Integratie van Unified Communications Manager-directory in een omgeving met meerdere bossen configureren

Inleiding

In dit document wordt besproken hoe u Cisco Unified Communication Manager (CUCM)-directoryintegratie kunt configureren in een omgeving met meerdere bossen.   

Voorwaarden

Vereisten

Cisco raadt u aan om:

1. Kennis van implementatie en configuratie van CUCM directory integratie.
2. Kennis van implementatie en configuratie van Microsoft Active Directory Application Manager (ADAM) 2003 of Microsoft Lightweight Directory Services (AD LDS) 2008 of 2012.
3. CUCM versie 9.1(2) of hoger.
4. Wanneer u CUCM Release 9.1(2) of hoger gebruikt, kan het LDAP-filter worden gewijzigd met de beheerderswebinterface. 
5. Het aantal te synchroniseren gebruikersaccounts mag niet hoger zijn dan 60.000 accounts per CUCM Publisher. Wanneer meer dan 60.000 accounts moeten worden gesynchroniseerd, moet de IP Phone Services Software Development Kit (SDK) worden gebruikt om een aangepaste directory te bieden. Raadpleeg het Cisco Developer Network voor meer informatie. Wanneer u Unified CM Release 10.0(1) of hoger gebruikt, is het maximale aantal ondersteunde gebruikersaccounts 160.000.
6. Microsoft ADAM 2003 of Lightweight Directory Services (LDS) 2008 of 2012.
7. De vereiste voor SSL wanneer u bindingsomleiding gebruikt, mag niet worden uitgeschakeld. Als deze optie is uitgeschakeld, wordt het wachtwoord van een Windows-beveiligingshoofd doorgegeven aan de computer waarop ADAM zonder codering wordt uitgevoerd. Daarom moet het alleen in een testomgeving worden uitgeschakeld.
8. De gebruikersnaam (sAMAaccountName ) moet uniek zijn in alle bossen.
9. Als er een AD LDS-instelling is en als de CUCM-gebruikersnaam die aan sAMAaccountName is toegewezen, moet worden gebruikt, moet die overeenkomst worden geconfigureerd als de AD.
10. Wanneer u de vertrouwensrelatie voor het domein configureert tussen het hostdomein voor ADAM-instanties en het hostdomein voor gebruikersaccounts, moeten het domein- en het bosfunctioneel niveau 2003 of hoger zijn.
11. CUCM ondersteunt slechts een enkele toepassingsdirectorypartitie in AD LDS, meerdere partities worden momenteel niet ondersteund.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

voorwoord

Microsoft AD LDS, voorheen bekend als ADAM, kan worden gebruikt om directoryservices te bieden voor directory-toepassingen. In plaats van de Active Directory Domain Service (AD DS)-database van uw organisatie te gebruiken om de toepassingsgegevens met directory op te slaan, kan AD LDS worden gebruikt om de gegevens op te slaan. AD LDS kan worden gebruikt in combinatie met AD DS, zodat u een centrale locatie voor beveiligingsaccounts (AD DS) en een andere locatie kunt hebben om de toepassingsconfiguratie en directorygegevens (AD LDS) te ondersteunen. Met AD LDS kunt u de overhead die gepaard gaat met AD-replicatie verminderen, hoeft u het AD-schema niet uit te breiden om de toepassing te ondersteunen en kunt u de directorystructuur partitioneren zodat de AD LDS-service alleen wordt geïmplementeerd op de servers die de voor directory geschikte toepassing moeten ondersteunen.

• Installeren vanaf mediageneratie - De mogelijkheid om installatiemedia voor AD LDS te maken met Ntdsutil.exe of Dsdbutil.exe.
• Audit - Audit veranderde waarden binnen de directoryservice.
• Database Mounting Tool - Geeft u de mogelijkheid om gegevens te bekijken in momentopnamen van de databasebestanden.
• AD Sites and Services Support - Geeft u de mogelijkheid om AD Sites and Services te gebruiken om de replicatie van de wijzigingen in de AD LDS-gegevens te beheren.
• Dynamische Lijst van LDIF-bestanden - Met deze functie kunt u aangepaste LDIF-bestanden koppelen aan de huidige standaard LDIF-bestanden die worden gebruikt voor het instellen van AD LDS op een server.
• Recursieve Linked-Attribute Queries - LDAP-query's kunnen geneste attribuutkoppelingen volgen om extra attribuuteigenschappen te bepalen, zoals groepslidmaatschappen.

