Come configurare l'integrazione delle directory di Unified Communications Manager in un ambiente con più foreste

Introduzione

In questo documento viene descritto come configurare l'integrazione delle directory di Cisco Unified Communications Manager (CUCM) in un ambiente con più foreste.   

Prerequisiti

Requisiti

Cisco raccomanda:

1. Conoscenza dell'installazione e della configurazione dell'integrazione della directory CUCM.
2. Conoscenza della distribuzione e della configurazione di Microsoft Active Directory Application Manager (ADAM) 2003 o Microsoft Lightweight Directory Services (AD LDS) 2008 o 2012.
3. CUCM release 9.1(2) o successive.
4. Quando si utilizza CUCM release 9.1(2) o successive, il filtro LDAP può essere modificato con l'interfaccia Web di amministrazione. 
5. Il numero di account utente da sincronizzare non deve superare i 60.000 account per ogni server di pubblicazione CUCM. Quando è necessario sincronizzare più di 60.000 account, è necessario utilizzare l'IP Phone Services Software Development Kit (SDK) per fornire una directory personalizzata. Per ulteriori informazioni, vedere Cisco Developer Network. Quando si utilizza Unified CM release 10.0(1) o successive, il numero massimo di account utente supportati è 160.000.
6. Microsoft ADAM 2003 o Lightweight Directory Services (LDS) 2008 o 2012.
7. Il requisito per SSL quando si utilizza il reindirizzamento del binding non deve essere disabilitato. Se è disattivata, la password di un'entità di sicurezza di Windows viene passata al computer che esegue ADAM senza crittografia. Pertanto, deve essere disattivato solo in un ambiente di test.
8. L'ID utente (sAMAccountName ) deve essere univoco in tutte le foreste.
9. Se è presente un'installazione di AD LDS e è necessario utilizzare l'ID utente CUCM mappato a sAMAccountName, è necessario configurare tale accordo come AD.
10. Quando si configura la relazione di trust tra il dominio host dell'istanza ADAM e il dominio host degli account utente, il livello di funzionalità del dominio e il livello di funzionalità della foresta devono essere impostati su 2003 o versioni successive.
11. CUCM supporta solo una singola partizione di directory applicativa in AD LDS. Attualmente non sono supportate più partizioni.

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prefazione

È possibile utilizzare Microsoft AD LDS, precedentemente noto come ADAM, per fornire servizi directory per applicazioni abilitate all'uso di directory. Anziché utilizzare il database di Servizi di dominio Active Directory dell'organizzazione per archiviare i dati dell'applicazione abilitata per l'utilizzo di directory, è possibile utilizzare AD LDS per archiviare i dati. È possibile utilizzare AD LDS insieme a Servizi di dominio Active Directory in modo da disporre di una posizione centrale per gli account di protezione (Servizi di dominio Active Directory) e di un'altra posizione per il supporto della configurazione dell'applicazione e dei dati di directory (AD LDS). Con AD LDS è possibile ridurre il sovraccarico associato alla replica di AD, non è necessario estendere lo schema di AD per supportare l'applicazione ed è possibile partizionare la struttura di directory in modo che il servizio AD LDS venga distribuito solo nei server che devono supportare l'applicazione abilitata per la directory.

• Installazione dalla generazione di supporti: possibilità di creare supporti di installazione per AD LDS con Ntdsutil.exe o Dsdbutil.exe.
• Controllo: controlla i valori modificati all'interno del servizio directory.
• Strumento di montaggio del database: consente di visualizzare i dati all'interno delle istantanee dei file di database.
• Supporto di siti e servizi AD - Consente di utilizzare i siti e i servizi AD per gestire la replica delle modifiche ai dati di AD LDS.
• Elenco dinamico di file LDIF: questa funzionalità consente di associare file LDIF personalizzati ai file LDIF predefiniti utilizzati per l'installazione di AD LDS in un server.
• Query ricorsive con attributi collegati: le query LDAP possono seguire i collegamenti agli attributi nidificati per determinare proprietà di attributo aggiuntive, ad esempio l'appartenenza ai gruppi.

Esistono molte differenze tra ADAM e AD, ADAM è in grado di fornire solo una parte delle funzioni fornite da AD.

Panoramica

L'obiettivo di questo documento è spiegare i meccanismi che consentono a CUCM o a qualsiasi altro prodotto Cisco che utilizza Directory Integration Service (DirSync) di ottenere informazioni utente ed eseguire l'autenticazione da diversi domini AD che possono esistere in diverse foreste. Per raggiungere questo obiettivo, ADAM viene utilizzato per sincronizzare il proprio database utenti con diversi controller di dominio Active Directory o altre origini LDAP.

