Inhoud

Inleiding

Overzicht

Scenario 1 - Alle gebruikers en groepen ontbreken in het dashboard

Scenario 2 - Nieuw gemaakte gebruikers/groepen ontbreken in het dashboard

Scenario 3 - Specifieke AD-objecten ontbreken in het dashboard

Scenario 4 - AD Sync werkt, maar sommige AD-objecten worden niet gesynchroniseerd

Scenario 5 - Bepaalde ingebouwde AD-groepen en -rollen zijn niet zichtbaar in de wizard Cisco Umbrella Policy

Inleiding

In dit document wordt beschreven hoe u problemen kunt oplossen met Active Directory (AD)-gebruikers die ontbreken in het dashboard van de overkoepelende toepassing.

Overzicht

De OpenDNS-connector voert een synchronisatie uit tegen Active Directory om een lijst met AD-gebruikers, -groepen en -computers te retourneren. Deze lijst wordt vervolgens veilig op het Umbrella-dashboard geplaatst, zodat ze kunnen worden gebruikt voor beleid en rapportage.

Opmerking: Als u versie 1.1.24 of hoger van de Connector-software gebruikt, is het mogelijk om op te geven welke AD-groepen met Umbrella zijn gesynchroniseerd.

U kunt controleren welke objecten zijn gesynchroniseerd met het Dashboard door te navigeren naar Implementaties > Kernidentiteiten > Gebruikers en groepen.

Scenario 1 - Alle gebruikers en groepen ontbreken in het dashboard

Als alle gebruikers ontbreken op het tabblad Identiteiten, geeft dit aan dat de AD-synchronisatie niet heeft plaatsgevonden.

26022106541844

Mogelijke oorzaken zijn:

- De Active Directory-integratie is niet geconfigureerd of de OpenDNS-connector is niet geïnstalleerd. Zie de documentatie van Active Directory Identity Integrations voor meer informatie.

- De OpenDNS-connector kan geen contact maken met de domeincontroller op de vereiste poorten.

- Er is een machtigingsfout opgetreden waardoor de OpenDNS_Connector-gebruiker de directory niet via LDAP kan lezen.

- Er is een probleem met de gebruikersaccount van OpenDNS_Connector (die wordt gebruikt voor de synchronisatie).  Het wachtwoord dat tijdens de installatie van de connector is ingevoerd, kan onjuist zijn of de account kan zijn vergrendeld.

- De OpenDNS-connectorservice is geïnstalleerd, maar werkt niet. De meest voorkomende oorzaak is dat ldifde.exe (gebruikt om de AD-synchronisatie via LDAP uit te voeren) niet is geïnstalleerd (meestal wordt deze opgenomen in de AD LDS-rol), met name wanneer de Connector is geïnstalleerd op een andere machine dan een Domeincontroller. Bekijk de voorwaarden voor niet-DC-installatie.

- Het bestand C:\CiscoUmbrellaADGroups.dat bestaat, maar is leeg of heeft een onjuiste indeling.

Neem voor meer informatie contact op met Cisco Umbrella Support via de Connector-logs.

Scenario 2 - Nieuw gemaakte gebruikers/groepen ontbreken in het dashboard

De Connector synchroniseert regelmatig met Active Directory om te bepalen of er wijzigingen in de directory zijn opgetreden met behulp van LDAP. Als er een recente wijziging is opgetreden, wordt een volledige LDAP-synchronisatie uitgevoerd. Het kan enkele uren duren voordat nieuwe gebruikers / groepen in het Dashboard van kracht worden.

Als er nooit nieuwe gebruikers verschijnen, kan dit komen door:

- De OpenDNS_Connector-account heeft geen toestemming voor 'replicerende mapwijzigingen' die nodig zijn om wijzigingen in AD te bewaken. Zorg ervoor dat de OpenDNS_Connector lid is van de groep 'Enterprise Read-Only Domain Controllers' om de juiste machtigingen toe te wijzen.

- De connector kon eerder synchroniseren, maar is nu niet in staat. Zie de stappen in dit artikel om het probleem op te lossen.

Scenario 3 - Specifieke AD-objecten ontbreken in het dashboard

We raden u aan uw eigen AD-groepen te maken voor gebruik binnen het beleid van Umbrella.

Domeinbeheerders en verschillende andere standaardgroepen zijn uitgesloten van de synchronisatie. Veel bekende groepen die zijn gekoppeld aan achtergrondsoftware (zoals Exchange, SQL en WSUS) zijn ook uitgesloten van de AD-synchronisatie.

Als het bestand C:\CiscoUmbrellaADGroups.dat bestaat, controleert u of het een AD-groep opgeeft die de ontbrekende AD-objecten bevat.

Scenario 4 - AD Sync werkt, maar sommige AD-objecten worden niet gesynchroniseerd

Controleer of de OpenDNS_Connector-gebruiker toestemming heeft om informatie van de ontbrekende objecten "te lezen". In Active Directory hebben alle objecten (inclusief gebruikers, groepen en computers) hun eigen ACL-machtigingen om te bepalen wie hun attributen kan lezen. Voor meer informatie raadpleegt u dit artikel: Problemen oplossen met machtigingen

Als het bestand C:\CiscoUmbrellaADGroups.dat bestaat, controleert u of het een AD-groep opgeeft die de niet-gesynchroniseerde AD-objecten bevat.

Scenario 5 - Bepaalde ingebouwde AD-groepen en -rollen zijn niet zichtbaar in de wizard Cisco Umbrella Policy

Nadat u de integratiecomponenten van Umbrella Active Directory hebt geïmplementeerd, met name de AD Connector, ziet u dat bepaalde ingebouwde AD-groepen niet worden gevonden in de wizard Umbrella Policy.

Niet-ingebouwde AD-groepen, AD-gebruikers en AD-computers zijn echter nog steeds te vinden in de wizard Umbrella Policy, zoals verwacht. De AD Connector importeert met opzet geen ingebouwde AD-groepen naar de Umbrella API. Als zodanig wordt verwacht dat u niet in staat bent om beleid voor deze groepen te definiëren. Raadpleeg dit Knowledge Base-artikel voor meer informatie: Waarom worden bepaalde ingebouwde Active Directory-groepen niet weergegeven in de wizard Umbrella Policy?