Er zijn veel verschillen tussen ADAM en AD, ADAM kan slechts een deel van de door AD geleverde functies leveren.

Overzicht

Het doel van dit document is om de mechanismen uit te leggen waarmee CUCM, of andere Cisco-producten die gebruikmaken van Directory Integration Service (DirSync), gebruikersinformatie kunnen verkrijgen en authenticatie kunnen uitvoeren vanuit verschillende AD-domeinen die in verschillende bossen kunnen bestaan. Om dit doel te bereiken, wordt ADAM gebruikt om zijn gebruikersdatabase te synchroniseren met verschillende AD-domeincontrollers of andere LDAP-bronnen.

ADAM kan een database van gebruikers aanmaken en hun gegevens opslaan. Single Sign On (SSO) functionaliteit is gewenst om te voorkomen dat eindgebruikers verschillende sets van referenties in verschillende systemen moeten behouden; daarom wordt ADAM bind redirection gebruikt. ADAM bind redirection is een speciale functie voor applicaties die LDAP bind ondersteunen als authenticatiemechanisme. In sommige gevallen kan het speciale schema, of de naamgevingscontext, u dwingen om AD te vermijden, waardoor ADAM een noodzakelijke keuze is. Dit voorkomt dat gebruikers meerdere wachtwoorden moeten onthouden vanwege het gebruik van een extra directory met een eigen gebruikersnaam en wachtwoord.

Een speciaal gebruikersproxy-object in ADAM wordt toegewezen aan een gewone AD-gebruikersaccount. De gebruikersproxy heeft geen echt wachtwoord opgeslagen in het ADAM-object zelf. Wanneer de toepassing zijn normale bindingsbewerking uitvoert, controleert deze de ID lokaal, maar controleert het wachtwoord aan de hand van AD onder de covers zoals in deze afbeelding wordt weergegeven. De applicatie hoeft zich niet bewust te zijn van deze AD-interactie.

ADAM bind omleiding mag alleen worden gebruikt in speciale gevallen waarin een toepassing een eenvoudige LDAP binding aan ADAM kan uitvoeren. De toepassing moet de gebruiker echter nog steeds koppelen aan een beveiligingsprincipe in AD.

ADAM bind omleiding treedt op wanneer een binding aan ADAM wordt geprobeerd met behulp van een speciaal object genaamd een proxy object. Een proxy-object is een object in ADAM dat een beveiligingsprincipe in AD vertegenwoordigt. Elk proxy-object in ADAM bevat de SID van een gebruiker in AD. Wanneer een gebruiker probeert te binden aan een proxy-object, neemt ADAM de SID die is opgeslagen in het proxy-object, samen met het wachtwoord dat is opgegeven op het moment van binden, en presenteert de SID en het wachtwoord aan AD voor verificatie. Een proxy-object in ADAM slaat geen wachtwoord op en gebruikers kunnen hun AD-wachtwoorden niet wijzigen via ADAM-proxy-objecten.

Het wachtwoord wordt in platte tekst aan ADAM gepresenteerd omdat het eerste bindingsverzoek een eenvoudig LDAP-bindingsverzoek is. Om deze reden is standaard een SSL-verbinding vereist tussen de directoryclient en ADAM. ADAM gebruikt Windows Security API's om het wachtwoord aan AD te presenteren.

U kunt meer informatie over binden omleiding in ADAM binden omleiding begrijpen.

Active Directory Multiple Forest Support-scenario in CUCM

Om de methode uit te leggen, stel je een scenario voor waarin Cisco Systems (Forest 2) twee andere bedrijven heeft overgenomen: Tandberg (Forest 3) en Webex (Forest 1). In de migratiefase moet de AD-structuur van elk bedrijf worden geïntegreerd om de implementatie van één Cisco Unified Communications-cluster mogelijk te maken.