ADAM può creare un database di utenti e archiviarne i dettagli. Si desidera utilizzare la funzionalità Single Sign-On (SSO) per evitare che gli utenti finali debbano mantenere set di credenziali diversi in sistemi diversi; pertanto, viene utilizzato il reindirizzamento dell'associazione ADAM. Il reindirizzamento del binding ADAM è una funzione speciale per le applicazioni che supportano il binding LDAP come meccanismo di autenticazione. In alcuni casi, lo schema speciale o il contesto dei nomi potrebbe costringere l'utente ad evitare AD, il che rende ADAM una scelta necessaria. In questo modo gli utenti non dovranno più ricordare password multiple a causa dell'utilizzo di una directory aggiuntiva con il proprio ID utente e password.

Un oggetto proxy utente speciale in ADAM è mappato a un account utente AD normale. Il proxy utente non dispone di una password effettiva archiviata nell'oggetto ADAM stesso. Quando l'applicazione esegue la normale operazione di associazione, controlla l'ID localmente, ma controlla la password in AD sotto i coperchi, come illustrato nella figura. Non è necessario che l'applicazione sia a conoscenza di questa interazione di Active Directory.

Il reindirizzamento del binding ADAM deve essere utilizzato solo in casi speciali in cui un'applicazione può eseguire un binding LDAP semplice ad ADAM. È tuttavia necessario che l'applicazione associ l'utente a un'entità di protezione in Active Directory.

Il reindirizzamento dell'associazione ADAM si verifica quando si tenta di eseguire un'associazione ad ADAM utilizzando un oggetto speciale denominato oggetto proxy. Un oggetto proxy è un oggetto in ADAM che rappresenta un'entità di sicurezza in ADAM.  Ogni oggetto proxy in ADAM contiene il SID di un utente in AD. Quando un utente tenta di eseguire il binding a un oggetto proxy, ADAM accetta il SID archiviato nell'oggetto proxy, insieme alla password fornita al momento del binding, e presenta il SID e la password ad AD per l'autenticazione. Un oggetto proxy in ADAM non memorizza una password e gli utenti non possono modificare le password AD tramite oggetti proxy ADAM.

La password viene presentata in testo normale ad ADAM perché la richiesta di binding iniziale è una semplice richiesta di binding LDAP. Per questo motivo, per impostazione predefinita è necessaria una connessione SSL tra il client delle directory e ADAM. ADAM utilizza le API di sicurezza di Windows per presentare la password ad AD.

Per ulteriori informazioni sul reindirizzamento dell'associazione, vedere Informazioni sul reindirizzamento dell'associazione ADAM.

Scenario di supporto per più foreste di Active Directory in CUCM

Per spiegare il metodo, immaginare uno scenario in cui Cisco Systems (Forest 2) abbia acquisito altre due società: Tandberg (Forest 3) e Webex (Forest 1). Nella fase di migrazione, integrare la struttura AD di ogni azienda per consentire l'installazione di un singolo cluster Cisco Unified Communications.

Nell'esempio, la società Cisco (Forest 2) ha due domini, il dominio radice della foresta denominato CISCO (dns cisco.com) e un sottodominio denominato EMERG (dns emerg.cisco.com). Entrambi i domini dispongono di un controller di dominio che è anche un catalogo globale e ognuno è ospitato in Windows 2008 Server SP2.

La società Tandberg (Foresta 3) dispone di un singolo dominio con un controller di dominio che è anche un catalogo globale ed è ospitata in Windows 2008 Server SP2.

La società Webex (Foresta 1) dispone di un singolo dominio con un controller di dominio che è anche un catalogo globale ed è ospitata in Windows 2003 R2 Server SP2.

AD LDS è installato nel controller di dominio per il dominio CISCO o può essere un computer separato; In realtà potrebbe trovarsi in qualsiasi punto di una delle tre foreste. L'infrastruttura DNS deve essere installata in modo che i domini di una foresta possano comunicare con i domini di altre foreste e stabilire relazioni di trust e convalide appropriate tra le foreste.

Relazione di trust del dominio

Per il corretto funzionamento dell'autenticazione degli utenti, è necessario disporre di un trust tra il dominio in cui è ospitata l'istanza ADAM e gli altri domini che ospitano gli account utente. Se necessario, il trust può essere unidirezionale (trust in uscita dal dominio che ospita l'istanza ADAM ai domini che ospitano gli account utente). In questo modo, l'istanza ADAM sarà in grado di inoltrare le richieste di autenticazione ai controller di dominio in tali domini account.

È inoltre necessario disporre di un account utente di entrambi i domini account che abbia accesso a tutti gli attributi di tutti gli account utente del dominio. Questo account viene utilizzato da ADAMSync per sincronizzare gli utenti del dominio account con ADAM.

Infine, ma non per importanza, il computer che esegue ADAM deve essere in grado di trovare tutti i domini (DNS), i controller di dominio in entrambi i domini (con DNS) e connettersi a questi controller di dominio.

