다중 포리스트 환경에서 Unified Communications Manager 디렉토리 통합을 구성하는 방법

업데이트:2017년 4월 18일

문서 ID:111979

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 다중 포리스트 환경에서 CUCM(Cisco Unified Communication Manager) 디렉토리 통합을 구성하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

Cisco에서는 다음과 같은 작업을 수행할 것을 권장합니다.

CUCM 디렉토리 통합의 구축 및 구성에 대한 지식
Microsoft ADAM(Active Directory Application Manager) 2003 또는 Microsoft AD LDS(Lightweight Directory Services) 2008 또는 2012의 배포 및 구성에 대한 지식
CUCM Release 9.1(2) 이상
CUCM Release 9.1(2) 이상을 사용하는 경우 관리 웹 인터페이스로 LDAP 필터를 변경할 수 있습니다.
동기화할 사용자 계정 수는 CUCM 게시자당 60,000개의 계정을 초과할 수 없습니다. 60,000개가 넘는 계정을 동기화해야 하는 경우 사용자 지정 디렉터리를 제공하기 위해 IP Phone Services SDK(Software Development Kit)를 사용해야 합니다. 자세한 내용은 Cisco Developer Network를 참조하십시오. Unified CM Release 10.0(1) 이상을 사용하는 경우 지원되는 최대 사용자 계정 수는 160,000개입니다.
Microsoft ADAM 2003 또는 LDS(Lightweight Directory Services) 2008 또는 2012입니다.
바인딩 리디렉션을 사용할 때 SSL에 대한 요구 사항을 비활성화해서는 안 됩니다. 비활성화되면 Windows 보안 주체의 비밀번호가 암호화 없이 ADAM을 실행하는 컴퓨터로 전달됩니다. 따라서 테스트 환경에서만 비활성화해야 합니다.
사용자 ID(sAMAccountName )는 모든 포리스트에서 고유해야 합니다.
AD LDS 설정이 있고 sAMAccountName에 매핑된 CUCM UserID를 사용해야 하는 경우 해당 계약을 AD로 구성해야 합니다.
ADAM 인스턴스 호스트 도메인과 사용자 계정 호스트 도메인 간에 도메인 트러스트 관계를 구성할 때 도메인 기능 수준과 포리스트 기능 수준이 2003 이상이어야 합니다.
CUCM은 AD LDS에서 단일 응용 프로그램 디렉터리 파티션만 지원합니다. 다중 파티션은 현재 지원되지 않습니다.

사용되는 구성 요소

이 문서는 특정 소프트웨어 및 하드웨어 버전으로 한정되지 않습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

서론

Microsoft AD LDS(이전의 ADAM)를 사용하여 디렉터리 지원 응용 프로그램에 디렉터리 서비스를 제공할 수 있습니다. 디렉터리 사용 응용 프로그램 데이터를 저장하기 위해 조직의 AD DS(Active Directory 도메인 서비스) 데이터베이스를 사용하는 대신 AD LDS를 사용하여 데이터를 저장할 수 있습니다. AD LDS를 AD DS와 함께 사용하면 AD DS(보안 계정)의 중앙 위치와 AD LDS(응용 프로그램 구성 및 디렉터리 데이터)를 지원하기 위한 다른 위치를 가질 수 있습니다. AD LDS를 사용하면 AD 복제와 관련된 오버헤드를 줄일 수 있으며, 응용 프로그램을 지원하기 위해 AD 스키마를 확장할 필요가 없으며, 디렉터리 구조를 파티션하여 AD LDS 서비스가 디렉터리 사용 응용 프로그램을 지원해야 하는 서버에만 배포되도록 할 수 있습니다.

미디어 생성에서 설치 - Ntdsutil.exe 또는 Dsdbutil.exe를 사용하여 AD LDS에 대한 설치 미디어를 만드는 기능입니다.
Audit(감사) - 디렉토리 서비스 내에서 변경된 값을 감사합니다.
Database Mounting Tool - 데이터베이스 파일의 스냅샷 내에서 데이터를 볼 수 있는 기능을 제공합니다.
AD 사이트 및 서비스 지원 - AD 사이트 및 서비스를 사용하여 AD LDS 데이터 변경 사항의 복제를 관리할 수 있습니다.
LDIF 파일의 동적 목록 - 이 기능을 사용하면 사용자 지정 LDIF 파일을 서버의 AD LDS 설정에 사용되는 현재 기본 LDIF 파일과 연결할 수 있습니다.
재귀적 Linked-Attribute 쿼리 - LDAP 쿼리는 중첩된 특성 링크를 따라 그룹 멤버십과 같은 추가 특성 속성을 결정할 수 있습니다.

ADAM과 AD는 많은 차이가 있는데, ADAM은 AD가 전달하는 기능의 일부만 전달할 수 있다.

개요

이 문서의 목적은 CUCM 또는 DirSync(Directory Integration Service)를 사용하는 다른 Cisco 제품이 서로 다른 포리스트에 존재할 수 있는 서로 다른 AD 도메인에서 사용자 정보를 얻고 인증을 수행할 수 있도록 하는 메커니즘을 설명하는 것입니다. 이 목적을 달성하기 위해 ADAM은 사용자 데이터베이스를 서로 다른 AD 도메인 컨트롤러 또는 기타 LDAP 소스와 동기화하기 위해 사용됩니다.

