Umbrella 대시보드에서 누락된 Active Directory 사용자 문제 해결

소개

이 문서에서는 Umbrella 대시보드에서 누락된 AD(Active Directory) 사용자의 문제를 해결하는 방법에 대해 설명합니다.

개요

OpenDNS Connector는 Active Directory에 대한 동기화를 실행하여 AD 사용자, 그룹 및 컴퓨터 목록을 반환합니다. 이 목록은 Umbrella 대시보드에 안전하게 게시되므로 정책 및 보고에 사용할 수 있습니다.

참고: Connector 소프트웨어 버전 1.1.24 이상을 사용하는 경우 어떤 AD 그룹이 Umbrella에 동기화되는지 지정할 수 있습니다.

Deployments(구축) > Core Identities(핵심 ID) > Users and Groups(사용자 및 그룹)로 이동하여 어떤 객체가 대시보드와 동기화되었는지 확인할 수 있습니다. 

시나리오 1 - 대시보드에서 누락된 모든 사용자 및 그룹

Identities(ID) 탭에서 모든 사용자가 누락된 경우 AD 동기화가 수행되지 않았음을 나타냅니다. 

26022106541844

잠재적 원인은 다음과 같습니다. 

• Active Directory 통합이 구성되지 않았거나 OpenDNS Connector가 설치되지 않았습니다. 자세한 내용은 Active Directory ID 통합 설명서를 참조하십시오.
• OpenDNS 커넥터가 필요한 포트의 도메인 컨트롤러에 연결할 수 없습니다. 
• OpenDNS_Connector 사용자가 LDAP를 통해 디렉터리를 읽지 못하게 하는 권한 오류가 있습니다.
• 동기화에 사용되는 OpenDNS_Connector 사용자 계정에 문제가 있습니다.  커넥터 설치 중에 입력한 암호가 올바르지 않거나 계정이 잠겼을 수 있습니다.
• OpenDNS 커넥터 서비스가 설치되어 있지만 작동하지 않습니다. 가장 일반적인 원인은 ldifde.exe(LDAP를 통해 AD 동기화를 수행하는 데 사용됨)가 설치되지 않은 경우(가장 일반적으로 AD LDS 역할에 포함됨), 특히 Connector가 도메인 컨트롤러가 아닌 컴퓨터에 설치된 경우입니다. DC 이외의 설치에 대한 사전 요구 사항을 확인하십시오.
• C:\CiscoUmbrellaADGroups.dat 파일이 있지만 비어 있거나 형식이 잘못되었습니다.

자세한 내용은 커넥터 로그를 사용하여 Cisco Umbrella 지원에 문의하십시오.

시나리오 2 - 새로 생성된 사용자/그룹이 대시보드에 없음

Connector는 LDAP를 사용하는 디렉토리에 변경 사항이 있는지 확인하기 위해 Active Directory와 자주 동기화됩니다. 최근 변경이 있는 경우 전체 LDAP 동기화가 수행됩니다. 새 사용자/그룹이 대시보드에 적용되려면 몇 시간이 걸릴 수 있습니다.

새 사용자가 나타나지 않는 이유는 다음과 같습니다.

• OpenDNS_Connector 계정에 AD의 변경 사항을 모니터링하는 데 필요한 '디렉터리 변경을 복제하는' 권한이 없습니다. 올바른 권한을 할당하려면 OpenDNS_Connector가 'Enterprise Read-Only Domain Controllers' 그룹의 멤버인지 확인하십시오.
• 커넥터가 이전에는 동기화할 수 있었지만 지금은 동기화할 수 없습니다. 문제를 해결하려면 이 문서의 단계를 참조하십시오. 

시나리오 3 - 대시보드에 특정 AD 객체가 없습니다.

Umbrella 정책 내에서 사용할 고유한 AD 그룹을 생성하는 것이 좋습니다. 
Domain Admins 및 기타 "기본" 그룹은 동기화에서 제외됩니다. 백그라운드 소프트웨어(예: Exchange, SQL, WSUS)와 연결된 잘 알려진 그룹 중 상당수도 AD 동기화에서 제외됩니다.

C:\CiscoUmbrellaADGroups.dat 파일이 있는 경우 누락된 AD 개체를 포함하는 AD 그룹을 지정하는지 확인합니다.

시나리오 4 - AD 동기화가 작동하지만 일부 AD 개체가 동기화되지 않았습니다.

OpenDNS_Connector 사용자가 누락된 개체의 정보를 "읽기"할 권한이 있는지 확인합니다. Active Directory에서 모든 개체(사용자, 그룹, 컴퓨터 포함)는 자신의 특성을 읽을 수 있는 사용자를 결정하는 고유한 ACL 권한을 갖습니다. 자세한 내용은 다음 문서를 참조하십시오.  권한 문제 해결

C:\CiscoUmbrellaADGroups.dat 파일이 있는 경우 동기화되지 않은 AD 개체를 포함하는 AD 그룹을 지정하는지 확인합니다. 

시나리오 5 - 특정 내장 AD 그룹 및 역할은 Cisco Umbrella Policy Wizard에 표시되지 않습니다.

Umbrella Active Directory 통합 구성 요소, 특히 AD Connector를 배포한 후 Umbrella Policy(Umbrella 정책) 마법사에서 일부 내장형 AD 그룹을 찾을 수 없습니다.

그러나 기본 제공 AD 그룹, AD 사용자 및 AD 컴퓨터는 예상대로 Umbrella Policy(우산 정책) 마법사에서 여전히 찾을 수 있습니다. AD 커넥터는 기본 제공 AD 그룹을 Umbrella API로 가져오지 않습니다. 따라서 이러한 그룹에 대한 정책을 정의할 수 없습니다. 자세한 내용은 이 기술 자료 문서를 참조하십시오. Umbrella Policy(Umbrella 정책) 마법사에 특정 내장형 Active Directory 그룹이 표시되지 않는 이유는 무엇입니까?