Per impostare le relazioni di intertrust, completare i seguenti passaggi:

1. Aprire Domini e trust di Active Directory, fare clic con il pulsante destro del mouse sul dominio che ospita AD LDS e scegliere Proprietà.

   

2. Fare clic sulla scheda Trust e quindi su New Trust.

   

3. Seguire la procedura guidata e immettere il nome del dominio con cui si desidera stabilire il trust. Fare clic su Next (Avanti).

   

4. Fare clic sul pulsante di opzione Trust tra foreste. Fare clic su Next (Avanti).

   

5. In direzione del trust solo 'unidirezionale: outgoing" è obbligatorio. Fare clic sul collegamento Unidirezionale: pulsante di opzione in uscita. Fare clic su Next (Avanti).

   

6. Consenti la configurazione di entrambi i domini. Fare clic sul pulsante di opzione Questo dominio e il dominio specificato. Fare clic su Next (Avanti).

   

7. Immettere le credenziali per l'altro dominio. Fare clic su Next (Avanti).

   

8. Fare clic sul pulsante di opzione Autenticazione estesa a tutta la foresta. Fare clic su Next (Avanti).

   

9. Fare clic sul pulsante di opzione Sì, conferma il trust in uscita. Fare clic su Next (Avanti).

   

Questo è il risultato che si riceve dopo aver eseguito questo processo per i domini Tandberg e Webex. Il dominio emerg è presente per impostazione predefinita poiché si tratta di un dominio figlio. Fare clic su OK.

Installare AD LDS

Installare AD LDS nel 2008

1. Aprire Server Manager, fare clic su Ruoli, quindi su Aggiungi ruoli.

   

2. Selezionare la casella di controllo Active Directory Lightweight Directory Services. Fare clic su Next (Avanti).

   

3. Verrà visualizzata la finestra Stato installazione servizi AD LDS.

   

Installare AD LDS nel 2012

Completare questi passaggi per configurare AD LDS nel 2012:

1. Aprire Server Manager e scegliere Aggiungi ruoli e funzionalità. Per passare alla pagina Tipo di installazione, fare clic su Avanti, quindi su Tipo di installazione.

   

2. Scegliere le opzioni predefinite e fare clic su Avanti.

   

3. Per selezionare il server predefinito, fare clic sul pulsante di scelta Seleziona un server dal pool di server. Fare clic su Next (Avanti).

   

4. Selezionare la casella di controllo Active Directory Lightweight Directory Services e fare clic su Aggiungi funzionalità. Continuare con l'installazione.

   

5. Fare clic su Avanti nelle pagine successive.
6. Selezionare la casella di controllo Riavvia automaticamente il server di destinazione se necessario e fare clic su Installa per installare la funzionalità.

   

7. Al termine dell'installazione, fare clic su Chiudi per chiudere la procedura guidata.

   

Installare l'istanza per il supporto di più foreste

AD LDS è in grado di eseguire istanze diverse dei servizi con porte diverse, il che consente l'esecuzione di diverse "applicazioni" di directory utente nello stesso computer. Per impostazione predefinita, AD LDS sceglie le porte 389/LDAP e 636/LDAPS, ma se il sistema dispone già di un qualsiasi tipo di servizio LDAP che le esegue, utilizzerà le porte 50000/LDAP e 50001/LDAPS. Ogni istanza disporrà di una coppia di porte che verranno incrementate in base ai numeri utilizzati in precedenza.

In alcuni casi, a causa di un bug di Microsoft, le porte sono già utilizzate dal server DNS Microsoft e l'istanza guidata restituisce un errore (che non è di immediata comprensione). Questo errore può essere risolto prenotando le porte nello stack TCP/IP. Se si verifica questo problema, vedere Avvio del servizio AD LDS non riuscito con l'errore "Impossibile avviare il servizio..." + codice di errore 8007041d.

Supporto di più foreste nel 2008

1. In Server Manager scegliere Ruoli, quindi Active Directory Lightweight Directory Services.  Fare clic su Fare clic qui per creare un'istanza di AD LDS.

   

2. Fare clic sul pulsante di opzione Un'istanza univoca. Fare clic su Next (Avanti).

   

3. Nel campo Nome istanza immettere il nome dell'istanza. In questo esempio, si tratta di MultiForest. Fare clic su Next (Avanti).

   

4. Immettere il numero di porta LDAP e il numero di porta SSL selezionati o consentire al sistema di sceglierli automaticamente. Fare clic su Next (Avanti).

   

5. Nota: CUCM supporta solo una singola partizione di directory applicativa; attualmente non sono supportate più partizioni.
   