In het voorbeeld heeft bedrijf Cisco (Forest 2) twee domeinen, Forest root domain genaamd CISCO (dns cisco.com) en een subdomein genaamd EMERG (dns emerg.cisco.com). Beide domeinen hebben een Domain Controller die ook een Global Catalog is, en elk wordt gehost in Windows 2008 Server SP2.

Bedrijf Tandberg (Forest 3) heeft een enkel domein met een domeincontroller die ook een Global Catalog is, en het wordt gehost in Windows 2008 Server SP2.

Bedrijf Webex (Forest 1) heeft een enkel domein met een domeincontroller die ook een Global Catalog is, en het wordt gehost in Windows 2003 R2 Server SP2.

AD LDS is geïnstalleerd in de domeincontroller voor domein CISCO, of kan een afzonderlijke machine zijn; in feite kan het overal in een van de drie bossen zijn. De DNS-infrastructuur moet zodanig zijn ingericht dat domeinen in het ene bos kunnen communiceren met domeinen in andere bossen en de juiste vertrouwensrelaties en validaties tussen de bossen tot stand kunnen brengen.

Domeinvertrouwensrelatie

Om de authenticatie van de gebruikers te laten werken, moet u vertrouwen hebben tussen het domein waar de ADAM-instantie wordt gehost en het andere domein (de andere domeinen) dat de gebruikersaccounts host. Dit vertrouwen kan indien nodig eenrichtingsverkeer zijn (uitgaand vertrouwen van het domein dat de ADAM-instantie host naar het domein (de domeinen) dat de gebruikersaccounts host). Op deze manier kan de ADAM-instantie de verificatieverzoeken doorsturen naar DC's in die accountdomeinen.

Bovendien moet u een gebruikersaccount hebben van beide accountdomeinen die toegang heeft tot alle attributen van alle gebruikersaccounts in het domein. Dit account wordt door ADAMSync gebruikt om de gebruikers van het accountdomein te synchroniseren met ADAM.

Last but not least moet de machine die ADAM draait in staat zijn om alle domeinen (DNS) te vinden, domeincontrollers in beide domeinen (met DNS) te vinden en verbinding te maken met deze domeincontrollers.

Voer de volgende stappen uit om de intertrustrelaties op te zetten:

1. Open Active Directory Domains and Trusts, klik met de rechtermuisknop op het domein dat AD LDS host en kies Properties.

   

2. Klik op het tabblad Trusts en klik op New Trust.

   

3. Volg de wizard en voer de naam in van het domein waarmee u het vertrouwen wilt vestigen. Klik op Next (Volgende).

   

4. Klik op de knop Forest trust. Klik op Next (Volgende).

   

5. In de richting van het vertrouwen is alleen 'eenrichtingsverkeer: uitgaand' vereist. Klik op de knop Eenrichtingsverkeer: uitgaande radio. Klik op Next (Volgende).

   

6. Laat de wizard beide domeinen configureren. Klik op de knop Dit domein en het opgegeven domein. Klik op Next (Volgende).

   

7. Voer de referenties voor het andere domein in. Klik op Next (Volgende).

   

8. Klik op de radioknop Verificatie in het hele bos. Klik op Next (Volgende).

   

9. Klik op de knop Ja, bevestiging van uitgaand vertrouwen. Klik op Next (Volgende).

   

Dit is het resultaat dat u ontvangt nadat u dit proces hebt uitgevoerd voor zowel de Tandberg- als Webex-domeinen. Het domein emerg is er standaard omdat het een onderliggend domein is. Klik op OK.

AD LDS installeren

AD LDS installeren in 2008

1. Open Serverbeheer, klik op Rollen en klik op Rollen toevoegen.

   

2. Schakel het selectievakje Active Directory Lightweight Directory Services in. Klik op Next (Volgende).

   

3. Het venster AD LDS Services Installation Progress (Voortgang installatie AD LDS-services) verschijnt.

   

AD LDS installeren in 2012

Voltooi deze stappen om AD LDS in 2012 in te stellen:

1. Open Server Manager en kies Rollen en functies toevoegen. Klik op Volgende en klik op Type installatie om naar de pagina Type installatie te gaan.