ADAM은 사용자의 데이터베이스를 만들고 세부 정보를 저장할 수 있습니다. 최종 사용자가 다른 시스템에서 다른 자격 증명 집합을 유지 관리하지 않도록 하려면 SSO(Single Sign On) 기능이 필요합니다. 따라서 ADAM 바인딩 리디렉션이 사용됩니다. ADAM bind redirection은 인증 메커니즘으로 LDAP 바인딩을 지원하는 애플리케이션을 위한 특수 기능입니다. 경우에 따라 특수 스키마 또는 명명 컨텍스트가 AD를 피하도록 강요할 수 있으며, 이로 인해 ADAM이 필요한 선택을 하게 됩니다. 이렇게 하면 사용자 ID와 비밀번호가 있는 추가 디렉터리를 사용하기 때문에 사용자가 여러 개의 비밀번호를 기억하지 않아도 됩니다.

ADAM의 특수 사용자 프록시 객체는 일반 AD 사용자 계정에 매핑됩니다. 사용자 프록시는 ADAM 개체 자체에 실제 암호가 저장되어 있지 않습니다. 응용 프로그램은 정상적인 바인딩 작업을 수행할 때 로컬에서 ID를 확인하지만, 이 그림과 같이 커버 아래의 AD에 대해 비밀번호를 확인합니다. 응용 프로그램에서 이 AD 상호 작용을 인식할 필요가 없습니다.

ADAM 바인딩 리디렉션은 애플리케이션이 ADAM에 대한 간단한 LDAP 바인딩을 수행할 수 있는 특수한 경우에만 사용해야 합니다. 그러나 응용 프로그램은 여전히 사용자를 AD의 보안 주체와 연결해야 합니다.

ADAM 바인딩 리디렉션은 프록시 개체라는 특수 개체를 사용하여 ADAM에 바인딩을 시도할 때 발생합니다. 프록시 개체는 AD의 보안 주체를 나타내는 ADAM의 개체입니다. ADAM의 각 프록시 객체에는 AD에 있는 사용자의 SID가 포함됩니다. 사용자가 프록시 객체에 바인딩을 시도할 때 ADAM은 프록시 객체에 저장된 SID와 바인딩 시 제공되는 비밀번호를 함께 가져와 AD에 SID와 비밀번호를 제시하여 인증합니다. ADAM의 프록시 객체는 비밀번호를 저장하지 않으므로 사용자는 ADAM 프록시 객체를 통해 AD 비밀번호를 변경할 수 없습니다.

초기 바인드 요청이 간단한 LDAP 바인드 요청이므로 비밀번호는 ADAM에게 일반 텍스트로 표시됩니다. 따라서 기본적으로 디렉토리 클라이언트와 ADAM 간에 SSL 연결이 필요합니다. ADAM은 AD에 비밀번호를 제공하기 위해 Windows 보안 API를 사용합니다.

바인딩 리디렉션에 대한 자세한 내용은 ADAM 바인딩 리디렉션 이해를 참조하십시오.

CUCM의 Active Directory 다중 포리스트 지원 시나리오

이 방법을 설명하기 위해 Cisco Systems(Forest 2)가 다른 두 회사를 인수하는 시나리오를 상상해 보십시오. Tandberg(포리스트 3) 및 Webex(포리스트 1). 마이그레이션 단계에서는 각 회사의 AD 구조를 통합하여 단일 Cisco Unified Communications 클러스터를 구축할 수 있도록 합니다.

이 예에서 회사 Cisco(Forest 2)에는 CISCO(dns cisco.com)라는 포리스트 루트 도메인과 EMERG(dns emerg.cisco.com)라는 하위 도메인이 있습니다. 두 도메인 모두 글로벌 카탈로그인 도메인 컨트롤러가 있으며, 각 도메인 컨트롤러는 Windows 2008 Server SP2에서 호스팅됩니다.

Company Tandberg(포리스트 3)에는 도메인 컨트롤러가 있는 단일 도메인이 있으며, 이 도메인 컨트롤러는 또한 글로벌 카탈로그이며 Windows 2008 Server SP2에서 호스팅됩니다.

회사 Webex(포리스트 1)에는 도메인 컨트롤러가 있는 단일 도메인이 있으며, 이 도메인 컨트롤러는 또한 글로벌 카탈로그이며 Windows 2003 R2 Server SP2에서 호스팅됩니다.

AD LDS는 CISCO 도메인의 도메인 컨트롤러에 설치되거나 별도의 시스템일 수 있습니다. 실제로 세 포리스트 중 한 포리스트의 어느 곳에나 있을 수 있습니다. DNS 인프라는 한 포리스트의 도메인이 다른 포리스트의 도메인과 통신할 수 있고 포리스트 간에 적절한 신뢰 관계 및 검증을 설정할 수 있도록 마련되어야 합니다.

도메인 트러스트 관계

사용자 인증이 작동하려면 ADAM 인스턴스가 호스팅된 도메인과 사용자 계정을 호스팅하는 다른 도메인 간에 신뢰가 있어야 합니다. 이 트러스트는 필요한 경우 단방향 트러스트가 될 수 있습니다(ADAM 인스턴스를 호스팅하는 도메인에서 사용자 계정을 호스팅하는 도메인으로 트러스트를 보내는 경우). 이렇게 하면 ADAM 인스턴스가 해당 계정 도메인의 DC에 인증 요청을 전달할 수 있습니다.