   Vedere il Passo 5: Esercitarsi a utilizzare le partizioni di directory applicative per informazioni sulla creazione di una partizione di directory applicativa. Il processo di creazione di una partizione di directory per ogni dominio che si desidera sincronizzare in base a lavori basati su LDAP referral (RFC 2251) e richiede che il client LDAP (CUCM, CUP e così via) supporti i riferimenti.

   Fare clic sul pulsante di opzione Sì, crea una partizione di directory applicativa. Immettere il nome della partizione nel campo Nome partizione per l'istanza. Non fornire un cn come nell'esempio della procedura guidata, in quanto nella maggior parte dei casi viene creato un errore negli schemi. In questo scenario è stata immessa la stessa partizione del controller di dominio Active Directory che ospita AD LDS (dc=Cisco,dc=com). Fare clic su Next (Avanti).

   

6. Fare clic sul pulsante di opzione Questo account. Immettere un nome utente e una password per avviare il server. Fare clic su Next (Avanti).

   

7. Fare clic sul pulsante di opzione Utente attualmente connesso. Immettere il nome dell'utente con autorizzazioni amministrative. Fare clic su Next (Avanti).

   

8. Per creare lo schema, importare i file LDIF predefiniti evidenziati. Fare clic su Next (Avanti).

   

Nota: Se ADAM è installato su un server Windows 2003, nella schermata precedente saranno disponibili solo quattro opzioni:  MS-AZMan.LDF, MS-InetOrgPerson.LDF, MS-User.LDF e MS-UserProxy.LDF. Da queste quattro caselle, selezionare solo le caselle di controllo per MS-User.LDF e MS-InetOrgPerson.LDF.

Supporto di più foreste nel 2012

1. Aprire Strumenti di amministrazione e fare doppio clic su Installazione guidata Active Directory Lightweight Directory Services.

   

2. Fare clic su Next (Avanti).

   

3. Selezionare il pulsante di opzione Un'istanza univoca. Fare clic su Next (Avanti).

   

4. Immettere il nome e la descrizione dell'istanza. Il nome "MultiForest" viene immesso qui. Fare clic su Next (Avanti).

   

5. Immettere i numeri di porta LDAP e SSL. Le porte preferite sono rispettivamente 389 e 636. Se il server di dominio è un server figlio e il dominio padre utilizza queste porte, per impostazione predefinita verranno popolati numeri di porta diversi. In tal caso, non modificarle e continuare con l'installazione. Fare clic su Next (Avanti).

   

6. In questo caso, per impostazione predefinita, sono stati inseriti altri numeri di porta. Fare clic su Next (Avanti).

   

7. Nota: CUCM supporta solo una singola partizione di directory applicativa; attualmente non sono supportate più partizioni.
   
   Vedere il Passo 5: Esercitarsi a utilizzare le partizioni di directory applicative per informazioni sulla creazione di una partizione di directory applicativa. Il processo di creazione di una partizione di directory per ogni dominio che si desidera sincronizzare in base a lavori basati su LDAP referral (RFC 2251) e richiede che il client LDAP (CUCM, CUP e così via) supporti i riferimenti. Per ulteriori informazioni, vedere Supporto tecnico Microsoft.

   Fare clic sul pulsante di opzione Sì, crea una partizione di directory applicativa. Immettere il nome della partizione. Creare la partizione per LDS come cisco.com. È possibile fornire qualsiasi valore appropriato. Fare clic su Next (Avanti).

   

8. Scegliere le opzioni predefinite nelle pagine successive e continuare.

   

   

   

9. Selezionare le caselle di controllo MS-InetOrgPerson.LDF, MS-User.LDF, MS-UserProxy.LDF e MS-UserProxyFull.LDF. Fare clic su Next (Avanti).

   

   

10. Per avviare l'installazione, fare clic su Next (Avanti).

    

    

11. Installazione completata. Fare clic su Finish (Fine).

    

Configura ADAM Schema Analyzer

Se gli ID utente (sAMAccountNames) sono univoci in domini diversi e non esistono più utenti con lo stesso ID in domini diversi di foreste diverse, è possibile sincronizzare gli utenti da Active Directory alle rispettive foreste in AD LDS, che possono essere tutti presenti in una singola partizione in AD LDS in un'installazione multiforesta. Si consideri, ad esempio, la figura nella sezione Scenario di supporto di più foreste di Active Directory in CUCM e, se l'ID utente "alice" esiste solo in uno dei tre domini, l'impostazione in questo scenario sarà la seguente:

DN FORESTA PARTIZIONE

P1 cisco.com DC=cisco,DC=com

                       webex.com DC=webex, DC=cisco,DC=com

                       tandberg.com DC=Tandberg, DC=cisco,DC=com

Per configurare CUCM con AD LDS, l'ID utente (sAMAccountName) deve essere univoco in tutte le foreste. Attualmente CUCM supporta solo una singola partizione in AD LDS.