   

2. Kies de standaardopties en klik op Volgende.

   

3. Klik op de knop Een server selecteren in de serverpool om de standaardserver te selecteren. Klik op Next (Volgende).

   

4. Schakel het selectievakje Active Directory Lightweight Directory Services in en klik op Functies toevoegen. Ga verder met de installatie.

   

5. Klik op Volgende op de volgende pagina's.
6. Klik op het selectievakje De bestemmingsserver indien nodig automatisch opnieuw opstarten en klik op Installeren om de functie te installeren.

   

7. Nadat de installatie is voltooid, klikt u op Sluiten om de wizard te sluiten.

   

Installeren van de installatie voor ondersteuning voor meerdere bossen

AD LDS kan verschillende instanties van de services met verschillende poorten uitvoeren, waardoor verschillende gebruikerslijsttoepassingen op dezelfde machine kunnen worden uitgevoerd. Standaard kiest AD LDS voor poorten 389/LDAP en 636/LDAPS, maar als het systeem al een soort LDAP-services heeft die deze uitvoeren, gebruikt het poorten 50000/LDAP en 50001/LDAPS. Elke instantie heeft een paar poorten die toenemen op basis van de vorige gebruikte nummers.

In sommige gevallen, als gevolg van een Microsoft-bug, worden de poorten al gebruikt door de Microsoft DNS-server en de instantiewizard geeft een fout (die niet vanzelfsprekend is). Deze fout kan worden verholpen wanneer u de poorten in de TCP/IP-stack reserveert. Als u dit probleem vindt, raadpleegt u AD LDS-service start mislukt met de foutmelding "setup could not start the service..." + foutcode 8007041d.

Meerdere bossteun in 2008

1. Kies in de serverbeheerder Rollen en vervolgens Active Directory Lightweight Directory Services.  Klik hier om een AD LDS-exemplaar te maken.

   

2. Klik op de keuzerondje Een uniek exemplaar. Klik op Next (Volgende).

   

3. Voer in het veld Instantienaam de naam van de instantie in. Het is MultiForest in dit voorbeeld. Klik op Next (Volgende).

   

4. Voer het geselecteerde LDAP-poortnummer en het SSL-poortnummer in of laat het systeem deze voor u kiezen. Klik op Next (Volgende).

   

5. Opmerking: CUCM ondersteunt slechts één toepassingsdirectorypartitie, meerdere partities worden momenteel niet ondersteund.
   
   Zie Stap 5: Oefen met het werken met Application Directory Partitions voor informatie over het maken van een Application Directory Partition. Het proces om een directorypartitie te maken voor elk domein dat u wilt synchroniseren met werken op basis van LDAP-verwijzing (RFC 2251) en vereist dat de LDAP-client (CUCM, CUP, enzovoort) verwijzingen ondersteunt.

   Klik op de knop Ja, maak een partitieknop voor de toepassingsdirectory. Voer de naam van de partitie in het veld Partitienaam in voor de instantie. Geef geen CN op zoals in het voorbeeld van de wizard, omdat dit meestal een fout in de Schema's veroorzaakt. In dit scenario is dezelfde partitie ingevoerd als de AD-domeincontroller die AD LDS host (dc=Cisco, dc=com). Klik op Next (Volgende).

   

6. Klik op het keuzerondje Dit account. Voer een gebruikersnaam en wachtwoord in om de server te starten. Klik op Next (Volgende).

   

7. Klik op de keuzerondje Gebruiker die momenteel is aangemeld. Voer de naam van de gebruiker in met beheerdersrechten. Klik op Next (Volgende).

   

8. Importeer de gemarkeerde standaard LDIF-bestanden om het schema samen te stellen. Klik op Next (Volgende).

   

Opmerking: Als ADAM is geïnstalleerd op een Windows 2003-server, heeft het vorige scherm slechts vier opties: MS-AZMan.LDF, MS-InetOrgPerson.LDF, MS-User.LDF en MS-UserProxy.LDF. Schakel bij deze vier selectievakjes alleen de selectievakjes MS-User.LDF en MS-InetPerson.LDF in.