또한 도메인에 속한 모든 사용자 계정의 모든 특성에 액세스할 수 있는 두 계정 도메인의 사용자 계정이 있어야 합니다. 이 어카운트는 Account Domain 사용자를 ADAM과 동기화하기 위해 ADAMSync에서 사용합니다.

마지막으로, ADAM을 실행하는 시스템은 모든 도메인(DNS)을 찾고, 두 도메인(DNS 포함)에서 도메인 컨트롤러를 찾고, 이러한 도메인 컨트롤러에 연결할 수 있어야 합니다.

인터트러스트 관계를 설정하려면 다음 단계를 완료하십시오.

Active Directory 도메인 및 트러스트를 열고 AD LDS를 호스팅하는 도메인을 마우스 오른쪽 단추로 클릭한 다음 속성을 선택합니다.
Trust(신뢰) 탭을 클릭하고 New Trust(새 신뢰)를 클릭합니다.
마법사를 따라 트러스트를 설정할 도메인의 이름을 입력합니다. Next(다음)를 클릭합니다.
포리스트 트러스트 라디오 버튼을 클릭합니다. Next(다음)를 클릭합니다.
신뢰의 방향에서는 '단방향: outgoing'은 필수입니다. 단방향을 클릭합니다. 발신 라디오 버튼 Next(다음)를 클릭합니다.
마법사가 두 도메인을 모두 구성하도록 허용합니다. Both this domain and the specified domain 라디오 버튼을 클릭합니다. Next(다음)를 클릭합니다.
다른 도메인에 대한 자격 증명을 입력합니다. Next(다음)를 클릭합니다.
포리스트 전체 인증 라디오 버튼을 클릭합니다. Next(다음)를 클릭합니다.
예, 발신 신뢰 확인 라디오 버튼을 클릭합니다. Next(다음)를 클릭합니다.

Tandberg 및 Webex 도메인 모두에 대해 이 프로세스를 실행한 후 받은 결과입니다. 도메인 출현은 자식 도메인이므로 기본적으로 여기에 있습니다. OK(확인)를 클릭합니다.

AD LDS 설치

2008년에 AD LDS 설치

서버 관리자를 열고 역할을 클릭한 다음 역할 추가를 클릭합니다.
Active Directory LDS(Lightweight Directory Services) 확인란을 선택합니다. Next(다음)를 클릭합니다.
AD LDS 서비스 설치 진행 창이 나타납니다.

2012년에 AD LDS 설치

2012년에 AD LDS를 설정하려면 다음 단계를 완료하십시오.

Server Manager(서버 관리자)를 열고 Add Roles and Features(역할 및 기능 추가)를 선택합니다. Installation Type 페이지로 이동하려면 Next(다음)를 클릭하고 Installation Type(설치 유형)을 클릭합니다.
기본 옵션을 선택하고 다음을 클릭합니다.
기본 서버를 선택하려면 Select a server from the server pool(서버 풀에서 서버 선택) 라디오 버튼을 클릭합니다. Next(다음)를 클릭합니다.
Active Directory LDS(Lightweight Directory Services) 확인란을 선택하고 Add Features(기능 추가)를 클릭합니다. 설치를 계속합니다.
후속 페이지에서 다음을 클릭합니다.
필요한 경우 대상 서버를 자동으로 다시 시작 확인란을 클릭하고 설치를 클릭하여 기능을 설치합니다.
설치가 성공적으로 완료되면 Close(닫기)를 클릭하여 마법사를 닫습니다.

여러 포리스트 지원을 위한 인스턴스 설치

AD LDS는 서로 다른 포트를 사용하여 서비스의 서로 다른 인스턴스를 실행할 수 있으므로 같은 컴퓨터에서 서로 다른 사용자 디렉터리 "응용 프로그램"을 실행할 수 있습니다. 기본적으로 AD LDS는 포트 389/LDAP 및 636/LDAPS를 선택하지만, 시스템에 이미 이를 실행하는 LDAP 서비스 유형이 있는 경우 포트 50000/LDAP 및 50001/LDAPS를 사용합니다. 각 인스턴스에는 사용된 이전 번호에 따라 증가하는 포트 쌍이 있습니다.

Microsoft 버그로 인해 Microsoft DNS 서버에서 포트를 이미 사용하고 인스턴스 마법사에서 오류를 표시하는 경우가 있습니다(설명이 필요 없음). 이 오류는 TCP/IP 스택에서 포트를 예약할 때 수정할 수 있습니다. 이 문제를 발견하면 AD LDS 서비스 시작 실패, "설치 프로그램에서 서비스를 시작할 수 없습니다..." 오류를 참조하십시오. + 오류 코드 8007041d.

2008년 다중 포리스트 지원

서버 관리자에서 Roles(역할)를 선택한 다음 Active Directory LDS(Lightweight Directory Services)를 선택합니다. AD LDS 인스턴스를 만들려면 여기를 클릭하십시오.
A unique instance 라디오 버튼을 클릭합니다. Next(다음)를 클릭합니다.
Instance name 필드에 인스턴스의 이름을 입력합니다. 이 예에서는 MultiForest입니다. Next(다음)를 클릭합니다.
선택한 LDAP 포트 번호 및 SSL 포트 번호를 입력하거나 시스템에서 자동으로 선택할 수 있도록 합니다. Next(다음)를 클릭합니다.
참고: CUCM은 단일 응용 프로그램 디렉터리 파티션만 지원합니다. 다중 파티션은 현재 지원되지 않습니다.