Se gli sAMAccountNames non sono univoci, è consigliabile utilizzare uno di questi attributi se identificano in modo univoco un account utente, ad esempio email, telephoneNumber, employeeNumber, uid o userPrincipalName.

1. Copiare lo schema dal dominio in ADAM.
2. Aprire ADDS/LDS Schema Analyzer (ADSchemaAnalyzer.exe) nella directory c:\windows\adam.
3. Scegliere File > Carica schema di destinazione.

   

4. Specificare le credenziali del controller di dominio Active Directory di origine da cui si desidera eseguire l'importazione. Fare clic su OK.

   

5. Scegliere File > Carica schema di base.

   

6. Specificare AD LDS a cui connettersi ed estendere lo schema. Fare clic su OK.

   

7. Scegliere Schema > Contrassegna come inclusi tutti gli elementi non presenti.

   

8. Scegliete File > Crea file LDIF.  In questo esempio, il file creato tramite questo passaggio è diff-schema.ldf. Per semplificare il processo, il file deve essere creato in c:\windows\adam.

   

   Un'opzione disponibile per organizzare i file da generare consiste nel creare una directory separata per consentire la separazione di questi file dalla directory principale c:\windows\adam. Aprire un prompt dei comandi e creare una directory di registro in c:\windows\adam.

   cd \windows\adam
   mkdir logs

9. Importare lo schema ldif, creato con ADSchema Analyzer, in AD LDS.

   ldifde -i -s localhost:50000 -c CN=Configuration,DC=X
    #ConfigurationNamingContext -f diff-schema.ldf -j c:\windows\adam\logs
   

   Per ulteriori informazioni sulle opzioni e i formati di comando di ldifde, fare riferimento a Utilizzo di LDIFDE per importare ed esportare oggetti directory in Active Directory.

   

Estendere lo schema di AD LDS con gli oggetti proxy utente

È necessario creare l'oggetto per l'autenticazione proxy e non utilizzare la classe oggetto 'user'. La classe oggetto creata, userProxy, consente il reindirizzamento dell'associazione. I dettagli della classe oggetto devono essere creati in un file ldif. Il file è la creazione di un nuovo file, che in questo esempio è MS-UserProxy-Cisco.ldf.  Questo nuovo file viene generato dal file MS-UserProxy.ldf originale e modificato, utilizzando un programma di modifica del testo, per ottenere il seguente contenuto:

#==================================================================
# @@UI-Description: AD LDS simple userProxy class.
#
# This file contains user extensions for default ADAM schema.
# It should be imported with the following command:
#   ldifde -i -f MS-UserProxy.ldf -s server:port -b username domain password -k -j . -c 
"CN=Schema,CN=Configuration,DC=X" #schemaNamingContext
#
#==================================================================

dn: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: top
objectClass: classSchema
cn: User-Proxy
subClassOf: top
governsID: 1.2.840.113556.1.5.246
schemaIDGUID:: bxjWYLbzmEiwrWU1r8B2IA==
rDNAttID: cn
showInAdvancedViewOnly: TRUE
adminDisplayName: User-Proxy
adminDescription: Sample class for bind proxy implementation.
objectClassCategory: 1
lDAPDisplayName: userProxy
systemOnly: FALSE
possSuperiors: domainDNS
possSuperiors: organizationalUnit
possSuperiors: container
possSuperiors: organization
defaultSecurityDescriptor:
 D:(OA;;CR;ab721a53-1e2f-11d0-9819-00aa0040529b;;PS)S:
defaultHidingValue: TRUE
defaultObjectCategory: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
systemAuxiliaryClass: msDS-BindProxy
systemMayContain: userPrincipalName
systemMayContain: givenName
systemMayContain: middleName
systemMayContain: sn
systemMayContain: manager
systemMayContain: department
systemMayContain: telephoneNumber
systemMayContain: mail
systemMayContain: title
systemMayContain: homephone
systemMayContain: mobile
systemMayContain: pager
systemMayContain: msDS-UserAccountDisabled
systemMayContain: samAccountName
systemMayContain: employeeNumber
systemMayContain: initials
systemMayContain: ipPhone
systemMayContain: displayName 
systemMayContain: msRTCSIP-primaryuseraddress
systemMayContain: uid

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

Salvare il file MS-UserProxy-Cisco.ldf in C:\windows\adam.