Meerdere bossteun in 2012

1. Open de beheerprogramma's en dubbelklik op de installatiewizard Active Directory Lightweight Directory Services.

   

2. Klik op Next (Volgende).

   

3. Controleer de knop Een uniek exemplaar. Klik op Next (Volgende).

   

4. Voer een instantienaam en beschrijving voor de instantie in. De naam "MultiForest" wordt hier ingevoerd. Klik op Next (Volgende).

   

5. Voer de LDAP- en SSL-poortnummers in. De voorkeurshavens zijn respectievelijk 389 en 636. Als de domeinserver een onderliggende server is en als het bovenliggende domein deze poorten gebruikt, worden standaard verschillende poortnummers ingevuld. Wijzig ze dan niet en ga verder met de installatie. Klik op Next (Volgende).

   

6. Hier zijn standaard andere poortnummers ingevuld. Klik op Next (Volgende).

   

7. Opmerking: CUCM ondersteunt slechts één toepassingsdirectorypartitie, meerdere partities worden momenteel niet ondersteund.
   
   Zie Stap 5: Oefen met het werken met Application Directory Partitions voor informatie over het maken van een Application Directory Partition. Het proces om een directorypartitie te maken voor elk domein dat u wilt synchroniseren met werken op basis van LDAP-verwijzing (RFC 2251) en vereist dat de LDAP-client (CUCM, CUP, enzovoort) verwijzingen ondersteunt. Zie Microsoft Support voor meer informatie.

   Klik op de knop Ja, maak een partitieknop voor de toepassingsdirectory. Voer de partitienaam in. Maak de partitie voor LDS als cisco.com. Elke geschikte waarde kan worden geleverd. Klik op Next (Volgende).

   

8. Kies de standaardopties in de volgende pagina's en ga verder.

   

   

   

9. Schakel de selectievakjes MS-NetOrgPerson.LDF, MS-User.LDF, MS-UserProxy.LDF en MS-UserProxyFull.LDF in. Klik op Next (Volgende).

   

   

10. Klik op Volgende om de installatie te starten.

    

    

11. De installatie is met succes voltooid. Klik op Finish (Voltooien).

    

ADAM Schema Analyzer configureren

Als de gebruikers-ID's (sAMAccountNames) uniek zijn in verschillende domeinen en er niet meerdere gebruikers zijn met dezelfde ID in verschillende domeinen van verschillende bossen, kunnen de gebruikers worden gesynchroniseerd van de AD naar de respectieve bossen op de AD LDS, die allemaal kunnen bestaan op een enkele partitie op de AD LDS in een multi forest setup. Denk bijvoorbeeld aan de figuur in het Active Directory Multiple Forest Support Scenario in de CUCM-sectie, en als een gebruikersnaam 'alice' bestaat in slechts een van de drie domeinen, zou de setup in dit scenario als volgt zijn:

PARTITIE BOS DN

P1 cisco.com DC=cisco, DC=com

                       webex.com DC=webex, DC=cisco, DC=com

                       tandberg.com DC=Tandberg, DC=cisco, DC=com

Om CUCM met AD LDS te configureren, moet de gebruikersnaam (sAMAaccountName) uniek zijn in alle bossen. CUCM ondersteunt momenteel slechts één partitie in AD LDS.

Als de sAMAccountNames niet uniek zijn, overweeg dan om een van deze kenmerken te gebruiken als ze een gebruikersaccount uniek identificeren - e-mail, telefoonnummer, employeeNumber, uid of userPrincipalName.

1. Kopieer het schema van het domein naar ADAM.
2. Open AD DS/LDS schema analyzer (ADSchemaAnalyzer.exe) in de directory c:\windows\adam.
3. Kies Bestand > Doelschema laden.