5단계를 참조하십시오. 응용 프로그램 디렉터리 파티션을 만드는 방법에 대한 자세한 내용은 응용 프로그램 디렉터리 파티션 작업을 연습하십시오. 동기화할 각 도메인에 대한 디렉터리 파티션을 만드는 프로세스는 LDAP 조회(RFC 2251)를 기반으로 하며 LDAP 클라이언트(CUCM, CUP 등)에서 조회를 지원해야 합니다.

예, 응용 프로그램 디렉터리 파티션 만들기 라디오 버튼을 클릭합니다. 인스턴스의 파티션 이름 필드에 파티션 이름을 입력합니다. 대부분의 경우 스키마에 오류가 발생하기 때문에 마법사의 예에서와 같이 cn을 제공하지 마십시오. 이 시나리오에서는 AD LDS를 호스팅하는 AD 도메인 컨트롤러와 동일한 파티션(dc=Cisco,dc=com)을 입력했습니다. Next(다음)를 클릭합니다.
This account(이 어카운트) 라디오 버튼을 클릭합니다. 서버를 시작하려면 사용자 이름과 암호를 입력하십시오. Next(다음)를 클릭합니다.
Currently logged on user(현재 로그온된 사용자) 라디오 버튼을 클릭합니다. 관리 권한이 있는 사용자의 이름을 입력합니다. Next(다음)를 클릭합니다.
스키마를 빌드하기 위해 강조 표시된 기본 LDIF 파일을 가져옵니다. Next(다음)를 클릭합니다.

참고: ADAM이 Windows 2003 서버에 설치된 경우 이전 화면에는 4가지 옵션만 있습니다. MS-AZMan.LDF, MS-InetOrgPerson.LDF, MS-User.LDF 및 MS-UserProxy.LDF. 이 네 가지 중에서 MS-User.LDF 및 MS-InetOrgPerson.LDF의 확인란만 선택합니다.

2012년 다중 포리스트 지원

관리 도구를 열고 Active Directory LDS(Lightweight Directory Services) 설치 마법사를 두 번 클릭합니다.
Next(다음)를 클릭합니다.
A unique instance 라디오 버튼을 선택합니다. Next(다음)를 클릭합니다.
인스턴스의 Instance Name(인스턴스 이름) 및 Description(설명)을 입력합니다. "MultiForest"라는 이름이 여기에 입력되어 있습니다. Next(다음)를 클릭합니다.
LDAP 및 SSL 포트 번호를 입력합니다. 기본 포트는 각각 389와 636입니다. 도메인 서버가 하위 서버이고 상위 도메인이 이러한 포트를 사용하는 경우 기본적으로 다른 포트 번호가 채워집니다. 그런 경우에는 변경하지 말고 설치를 계속하십시오. Next(다음)를 클릭합니다.
여기서는 기본적으로 다른 포트 번호가 채워져 있습니다. Next(다음)를 클릭합니다.
참고: CUCM은 단일 응용 프로그램 디렉터리 파티션만 지원합니다. 다중 파티션은 현재 지원되지 않습니다.

5단계를 참조하십시오. 응용 프로그램 디렉터리 파티션을 만드는 방법에 대한 자세한 내용은 응용 프로그램 디렉터리 파티션 작업을 연습하십시오. 동기화할 각 도메인에 대한 디렉터리 파티션을 만드는 프로세스는 LDAP 조회(RFC 2251)를 기반으로 하며 LDAP 클라이언트(CUCM, CUP 등)에서 조회를 지원해야 합니다. 자세한 내용은 Microsoft 지원을 참조하십시오.

예, 응용 프로그램 디렉터리 파티션 만들기 라디오 버튼을 클릭합니다. 파티션 이름을 입력합니다. LDS에 대한 파티션을 cisco.com으로 만듭니다. 임의의 적합한 값이 제공될 수 있다. Next(다음)를 클릭합니다.
다음 페이지에서 기본 옵션을 선택하고 계속합니다.
MS-InetOrgPerson.LDF, MS-User.LDF, MS-UserProxy.LDF 및 MS-UserProxyFull.LDF 확인란을 선택합니다. Next(다음)를 클릭합니다.
설치를 시작하려면 Next(다음)를 클릭합니다.
설치가 성공적으로 완료되었습니다. Finish(마침)를 클릭합니다.

ADAM 스키마 분석기 구성

사용자 ID(sAMAccountNames)가 서로 다른 도메인에서 고유하고 동일한 ID를 가진 여러 사용자가 서로 다른 포리스트의 서로 다른 도메인에 있지 않은 경우, AD에서 AD LDS의 각 포리스트로 사용자를 동기화할 수 있습니다. 이러한 모든 사용자는 다중 포리스트 설정에서 AD LDS의 단일 파티션에 존재할 수 있습니다. 예를 들어, CUCM 섹션의 Active Directory 다중 포리스트 지원 시나리오의 그림을 고려해 보면, 사용자 ID 'alice'가 세 가지 도메인 중 하나에만 있는 경우 이 시나리오의 설정은 다음과 같습니다.