Importare la nuova classe oggetto in AD LDS.

ldifde -i -s localhost:50000 -c CN=Configuration,DC=X #ConfigurationNamingContext -f
 MS-UserProxy-Cisco.ldf -j c:\windows\adam\logs

Importa gli utenti dal controller di dominio Active Directory in AD LDS

È ora necessario importare in AD LDS l'utente di ogni dominio. Questo passaggio deve essere ripetuto per ogni dominio da sincronizzare. In questo esempio viene mostrato solo il processo relativo a uno dei domini. Iniziare con il file MS-AdamSyncConf.xml originale e creare un file XML per ogni dominio che deve essere sincronizzato e modificare il file con i dettagli specifici di ogni dominio per avere questo contenuto:

<?xml version="1.0"?>
<doc> 
 <configuration>  
  <description>Adam-Sync1</description>  
  <security-mode>object</security-mode>         
  <source-ad-name>ad2k8-1</source-ad-name>  
  <source-ad-partition>dc=cisco,dc=com</source-ad-partition>
  <source-ad-account></source-ad-account>               
  <account-domain></account-domain>
  <target-dn>dc=cisco,dc=com</target-dn>  
  <query>   
   <base-dn>dc=cisco,dc=com</base-dn>
    <object-filter>
(&#124;(&amp;(!cn=Administrator)(!cn=Guest) (!cn=ASPNET)
(!cn=krbtgt)(sAMAccountType=805306368))(&amp;(objectClass=user)(isDeleted=TRUE)))
    </object-filter>
   <attributes>
    <include>objectSID</include>
    <include>mail</include> 
    <include>userPrincipalName</include>
    <include>middleName</include> 
    <include>manager</include> 
    <include>givenName</include> 
    <include>sn</include> 
    <include>department</include> 
    <include>telephoneNumber</include> 
    <include>title</include> 
    <include>homephone</include> 
    <include>mobile</include> 
    <include>pager</include> 
    <include>msDS-UserAccountDisabled</include>
    <include>samAccountName</include>
    <include>employeeNumber</include>
    <include>initials</include>
    <include>ipPhone</include>
    <include> displayName</include> 
    <include> msRTCSIP-primaryuseraddress</include>
    <include>uid</include>
    <exclude></exclude>
   </attributes>  
  </query>
 <user-proxy>
    <source-object-class>user</source-object-class>
    <target-object-class>userProxy</target-object-class>
  </user-proxy>  
  <schedule>   
   <aging>    
    <frequency>0</frequency>    
    <num-objects>0</num-objects>   
   </aging>   
   <schtasks-cmd></schtasks-cmd>  
  </schedule> 
 </configuration> 
 <synchronizer-state>  
  <dirsync-cookie></dirsync-cookie>  
  <status></status>  
  <authoritative-adam-instance></authoritative-adam-instance>
  <configuration-file-guid></configuration-file-guid>  
  <last-sync-attempt-time></last-sync-attempt-time>  
  <last-sync-success-time></last-sync-success-time>  
  <last-sync-error-time></last-sync-error-time>  
  <last-sync-error-string></last-sync-error-string>  
  <consecutive-sync-failures></consecutive-sync-failures>  
  <user-credentials></user-credentials>  
  <runs-since-last-object-update></runs-since-last-object-update>
  <runs-since-last-full-sync></runs-since-last-full-sync> 
 </synchronizer-state>
</doc>

In questo file, questi tag devono essere sostituiti per corrispondere al dominio:

• <source-ad-name> - Utilizza il nome host del dominio.
• <source-ad-partition> - Utilizza la partizione radice del controller di dominio Active Directory di origine da cui si desidera eseguire l'importazione, ad esempio dc=Cisco, dc=com o dc=Tandberg, dc=com.
• <base-dn> - Scegliere il contenitore da cui eseguire l'importazione. Ad esempio, se tutti gli utenti del dominio sono obbligatori, questo valore deve essere uguale a <source-ad-partition>, ma se gli utenti appartengono a un'unità organizzativa specifica, ad esempio UO finanziaria, deve essere simile a OU=Finance, DC=Cisco, DC=com. 

Per ulteriori informazioni su come creare un <object-filter>, fare riferimento alla sintassi del filtro di ricerca.

Salvare il file XML appena creato in C:\windows\adam.

Aprire una finestra di comando, cd \windows\adam.

Immettere il comando ADAMSync /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log.

Verificare che il file AdamSyncConf1.xml sia il file XML appena creato.

Sincronizzare gli utenti con il comando ADAMSync /sync localhost:5000 "dc=cisco,dc=com" /log c:\windows\adam\logs\sync.log.

Il risultato dovrebbe essere simile al seguente:

Per completare una sincronizzazione automatica da AD ad ADAM, utilizzare l'Utilità di pianificazione in Windows.

Creare un file .bat con il seguente contenuto: 

"C:\Windows\ADAM\ADAMSync" /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log

"C:\Windows\ADAM\ADAMSync" /sync localhost:50000 "dc=cisco,dc=com" /log c:\windows\adam\logs\syn.log

Pianificare l'attività per eseguire il file .bat come e quando necessario. Questo si occupa di aggiunte, modifiche ed eliminazioni che avvengono in AD per essere riflessi anche in ADAM.