   

4. Geef de referenties op van de bron-AD-domeincontroller waaruit u wilt importeren. Klik op OK.

   

5. Kies Bestand > Basisschema laden.

   

6. Geef de AD LDS op waarmee u verbinding wilt maken en breid het schema uit. Klik op OK.

   

7. Kies Schema > Alle niet-aanwezige elementen markeren als opgenomen.

   

8. Kies Bestand > LDIF-bestand maken.  In dit voorbeeld is het bestand dat via deze stap is gemaakt diff-schema.ldf. Om het proces te vereenvoudigen, moet het bestand worden gemaakt in c:\windows\adam.

   

   Een optie die beschikbaar is om te helpen bij het ordenen van de bestanden die moeten worden gegenereerd, is om een aparte directory te maken zodat deze bestanden kunnen worden gescheiden van de hoofddirectory c:\windows\adam. Open een opdrachtprompt en maak een logdirectory in c:\windows\adam.

   cd \windows\adam
   mkdir logs

9. Importeer het ldif-schema, gemaakt met ADSchema Analyzer, naar AD LDS.

   ldifde -i -s localhost:50000 -c CN=Configuration,DC=X
    #ConfigurationNamingContext -f diff-schema.ldf -j c:\windows\adam\logs
   

   Raadpleeg LDIFDE gebruiken om directoryobjecten te importeren en exporteren naar Active Directory voor extra ldifde-opties en opdrachtformaten.

   

Breid het AD LDS-schema uit met de User-Proxy Objects

Het object voor de proxy-verificatie moet worden gemaakt en de objectklasse 'gebruiker' wordt niet gebruikt. De objectklasse die wordt gemaakt, userProxy, is wat de bindingsomleiding toestaat. De objectklassendetails moeten in een ldif-bestand worden gemaakt. Het bestand is een creatie van een nieuw bestand, in dit voorbeeld MS-UserProxy-Cisco.ldf.  Dit nieuwe bestand wordt gegenereerd vanuit de originele MS-UserProxy.ldf en bewerkt, gebruik een tekstbewerkingsprogramma, om deze inhoud te hebben:

#==================================================================
# @@UI-Description: AD LDS simple userProxy class.
#
# This file contains user extensions for default ADAM schema.
# It should be imported with the following command:
#   ldifde -i -f MS-UserProxy.ldf -s server:port -b username domain password -k -j . -c 
"CN=Schema,CN=Configuration,DC=X" #schemaNamingContext
#
#==================================================================

dn: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: top
objectClass: classSchema
cn: User-Proxy
subClassOf: top
governsID: 1.2.840.113556.1.5.246
schemaIDGUID:: bxjWYLbzmEiwrWU1r8B2IA==
rDNAttID: cn
showInAdvancedViewOnly: TRUE
adminDisplayName: User-Proxy
adminDescription: Sample class for bind proxy implementation.
objectClassCategory: 1
lDAPDisplayName: userProxy
systemOnly: FALSE
possSuperiors: domainDNS
possSuperiors: organizationalUnit
possSuperiors: container
possSuperiors: organization
defaultSecurityDescriptor:
 D:(OA;;CR;ab721a53-1e2f-11d0-9819-00aa0040529b;;PS)S:
defaultHidingValue: TRUE
defaultObjectCategory: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
systemAuxiliaryClass: msDS-BindProxy
systemMayContain: userPrincipalName
systemMayContain: givenName
systemMayContain: middleName
systemMayContain: sn
systemMayContain: manager
systemMayContain: department
systemMayContain: telephoneNumber
systemMayContain: mail
systemMayContain: title
systemMayContain: homephone
systemMayContain: mobile
systemMayContain: pager
systemMayContain: msDS-UserAccountDisabled
systemMayContain: samAccountName
systemMayContain: employeeNumber
systemMayContain: initials
systemMayContain: ipPhone
systemMayContain: displayName 
systemMayContain: msRTCSIP-primaryuseraddress
systemMayContain: uid

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

Sla het bestand MS-UserProxy-Cisco.ldf op in C:\windows\adam.