파티션 포리스트 DN

P1 cisco.com DC=cisco,DC=com

webex.com DC=webex, DC=cisco,DC=com

tandberg.com DC=Tandberg, DC=cisco,DC=com

AD LDS로 CUCM을 구성하려면 사용자 ID(sAMAccountName)가 모든 포리스트에서 고유해야 합니다. CUCM은 현재 AD LDS에서 단일 파티션만 지원합니다.

sAMAccountNames가 고유하지 않은 경우 사용자 계정(email, telephoneNumber, employeeNumber, uid 또는 userPrincipalName)을 고유하게 식별하는 경우 이러한 특성 중 하나를 사용하는 것이 좋습니다.

도메인에서 ADAM으로 스키마를 복사합니다.
AD DS/LDS 스키마 분석기(ADSchemaAnalyzer.exe)를 c:\windows\adam 디렉터리에서 엽니다.
파일 > 대상 스키마 로드를 선택합니다.
가져올 소스 AD 도메인 컨트롤러의 자격 증명을 제공하십시오. OK(확인)를 클릭합니다.
File(파일) > Load base schema(기본 스키마 로드)를 선택합니다.
스키마를 연결하고 확장할 AD LDS를 지정하십시오. OK(확인)를 클릭합니다.
[스키마] > [모든 비존재 요소를 포함된 것으로 표시]를 선택합니다.
File(파일) > Create LDIF file(LDIF 파일 생성)을 선택합니다. 이 예에서 이 단계를 통해 생성된 파일은 diff-schema.ldf입니다. 프로세스를 간소화하려면 c:\windows\adam에서 파일을 만들어야 합니다.

생성해야 하는 파일을 구성하는 데 사용할 수 있는 옵션은 기본 c:\windows\adam 디렉토리에서 이러한 파일을 분리할 수 있도록 별도의 디렉토리를 만드는 것입니다. 명령 프롬프트를 열고 c:\windows\adam에서 로그 디렉토리를 만듭니다.
```
cd \windows\adam
mkdir logs
```
ADSchema Analyzer로 만든 ldif 스키마를 AD LDS로 가져옵니다.
```
ldifde -i -s localhost:50000 -c CN=Configuration,DC=X
 #ConfigurationNamingContext -f diff-schema.ldf -j c:\windows\adam\logs
```
추가 ldifde 옵션 및 명령 형식에 대해서는 LDIFDE를 사용하여 디렉토리 객체를 Active Directory로 가져오고 내보내기를 참조하십시오.

사용자 프록시 개체를 사용하여 AD LDS 스키마 확장

프록시 인증을 위한 객체를 만들어야 하며 객체 클래스 'user'를 사용하지 않습니다. 생성된 객체 클래스 userProxy는 바인드 리디렉션을 허용하는 것입니다. 객체 클래스 세부 정보는 ldif 파일에서 생성해야 합니다. 이 파일은 새 파일을 만드는 것이며, 이 예에서는 MS-UserProxy-Cisco.ldf입니다. 이 새 파일은 원래 MS-UserProxy.ldf에서 생성되고 텍스트 편집 프로그램을 사용하여 다음 내용을 포함합니다.

#==================================================================
# @@UI-Description: AD LDS simple userProxy class.
#
# This file contains user extensions for default ADAM schema.
# It should be imported with the following command:
#   ldifde -i -f MS-UserProxy.ldf -s server:port -b username domain password -k -j . -c 
"CN=Schema,CN=Configuration,DC=X" #schemaNamingContext
#
#==================================================================

dn: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: top
objectClass: classSchema
cn: User-Proxy
subClassOf: top
governsID: 1.2.840.113556.1.5.246
schemaIDGUID:: bxjWYLbzmEiwrWU1r8B2IA==
rDNAttID: cn
showInAdvancedViewOnly: TRUE
adminDisplayName: User-Proxy
adminDescription: Sample class for bind proxy implementation.
objectClassCategory: 1
lDAPDisplayName: userProxy
systemOnly: FALSE
possSuperiors: domainDNS
possSuperiors: organizationalUnit
possSuperiors: container
possSuperiors: organization
defaultSecurityDescriptor:
 D:(OA;;CR;ab721a53-1e2f-11d0-9819-00aa0040529b;;PS)S:
defaultHidingValue: TRUE
defaultObjectCategory: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
systemAuxiliaryClass: msDS-BindProxy
systemMayContain: userPrincipalName
systemMayContain: givenName
systemMayContain: middleName
systemMayContain: sn
systemMayContain: manager
systemMayContain: department
systemMayContain: telephoneNumber
systemMayContain: mail
systemMayContain: title
systemMayContain: homephone
systemMayContain: mobile
systemMayContain: pager
systemMayContain: msDS-UserAccountDisabled
systemMayContain: samAccountName
systemMayContain: employeeNumber
systemMayContain: initials
systemMayContain: ipPhone
systemMayContain: displayName 
systemMayContain: msRTCSIP-primaryuseraddress
systemMayContain: uid

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

C:\windows\adam에 MS-UserProxy-Cisco.ldf 파일을 저장합니다.