È possibile creare un altro file con estensione bat e pianificarlo in modo da completare una sincronizzazione automatica dall'altra foresta.

Creare l'utente in AD LDS per la sincronizzazione e l'autenticazione CUCM

1. Aprire Modifica ADSI dal menu di avvio Strumenti di amministrazione.
2. Scegliete File > Connessione (o Azione > Connetti a).
3. Connettersi al DN di base della struttura AD LDS (DC=Cisco,DC=com) e specificare l'host e la porta in cui è ospitato (localhost:50000). Fare clic su OK.

   

4. Fare clic con il pulsante destro del mouse sul DN di base e scegliere Nuovo > Oggetto.

   

5. Scegliere utente. Fare clic su Next (Avanti).

   

6. Nel campo Value (Valore), immettere il nome dell'oggetto scelto. In questo esempio, "root" è il nome scelto (qui è possibile scegliere qualsiasi nome). Fare clic su Next (Avanti).

   

7. Per fornire una password al nuovo utente, fare clic con il pulsante destro del mouse sull'utente e scegliere Reimposta password.

   

8. Il nuovo utente è disabilitato per impostazione predefinita. Per abilitare il nuovo utente, fare clic con il pulsante destro del mouse sull'utente e scegliere Proprietà.

   

9. Selezionare l'attributo msDS-UserAccountDisabled e fare clic su Modifica.

   

10. Per abilitare l'account utente, fare clic sul pulsante di opzione False. Fare clic su OK.

    

11. Per fare in modo che la password non scada mai, fare clic sul pulsante di opzione True. Fare clic su OK.

    

12. È necessario aggiungere il nuovo utente a un gruppo con autorizzazioni di lettura per AD LDS, che in questo esempio è stato scelto Amministratori. Selezionare CN=Ruoli > CN=Amministratori. Fare clic con il pulsante destro del mouse su CN=Administrators e scegliere Proprietà.

    

13. Scegliere il membro attributo e fare clic su Modifica.

    

14. Immettere il nuovo DN creato in precedenza, cn=root,dc=Cisco,dc=com, per questo gruppo. Fare clic su OK.

    

15. Scegliere Aggiorna schema adesso e riavviare AD LDS.

    

    

Configura reindirizzamento binding

Per impostazione predefinita, l'associazione ad ADAM con il reindirizzamento dell'associazione richiede una connessione SSL. SSL richiede l'installazione e l'utilizzo di certificati nel computer che esegue ADAM e nel computer che si connette ad ADAM come client. Se nell'ambiente di test ADAM non sono installati certificati, è possibile disabilitare il requisito per SSL come alternativa.

Per impostazione predefinita, SSL è abilitato. Affinché il protocollo LDAPS funzioni in ADAM/LDS, è necessario generare un certificato.

In questo esempio viene utilizzato il server Microsoft Certification Authority per rilasciare il certificato. Per richiedere un certificato, accedere alla pagina Web della CA Microsoft - http://<nomehost CA MSFT>/certsrv e completare i seguenti passaggi:

1. Fare clic su Richiedi certificato.
2. Fare clic su Richiesta avanzata di certificati.
3. Fare clic su Crea e inviare una richiesta a questa CA.
4. Nella casella di testo Nome immettere il nome DNS completo del server ADAM/AD LDS.
5. Verificare che il tipo di certificato sia Certificato di autenticazione server.
6. Per il formato, scegliere PCKS10.
7. Scegliere Contrassegna chiavi come esportabili.
8. Se lo si desidera, specificare le altre informazioni.
9. Nella casella di testo Nome descrittivo immettere il nome DNS completo del server ADAM/AD LDS.
10. Fare clic su Invia.

Tornare all'interfaccia dell'Autorità di certificazione e fare clic sulla cartella Certificati in sospeso. Fare clic con il pulsante destro del mouse sulla richiesta di certificato effettuata dal computer ADAM/AD-LDS e rilasciare il certificato.

Il certificato è stato creato e si trova nella cartella "Certificati rilasciati". È quindi necessario scaricare e installare il certificato:

1. Aprire http://<nomehost CA MSFT>/certsrv.
2. Fare clic su Visualizza lo stato di una richiesta di certificato in sospeso.
3. Fare clic sulla richiesta di certificato.
4. Fare clic sul certificato per installarlo.

