un certificado.
Haga clic en Solicitud de certificado avanzada.
Haga clic en Crear y enviar una solicitud a esta CA.
En el cuadro de texto Nombre, introduzca el nombre DNS completo del servidor de ADAM/AD LDS.
Asegúrese de que el tipo de certificado es el certificado de autenticación del servidor.
Para el formato, elija PCKS10.
Elija Mark Keys as exportable.
Si lo desea, rellene la otra información.
En el cuadro de texto Nombre descriptivo, introduzca el nombre dns completo del servidor de ADAM/AD LDS.
Haga clic en Submit (Enviar).

Vuelva a la interfaz de la entidad emisora de certificados y haga clic en la carpeta Certificados pendientes. Haga clic con el botón secundario del mouse (ratón) en la solicitud de certificado realizada por el equipo ADAM/AD-LDS y emita el certificado.

El certificado se ha creado y reside en la carpeta "Certificados emitidos". A continuación, debe descargar e instalar el certificado:

Abra http://<MSFT CA hostname>/certsrv.
Haga clic en Ver el estado de una solicitud de certificado pendiente.
Haga clic en la solicitud de certificado.
Haga clic en el certificado para instalarlo.

Para permitir que el servicio ADAM utilice el certificado, debe colocar el certificado en el almacén personal del servicio ADAM:

En el menú Inicio, elija Ejecutar. Escriba mmc. Se abrirá la consola de gestión.
Haga clic en Archivo \ Agregar o quitar complemento.
Haga clic en Agregar y elija Certificados.
Elija Cuenta de servicio.
Elija Equipo local.
Elija su servicio de instancia de ADAM.
Agregue un nuevo complemento Certificado, pero esta vez elija Mi cuenta de usuario en lugar de Cuenta de servicio.
Haga clic en Cerrar y haga clic en Aceptar.
En el árbol de usuarios actual de Certificados, abra la carpeta Personal.
Seleccione el certificado y cópielo en la misma ubicación en "Certificates - adam instance name".

Para conceder permiso de lectura en el certificado de autenticación del servidor a la cuenta de servicio de red, siga estos pasos:

Vaya a este directorio predeterminado donde se almacenan los certificados instalados o importados: C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys.
Haga clic con el botón secundario en el certificado de autenticación de servidor correspondiente. Haga clic en Properties (Propiedades).
Haga clic en la ficha Security (Seguridad). Haga clic en Editar.
En el cuadro de diálogo Permisos, haga clic en Agregar.
En el cuadro de diálogo Seleccionar usuarios, equipos o grupos, escriba Servicio de red. Click OK.
Reinicie la instancia de ADAM.

Puede encontrar más información en el Apéndice A: Configuración de requisitos de LDAP sobre SSL para AD LDS.

A continuación, cargue el certificado de la CA que emitió el certificado en el equipo de ADAM/AD LDS como una confianza de directorio de CUCM.

Consulte la Guía de administración del sistema de operaciones de Cisco Unified Communications para obtener más detalles.

Seleccione la casilla de verificación para utilizar SSL en la página Directorio LDAP y la página Autenticación LDAP.

Introduzca 50001 (en este ejemplo) para el puerto LDAP, que es el número de puerto SSL proporcionado al instalar la instancia de ADAM/AD LDS.

Para inhabilitar el requisito SSL para la redirección de enlaces, complete estos pasos:

Haga clic en Inicio, seleccione Herramientas administrativas y haga clic en ADSI Edit.
En el menú Acción, elija Conectar a.
En el campo Computer (Equipo), introduzca localhost:5000 (éste es elhost y el puerto ADAM).
En la sección Punto de conexión, haga clic en el botón de opción Select a well-known Naming Context. En la lista desplegable, seleccione Configuración. Click OK.
En el árbol de la consola, busque este objeto contenedor en la partición de configuración: CN=Servicio de directorio,CN=Windows NT,CN=Servicios.
Haga clic con el botón derecho del mouse en CN=Directory Service y elija Properties.
En Atributos, haga clic en msDS-Other-Settings. Haga clic en Editar.
En Valores, haga clic en RequireSecureProxyBind=1 y, a continuación, haga clic en Quitar.
En Valor para agregar, escriba RequireSecureProxyBind=0, haga clic en Agregar y, a continuación, haga clic en Aceptar.
Reinicie AD LDS para que los cambios surtan efecto.

Configuración de CUCM

La sincronización y la autenticación de ADAM/AD LDS se admiten en CUCM versión 9.1(2) y posteriores.

Elija System > LDAP > LDAP System.
Seleccione Microsoft ADAM o Lightweight Directory Services.
Puede elegir cualquiera de estos atributos de ID de usuario LDAP: correo, número de empleado o número de teléfono.
uid solo se utiliza con ADAM/AD LDS independiente y no con compatibilidad con varios bosques de AD.

Actualmente, para el tipo de servidor LDAP "Microsoft ADAM or Lightweight Directory Services" mode, samAccountName no está incluido en el atributo LDAP para ID de usuario desplegable . El motivo es que no es un atributo compatible con ADAM/AD LDS independiente. Si es necesario utilizar el ID de usuario de CUCM asignado a sAMAccountName, ese acuerdo debe configurarse como AD.
Configure la sincronización LDAP con las credenciales del usuario creado en AD LDS.
Configure la autenticación LDAP con las credenciales del usuario creado en AD LDS.

Filtros LDAP en CUCM

La clase de objeto User ya no se utiliza. Por lo tanto, el filtro LDAP debe cambiarse para utilizar userProxy en lugar de User.

El filtro predeterminado es:
(&(objectclass=user)(!(objectclass=Computer))(!(msDS-UserAccountDisabled=TRUE)))

Para modificar este filtro, inicie sesión en CCMAdmin con un navegador web y elija la opción LDAP Custom Filter (Filtro personalizado de LDAP) del menú de configuración de LDAP.

Este filtro se utiliza en la página de directorio LDAP mientras se configura LDAP para el acuerdo de sincronización, como se muestra en la figura anterior.

Con la colaboración de ingenieros de Cisco