새 개체 클래스를 AD LDS로 가져옵니다.

ldifde -i -s localhost:50000 -c CN=Configuration,DC=X #ConfigurationNamingContext -f
 MS-UserProxy-Cisco.ldf -j c:\windows\adam\logs

AD DC에서 AD LDS로 사용자 가져오기

이제 각 도메인의 사용자를 AD LDS로 가져와야 합니다. 동기화해야 하는 각 도메인에 대해 이 단계를 반복해야 합니다. 이 예에서는 도메인 중 하나에 대한 프로세스만 보여줍니다. 원래 MS-AdamSyncConf.xml로 시작하여 동기화해야 하는 각 도메인에 대한 XML 파일을 만들고 각 도메인에 대한 세부 정보가 포함된 파일을 수정하여 다음 내용을 포함합니다.

<?xml version="1.0"?>
<doc> 
 <configuration>  
  <description>Adam-Sync1</description>  
  <security-mode>object</security-mode>         
  <source-ad-name>ad2k8-1</source-ad-name>  
  <source-ad-partition>dc=cisco,dc=com</source-ad-partition>
  <source-ad-account></source-ad-account>               
  <account-domain></account-domain>
  <target-dn>dc=cisco,dc=com</target-dn>  
  <query>   
   <base-dn>dc=cisco,dc=com</base-dn>
    <object-filter>
(&#124;(&amp;(!cn=Administrator)(!cn=Guest) (!cn=ASPNET)
(!cn=krbtgt)(sAMAccountType=805306368))(&amp;(objectClass=user)(isDeleted=TRUE)))
    </object-filter>
   <attributes>
    <include>objectSID</include>
    <include>mail</include> 
    <include>userPrincipalName</include>
    <include>middleName</include> 
    <include>manager</include> 
    <include>givenName</include> 
    <include>sn</include> 
    <include>department</include> 
    <include>telephoneNumber</include> 
    <include>title</include> 
    <include>homephone</include> 
    <include>mobile</include> 
    <include>pager</include> 
    <include>msDS-UserAccountDisabled</include>
    <include>samAccountName</include>
    <include>employeeNumber</include>
    <include>initials</include>
    <include>ipPhone</include>
    <include> displayName</include> 
    <include> msRTCSIP-primaryuseraddress</include>
    <include>uid</include>
    <exclude></exclude>
   </attributes>  
  </query>
 <user-proxy>
    <source-object-class>user</source-object-class>
    <target-object-class>userProxy</target-object-class>
  </user-proxy>  
  <schedule>   
   <aging>    
    <frequency>0</frequency>    
    <num-objects>0</num-objects>   
   </aging>   
   <schtasks-cmd></schtasks-cmd>  
  </schedule> 
 </configuration> 
 <synchronizer-state>  
  <dirsync-cookie></dirsync-cookie>  
  <status></status>  
  <authoritative-adam-instance></authoritative-adam-instance>
  <configuration-file-guid></configuration-file-guid>  
  <last-sync-attempt-time></last-sync-attempt-time>  
  <last-sync-success-time></last-sync-success-time>  
  <last-sync-error-time></last-sync-error-time>  
  <last-sync-error-string></last-sync-error-string>  
  <consecutive-sync-failures></consecutive-sync-failures>  
  <user-credentials></user-credentials>  
  <runs-since-last-object-update></runs-since-last-object-update>
  <runs-since-last-full-sync></runs-since-last-full-sync> 
 </synchronizer-state>
</doc>

이 파일에서 이러한 태그는 도메인과 일치하도록 교체해야 합니다.

<source-ad-name> - 도메인의 호스트 이름을 사용합니다.
<source-ad-partition> - 가져올 소스 AD DC의 루트 파티션을 사용합니다(예: dc=Cisco, dc=com 또는 dc=Tandberg, dc=com).
<base-dn> - 가져올 컨테이너를 선택합니다. 예를 들어 도메인의 모든 사용자가 필요한 경우 <source-ad-partition>과 동일해야 하지만, 사용자가 특정 조직 단위(예: Finance OU)의 사용자인 경우 OU=Finance, DC=Cisco, DC=com과 유사해야 합니다.

새로 만든 XML 파일을 C:\windows\adam에 저장합니다.

명령 창(cd \windows\adam)을 엽니다.

ADAMSync /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log 명령을 입력합니다.

AdamSyncConf1.xml 파일이 새로 만든 XML 파일인지 확인합니다.

ADAMSync /sync localhost:50000 "dc=cisco,dc=com" /log c:\windows\adam\logs\sync.log 명령을 사용하여 사용자를 동기화합니다.

결과는 다음과 유사해야 합니다.

AD에서 ADAM으로 자동 동기화를 완료하려면 Windows의 작업 스케줄러를 사용합니다.

다음 내용이 포함된 .bat 파일을 만듭니다.

"C:\Windows\ADAM\ADAMSync" /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log

"C:\Windows\ADAM\ADAMSync" /sync localhost:50000 "dc=cisco,dc=com" /log c:\windows\adam\logs\syn.log

필요한 경우 .bat 파일을 실행하도록 작업을 예약합니다. 이는 AD에서 발생하는 추가, 수정 및 삭제를 처리하여 ADAM에도 반영합니다.

다른 .bat 파일을 만들고 다른 포리스트에서 자동 동기화를 완료하도록 예약할 수 있습니다.