Importeer de nieuwe objectklasse naar AD LDS.

ldifde -i -s localhost:50000 -c CN=Configuration,DC=X #ConfigurationNamingContext -f
 MS-UserProxy-Cisco.ldf -j c:\windows\adam\logs

De gebruikers importeren van AD DC naar AD LDS

De gebruiker van elk domein moet nu worden geïmporteerd in AD LDS. Deze stap moet worden herhaald voor elk domein dat moet worden gesynchroniseerd. Dit voorbeeld toont alleen het proces tegen een van de domeinen. Begin met de originele MS-AdamSyncConf.xml en maak een XML-bestand voor elk domein dat moet worden gesynchroniseerd en wijzig het bestand met de details die specifiek zijn voor elk domein om deze inhoud te hebben:

<?xml version="1.0"?>
<doc> 
 <configuration>  
  <description>Adam-Sync1</description>  
  <security-mode>object</security-mode>         
  <source-ad-name>ad2k8-1</source-ad-name>  
  <source-ad-partition>dc=cisco,dc=com</source-ad-partition>
  <source-ad-account></source-ad-account>               
  <account-domain></account-domain>
  <target-dn>dc=cisco,dc=com</target-dn>  
  <query>   
   <base-dn>dc=cisco,dc=com</base-dn>
    <object-filter>
(&#124;(&amp;(!cn=Administrator)(!cn=Guest) (!cn=ASPNET)
(!cn=krbtgt)(sAMAccountType=805306368))(&amp;(objectClass=user)(isDeleted=TRUE)))
    </object-filter>
   <attributes>
    <include>objectSID</include>
    <include>mail</include> 
    <include>userPrincipalName</include>
    <include>middleName</include> 
    <include>manager</include> 
    <include>givenName</include> 
    <include>sn</include> 
    <include>department</include> 
    <include>telephoneNumber</include> 
    <include>title</include> 
    <include>homephone</include> 
    <include>mobile</include> 
    <include>pager</include> 
    <include>msDS-UserAccountDisabled</include>
    <include>samAccountName</include>
    <include>employeeNumber</include>
    <include>initials</include>
    <include>ipPhone</include>
    <include> displayName</include> 
    <include> msRTCSIP-primaryuseraddress</include>
    <include>uid</include>
    <exclude></exclude>
   </attributes>  
  </query>
 <user-proxy>
    <source-object-class>user</source-object-class>
    <target-object-class>userProxy</target-object-class>
  </user-proxy>  
  <schedule>   
   <aging>    
    <frequency>0</frequency>    
    <num-objects>0</num-objects>   
   </aging>   
   <schtasks-cmd></schtasks-cmd>  
  </schedule> 
 </configuration> 
 <synchronizer-state>  
  <dirsync-cookie></dirsync-cookie>  
  <status></status>  
  <authoritative-adam-instance></authoritative-adam-instance>
  <configuration-file-guid></configuration-file-guid>  
  <last-sync-attempt-time></last-sync-attempt-time>  
  <last-sync-success-time></last-sync-success-time>  
  <last-sync-error-time></last-sync-error-time>  
  <last-sync-error-string></last-sync-error-string>  
  <consecutive-sync-failures></consecutive-sync-failures>  
  <user-credentials></user-credentials>  
  <runs-since-last-object-update></runs-since-last-object-update>
  <runs-since-last-full-sync></runs-since-last-full-sync> 
 </synchronizer-state>
</doc>

In dit bestand moeten deze tags worden vervangen om aan het domein te voldoen:

• <source-ad-name> - Gebruik de hostnaam van het domein.
• <source-ad-partition> - Gebruik de rootpartitie van de bron-AD DC waaruit u wilt importeren (bijvoorbeeld dc=Cisco, dc=com of dc=Tandberg, dc=com ).
• <base-dn> - Kies de container waaruit u wilt importeren. Als alle gebruikers van het domein bijvoorbeeld vereist zijn, moet dit hetzelfde zijn als <source-ad-partitie>, maar als gebruikers afkomstig zijn van een specifieke organisatorische eenheid (zoals Finance OU), moet deze vergelijkbaar zijn met OU=Finance, DC=Cisco, DC=com. 

