Inleiding
Dit document beschrijft ondersteuning voor meerdere AD-domeinen in Cisco Umbrella.
Voorwaarden
Vereisten
Er zijn geen specifieke vereisten van toepassing op dit document.
Gebruikte componenten
De informatie in dit document is gebaseerd op Cisco Umbrella.
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Overzicht
Ondersteuning voor meerdere Active Directory-domeinen in uw overkoepelende organisatie is nu standaard ingeschakeld.
Als u al meerdere AD-domeinen hebt geïntegreerd in afzonderlijke overkoepelende organisaties, kunnen deze organisaties worden geconsolideerd tot één overkoepelende organisatie met ondersteuning voor meerdere AD-domeinen. Raadpleeg dit artikel voor meer details.
Vereisten voor ondersteuning voor meerdere AD-domeinen
- In elk domein moet een gebruikersaccount met de aanmeldnaam OpenDNS_Connector worden aangemaakt en voldoen aan de vereisten die zijn gespecificeerd in de overkoepelende documentatie. Het wordt aanbevolen om hetzelfde wachtwoord voor dit account te behouden voor alle AD-domeinen.
- Voor implementatie met virtuele apparaten is één AD-connector vereist voor elk AD-domein in een overkoepelende site, met indien nodig een optionele tweede connector voor redundantie.
- Als uw implementatie alleen zwervende clients of AnyConnect omvat, kan één AD Connector met meerdere domeinen* AD-gebruikers/groepen synchroniseren vanuit meerdere domeinen. Hiervoor moet de OpenDNS_Connector-account worden aangemaakt met hetzelfde wachtwoord in elk domein. Deze functie is standaard niet ingeschakeld en u moet een supportticket ophalen om dit ingeschakeld te krijgen.
- De AD-connector moet versie 1.2.3 of hoger uitvoeren.
- Alle andere voorwaarden die in de overkoepelende documentatie zijn gespecificeerd, zijn ook van toepassing op multi-AD-domeinen.
Beperkingen van ondersteuning voor meerdere AD-domeinen (implementaties van virtuele apparaten)
- Verificatie voor meerdere domeinen wordt momenteel niet herkend door de AD-connector. Als een AD-gebruiker zich verifieert aan de hand van een lokale domeincontroller die tot een ander AD-domein behoort, kan de AD-connector de AD-toewijzing van de gebruiker-IP voor die gebruiker niet ophalen. Het virtuele toestel kan geen gebruikersidentiteit aan dat IP koppelen en als gevolg daarvan kan een op AD gebaseerd beleid niet worden afgedwongen voor die gebruiker. De oplossing is om domeincontrollers van beide AD-domeinen op te nemen in dezelfde overkoepelende site zolang de criteria voor overkoepelende sites (gespecificeerd in de overkoepelende documentatie) niet worden beïnvloed.
- Het overkoepelende beleid is niet van toepassing op AD-groepen met Cross-Domain-leden. Als u een beleid wilt maken dat van toepassing is op gebruikers uit meerdere domeinen, moet u de relevante groepen/gebruikers uit elk domein aan het beleid toevoegen.
Beperkingen van ondersteuning voor meerdere AD-domeinen (implementatie van roamingclients)
- Implementaties van zwervende clients en AnyConnect worden niet beïnvloed door beperkingen voor verificatie binnen verschillende domeinen.
- Met de functie AD Connector voor meerdere domeinen ingeschakeld, kan Umbrella AD-groepen met groepsleden voor meerdere domeinen ondersteunen. Dit moet expliciet worden aangevraagd door het verhogen van een support ticket. Dezelfde functie maakt het ook mogelijk dat een enkele Connector AD-identiteiten synchroniseert vanuit meerdere AD-domeinen.
Feedback