AD LDS에서 CUCM 동기화 및 인증을 위한 사용자 만들기

Startup(시작) 메뉴의 Administrator(관리자) 도구에서 ADSI Edit(ADSI 편집)를 엽니다.
[파일] > [연결](또는 [작업] > [연결 대상])을 선택합니다.
AD LDS 트리의 기본 dn(DC=Cisco,DC=com)에 연결하고 호스트되는 호스트와 포트(localhost:50000)를 지정합니다. OK(확인)를 클릭합니다.
기본 DN을 마우스 오른쪽 버튼으로 클릭하고 New(새로 만들기) > Object(개체)를 선택합니다.
사용자를 선택합니다. Next(다음)를 클릭합니다.
값 필드에 선택한 객체 이름을 입력합니다. 이 예에서 "root"는 선택한 이름입니다(여기서 모든 이름을 선택할 수 있음). Next(다음)를 클릭합니다.
새 사용자에게 비밀번호를 제공하려면 사용자를 마우스 오른쪽 단추로 누르고 비밀번호 재설정을 선택합니다.
새 사용자는 기본적으로 비활성화되어 있습니다. 새 사용자를 활성화하려면 사용자를 마우스 오른쪽 단추로 누르고 등록 정보를 선택합니다.
msDS-UserAccountDisabled 속성을 찾아 Edit(편집)를 클릭합니다.
사용자 계정을 활성화하려면 False 라디오 버튼을 클릭합니다. OK(확인)를 클릭합니다.
비밀번호가 만료되지 않도록 하려면 True 라디오 버튼을 클릭합니다. OK(확인)를 클릭합니다.
새 사용자를 AD LDS에 대한 읽기 권한이 있는 한 그룹에 추가해야 합니다. 이 예에서는 Administrators를 선택했습니다. CN=Roles > CN=Administrators로 이동합니다. CN=Administrators를 마우스 오른쪽 버튼으로 클릭하고 Properties를 선택합니다.
속성 멤버를 선택하고 편집을 누릅니다.
이전에 생성한 새 DN(cn=root,dc=Cisco,dc=com)을 이 그룹에 입력합니다. OK(확인)를 클릭합니다.
Update Schema Now(지금 스키마 업데이트)를 선택하고 AD LDS를 다시 시작합니다.

바인딩 리디렉션 구성

기본적으로 바인딩 리디렉션을 사용하여 ADAM에 바인딩하려면 SSL 연결이 필요합니다. SSL을 사용하려면 ADAM을 실행하는 컴퓨터와 클라이언트로 ADAM에 연결하는 컴퓨터에 인증서를 설치하고 사용해야 합니다. 인증서가 ADAM 테스트 환경에 설치되지 않은 경우 대안으로 SSL 요구 사항을 비활성화할 수 있습니다.

기본적으로 SSL은 활성화되어 있습니다. LDAPS 프로토콜이 ADAM/LDS에서 작동하도록 하려면 인증서를 생성해야 합니다.

이 예에서는 Microsoft Certification Authority Server를 사용하여 인증서를 발급합니다. 인증서를 요청하려면 Microsoft CA의 웹 페이지(http://<MSFT CA hostname>/certsrv)로 이동하여 다음 단계를 완료하십시오.

Request a certificate(인증서 요청)를 클릭합니다.
Advanced certificate request(고급 인증서 요청)를 클릭합니다.
Create(생성)를 클릭하고 이 CA에 요청을 제출합니다.
Name(이름) 텍스트 상자에 ADAM/AD LDS 서버의 전체 DNS 이름을 입력합니다.
인증서의 유형이 서버 인증 인증서인지 확인합니다.
형식에서 PCKS10을 선택합니다.
내보낼 수 있는 키로 표시를 선택합니다.
선택적으로, 다른 정보를 입력합니다.
Friendly name(친숙한 이름) 텍스트 상자에 ADAM/AD LDS 서버의 전체 dns 이름을 입력합니다.
Submit(제출)을 클릭합니다.

인증 기관 인터페이스로 돌아가 Pending Certificates 폴더를 클릭합니다. ADAM/AD-LDS 컴퓨터에서 수행한 인증서 요청을 마우스 오른쪽 단추로 클릭하고 인증서를 발급합니다.

이제 인증서가 생성되어 "Issued certificates" 폴더에 있습니다. 다음으로 인증서를 다운로드하여 설치해야 합니다.

http://<MSFT CA hostname>/certsrv를 엽니다.
보류 중인 인증서 요청의 상태 보기를 클릭합니다.
인증서 요청을 클릭합니다.
인증서를 설치하려면 인증서를 클릭합니다.

ADAM 서비스가 인증서를 사용하도록 하려면 ADAM 서비스의 개인 저장소에 인증서를 저장해야 합니다.

시작 메뉴에서 실행을 선택합니다. mmc를 입력합니다. 관리 콘솔이 열립니다.
File(파일) \ Add/Remove(추가/제거) 스냅인을 클릭합니다.
Add(추가)를 클릭하고 Certificates(인증서)를 선택합니다.
서비스 계정을 선택합니다.
Local computer(로컬 컴퓨터)를 선택합니다.
ADAM 인스턴스 서비스를 선택합니다.
새 인증서 스냅인을 추가하지만 이번에는 서비스 계정 대신 내 사용자 계정을 선택합니다.
Close(닫기)를 클릭하고 Ok(확인)를 클릭합니다.
Certificates - Current user-tree(인증서 - 현재 사용자 트리)에서 Personal(개인) 폴더를 엽니다.
인증서를 선택하고 "Certificates - adam instance name(인증서 - adam 인스턴스 이름)" 아래의 동일한 위치에 복사합니다.