Per consentire al servizio ADAM di utilizzare il certificato, è necessario inserirlo nell'archivio personale del servizio ADAM:

1. Dal menu Start, scegliere Esegui. Digitare mmc. Verrà aperta la console di gestione.
2. Fare clic su File \ Aggiungi/Rimuovi snap-in.
3. Fare clic su Add (Aggiungi) e selezionare Certificati.
4. Scegliere Account servizio.
5. Scegliere Computer locale.
6. Scegliere il servizio istanza ADAM.
7. Aggiungere un nuovo snap-in Certificato, ma questa volta scegliere Account utente anziché Account del servizio.
8. Fare clic su Close (Chiudi), quindi su Ok.
9. Nella struttura ad albero Certificati - Utente corrente aprire la cartella Personale.
10. Selezionare il certificato e copiarlo nello stesso percorso in "Certificati - nome istanza ADAM".

Per concedere l'autorizzazione di lettura per il certificato di autenticazione server all'account del servizio di rete, eseguire la procedura seguente:

1. Passare alla directory predefinita in cui sono archiviati i certificati installati o importati: C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys.
2. Fare clic con il pulsante destro del mouse sul certificato di autenticazione server appropriato. Fare clic su Proprietà.
3. Fare clic sulla scheda Protezione. Fare clic su Edit (Modifica).
4. Nella finestra di dialogo Autorizzazioni fare clic su Aggiungi.
5. Nella finestra di dialogo Seleziona utenti, computer o gruppi immettere Servizio di rete. Fare clic su OK.
6. Riavviare l'istanza ADAM.

Per maggiori informazioni, consultare l'Appendice A: Configurazione dei requisiti LDAP su SSL per AD LDS.

Caricare quindi il certificato della CA che ha rilasciato il certificato al computer ADAM/AD LDS come attendibilità directory CUCM.

Per ulteriori informazioni, consultare la Cisco Unified Communications Operations System Administration Guide.

Selezionare la casella di controllo per utilizzare SSL nelle pagine Directory LDAP e Autenticazione LDAP.

Immettere 50001 (in questo esempio) per la porta LDAP, ovvero il numero di porta SSL fornito al momento dell'installazione dell'istanza di ADAM/AD LDS.

Per disabilitare il requisito SSL per il reindirizzamento del binding, procedere come segue:

1. Fare clic su Start, selezionare Strumenti di amministrazione, quindi fare clic su Modifica ADSI.
2. Scegliere Connetti a dal menu Azione.
3. Nel campo Computer, immettere localhost:50000 (si tratta dell'host e della porta ADAM).
4. Nella sezione Punto di connessione fare clic sul pulsante di opzione Seleziona un contesto dei nomi conosciuto. Dall'elenco a discesa, scegliere Configurazione. Fare clic su OK.
5. Nell'albero della console individuare questo oggetto contenitore nella partizione di configurazione: CN=Servizio directory,CN=Windows NT,CN=Servizi.
6. Fare clic con il pulsante destro del mouse su CN=Directory Service e scegliere Proprietà.
7. In Attributi fare clic su msDS-Other-Settings. Fare clic su Edit (Modifica).
8. In Valori fare clic su RequireSecureProxyBind=1 e quindi su Rimuovi.
9. In Valore da aggiungere immettere RequireSecureProxyBind=0, fare clic su Aggiungi e quindi su OK.
10. Riavviare AD LDS per rendere effettive le modifiche.

  

Configurazione di CUCM

La sincronizzazione e l'autenticazione di ADAM/AD LDS sono supportate in CUCM versione 9.1(2) e successive.

1. Scegliete Sistema > LDAP > Sistema LDAP.
2. Selezionare Microsoft ADAM o Lightweight Directory Services.
3. È possibile scegliere uno dei seguenti attributi di ID utente LDAP: e-mail, matricola dipendente o numero di telefono.

   uid viene utilizzato solo con ADAM/AD LDS autonomo e non con il supporto per più foreste di Active Directory.

   

   Attualmente, per il tipo di server LDAP "Microsoft ADAM or Lightweight Directory Services", samAccountName non è incluso nell'elenco a discesa Attributo LDAP per Userid. Il motivo è che non si tratta di un attributo supportato con ADAM/AD LDS autonomo. Se è necessario utilizzare l'ID utente CUCM mappato a sAMAccountName, il contratto deve essere configurato come AD.

   

4. Configurare la sincronizzazione LDAP con le credenziali dell'utente creato in AD LDS.

   

5. Configurare l'autenticazione LDAP con le credenziali dell'utente creato in AD LDS.

   

Filtri LDAP in CUCM

La classe oggetto User non è più utilizzata. Pertanto, è necessario modificare il filtro LDAP per utilizzare userProxy anziché User.

Il filtro predefinito è:
(&(objectclass=user)(!(objectclass=Computer))(!(msDS-UserAccountDisabled=TRUE)))

Per modificare questo filtro, accedere a CCMAdmin con un browser Web e scegliere l'opzione LDAP Custom Filter dal menu di configurazione LDAP.

Questo filtro viene utilizzato nella pagina della directory LDAP durante la configurazione di LDAP nell'accordo di sincronizzazione, come illustrato nella figura precedente.