Introduzione
Questo documento descrive il supporto di domini multi-AD in Cisco Umbrella.
Prerequisiti
Requisiti
Nessun requisito specifico previsto per questo documento.
Componenti usati
Le informazioni fornite in questo documento si basano su Cisco Umbrella.
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Panoramica
Il supporto per più domini Active Directory nell'organizzazione Umbrella è ora abilitato per impostazione predefinita.
Se sono già stati incorporati più domini AD in organizzazioni Umbrella separate, queste organizzazioni possono essere consolidate in un'unica organizzazione Umbrella con supporto per più domini AD. Fare riferimento a questo articolo per ulteriori dettagli.
Prerequisiti per il supporto di domini Multi-AD
- Un account utente con nome di accesso OpenDNS_Connector deve essere creato in ogni dominio e deve essere conforme ai requisiti specificati nella documentazione di Umbrella. È consigliabile mantenere la stessa password per questo account nei domini AD.
- Per l'installazione con appliance virtuali, è necessario un connettore AD per ogni dominio AD in un sito Umbrella, con un secondo connettore opzionale per la ridondanza, se necessario.
- Se la distribuzione include solo client mobili o AnyConnect, un singolo connettore AD multidominio* può sincronizzare utenti/gruppi AD da più domini. È quindi necessario creare l'account OpenDNS_Connector con la stessa password in ogni dominio. Questa funzionalità non è abilitata per impostazione predefinita ed è necessario generare un ticket di supporto per abilitarla.
- AD Connector deve eseguire la versione 1.2.3 o successiva.
- Tutti gli altri prerequisiti specificati nella documentazione di Umbrella sono applicabili anche per i domini con più Active Directory.
Limitazioni del supporto di domini AD multipli (installazioni di appliance virtuali)
- L'autenticazione tra domini non è attualmente riconosciuta dal connettore AD. Se un utente AD esegue l'autenticazione in un controller di dominio locale appartenente a un altro dominio AD, il connettore AD non può recuperare il mapping utente-IP di AD per tale utente. Il dispositivo virtuale non è in grado di associare un'identità utente all'IP. Di conseguenza, non è possibile applicare criteri basati su Active Directory per l'utente. La soluzione alternativa consiste nell'includere i controller di dominio di entrambi i domini di Active Directory nello stesso sito Umbrella a condizione che non vengano influenzati i criteri per i siti Umbrella (specificati nella documentazione Umbrella).
- I criteri ombrello non si applicano ai gruppi AD con membri tra domini. Per creare un criterio applicabile agli utenti di più domini, è necessario aggiungere al criterio i gruppi/gli utenti rilevanti di ogni dominio.
Limitazioni del supporto di domini Multi-AD (distribuzioni client in roaming)
- Le distribuzioni di client e AnyConnect in roaming non sono interessate dalle limitazioni dell'autenticazione tra domini.
- Se la funzionalità Multi-Domain AD Connector è abilitata, Umbrella è in grado di supportare i gruppi AD con membri di gruppi interdominio. Questo deve essere esplicitamente richiesto alzando un ticket di supporto. La stessa funzionalità consente inoltre a un singolo connettore di sincronizzare le identità AD da più domini AD.
Feedback