네트워크 서비스 계정에 서버 인증 인증서에 대한 읽기 권한을 부여하려면 다음 단계를 완료하십시오.

설치 또는 가져온 인증서가 저장된 이 기본 디렉토리(C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys)로 이동합니다.
적절한 서버 인증 인증서를 마우스 오른쪽 버튼으로 클릭합니다. 속성을 클릭합니다.
보안 탭을 클릭합니다. Edit를 클릭합니다.
Permissions(권한) 대화 상자에서 Add(추가)를 클릭합니다.
사용자, 컴퓨터 또는 그룹 선택 대화 상자에서 네트워크 서비스를 입력합니다. OK(확인)를 클릭합니다.
ADAM 인스턴스를 다시 시작합니다.

자세한 내용은 부록 A를 참조하십시오. AD LDS에 대한 LDAP over SSL 요구 사항 구성

그런 다음 인증서를 발급한 CA의 인증서를 ADAM/AD LDS 시스템에 CUCM 디렉토리 신뢰로 업로드합니다.

자세한 내용은 Cisco Unified Communications Operations System 관리 설명서를 참조하십시오.

LDAP Directory(LDAP 디렉토리) 페이지 및 LDAP Authentication(LDAP 인증) 페이지에서 SSL을 사용하려면 확인란을 선택합니다.

LDAP 포트에 50001(이 예에서는)를 입력합니다. 이는 ADAM/AD LDS 인스턴스를 설치할 때 제공된 SSL 포트 번호입니다.

바인딩 리디렉션에 대한 SSL 요구 사항을 비활성화하려면 다음 단계를 완료하십시오.

시작을 클릭하고 관리 도구를 가리킨 다음 ADSI 편집을 클릭합니다.
Action(작업) 메뉴에서 Connect to(연결 대상)를 선택합니다.
Computer(컴퓨터) 필드에 localhost:50000(ADAM 호스트 및 포트)을 입력합니다.
Connection Point(연결 지점) 섹션에서 Select a well-known Naming Context(잘 알려진 명명 컨텍스트 선택) 라디오 버튼을 클릭합니다. 드롭다운 목록에서 Configuration을 선택합니다. OK(확인)를 클릭합니다.
콘솔 트리에서 컨피그레이션 파티션의 이 컨테이너 개체로 이동합니다. CN=디렉터리 서비스,CN=Windows NT,CN=서비스
CN=Directory Service(CN=디렉토리 서비스)를 마우스 오른쪽 버튼으로 클릭하고 Properties(속성)를 선택합니다.
속성에서 msDS-Other-Settings를 클릭합니다. Edit를 클릭합니다.
값에서 RequireSecureProxyBind=1을 클릭한 다음 제거를 클릭합니다.
추가할 값에서 RequireSecureProxyBind=0을 입력하고 Add(추가)를 클릭한 다음 OK(확인)를 클릭합니다.
변경 내용을 적용하려면 AD LDS를 다시 시작하십시오.

CUCM 구성

ADAM/AD LDS 동기화 및 인증은 CUCM 버전 9.1(2) 이상에서 지원됩니다.

System(시스템) > LDAP > LDAP System(LDAP 시스템)을 선택합니다.
Microsoft ADAM 또는 Lightweight Directory Services를 선택합니다.
다음 LDAP 사용자 ID 특성 중 하나를 선택할 수 있습니다. mail, employee Number 또는 telephone Number입니다.
uid는 독립형 ADAM/AD LDS에서만 사용되며 AD 다중 포리스트 지원에서는 사용되지 않습니다.

현재 LDAP 서버 유형 "Microsoft ADAM 또는 LDS(Lightweight Directory Services)" 모드의 경우, 사용자 ID에 대한 LDAP 특성 드롭다운에 samAccountName이 포함되지 않습니다. 독립 실행형 ADAM/AD LDS에서 지원되는 특성이 아니기 때문입니다. sAMAccountName에 매핑된 CUCM 사용자 ID를 사용해야 하는 경우 해당 계약을 AD로 구성해야 합니다.
AD LDS에서 생성한 사용자의 자격 증명으로 LDAP 동기화를 구성합니다.
AD LDS에서 만든 사용자의 자격 증명으로 LDAP 인증을 구성합니다.

CUCM의 LDAP 필터

객체 클래스 User는 더 이상 사용되지 않습니다. 따라서 User 대신 userProxy를 사용하도록 LDAP 필터를 변경해야 합니다.

기본 필터는 다음과 같습니다.
(&(objectclass=user)(!(objectclass=Computer))(!(msDS-UserAccountDisabled=TRUE))

이 필터를 수정하려면 웹 브라우저를 사용하여 CCMAdmin에 로그인하고 LDAP 컨피그레이션 메뉴에서 LDAP Custom Filter(LDAP 맞춤형 필터) 옵션을 선택합니다.

이 필터는 이전 그림과 같이 LDAP 동기화 계약을 구성하는 동안 LDAP 디렉토리 페이지에서 사용됩니다.

Cisco 엔지니어가 작성