Raadpleeg de zoekfiltersyntaxis voor meer informatie over het maken van een <object-filter>.

Sla het nieuw gemaakte XML-bestand op in C:\windows\adam.

Open een opdrachtvenster, cd \windows\adam.

Voer de opdracht ADAMSync /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log in.

Controleer of het bestand AdamSyncConf1.xml het nieuw gemaakte XML-bestand is.

Synchroniseer de gebruikers met de opdracht ADAMSync /sync localhost:50000 "dc=cisco, dc=com" /log c:\windows\adam\logs\sync.log.

Het resultaat moet vergelijkbaar zijn met:

Als u een automatische synchronisatie van AD naar ADAM wilt voltooien, gebruikt u de taakplanner in Windows.

Maak een .bat-bestand met deze inhoud erin: 

"C:\Windows\ADAM\ADAMSync" /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log

"C:\Windows\ADAM\ADAMSync" /sync localhost:50000 "DC=Cisco, DC=COM" /log C:\windows\adam\logs\syn.log

Plan de taak om het .bat-bestand uit te voeren wanneer en wanneer dat nodig is. Dit zorgt ervoor dat toevoegingen, wijzigingen en verwijderingen die in AD gebeuren ook in ADAM worden weerspiegeld.

U kunt een ander .bat-bestand maken en plannen om een automatische synchronisatie uit het andere forest te voltooien.

De gebruiker in AD LDS maken voor CUCM-synchronisatie en -verificatie

1. Open ADSI-bewerking vanuit de beheerderstools in het menu Opstarten.
2. Kies Bestand > Verbinding (of Actie > Verbinding maken met).
3. Maak verbinding met de basis dn van de AD LDS-structuur (DC=Cisco, DC=com) en geef de host en poort op waar deze wordt gehost (localhost:50000). Klik op OK.

   

4. Klik met de rechtermuisknop op de basis-DN en kies Nieuw > Object.

   

5. Kies de gebruiker. Klik op Next (Volgende).

   

6. Voer in het veld Waarde de gekozen objectnaam in. In dit voorbeeld is "root" de gekozen naam (elke naam kan hier worden gekozen). Klik op Next (Volgende).

   

7. Als u een wachtwoord wilt opgeven aan de nieuwe gebruiker, klikt u met de rechtermuisknop op de gebruiker en kiest u Wachtwoord opnieuw instellen.

   

8. De nieuwe gebruiker is standaard uitgeschakeld. Als u de nieuwe gebruiker wilt inschakelen, klikt u met de rechtermuisknop op de gebruiker en kiest u Eigenschappen.

   

9. Blader naar het kenmerk msDS-UserAccountDisabled en klik op Edit.

   

10. Klik op de knop Onwaar om het gebruikersaccount in te schakelen. Klik op OK.

    

11. Klik op de knop Ware radio om er zeker van te zijn dat het wachtwoord nooit verloopt. Klik op OK.

    

12. De nieuwe gebruiker moet worden toegevoegd aan een groep met leesrechten voor de AD LDS, waarvoor in dit voorbeeld Administrators is gekozen. Blader naar CN=Rollen > CN=Beheerders. Klik met de rechtermuisknop op CN=Administrators en kies Properties.

    

13. Kies het attribuut lid en klik op Bewerken.

    

14. Voer het nieuwe DN in dat eerder is gemaakt, cn=root, dc=Cisco, dc=com, voor deze groep. Klik op OK.

    

15. Kies Schema nu bijwerken en start AD LDS opnieuw op.

    

    

Bindomleiding configureren

Standaard is voor binding aan ADAM met bindingsomleiding een SSL-verbinding vereist. SSL vereist de installatie en het gebruik van certificaten op de computer waarop ADAM wordt uitgevoerd en op de computer die als client verbinding maakt met ADAM. Als certificaten niet in uw ADAM-testomgeving zijn geïnstalleerd, kunt u de vereiste voor SSL als alternatief uitschakelen.

Standaard is SSL ingeschakeld. Om het LDAPS-protocol in ADAM/LDS te laten werken, moet u een certificaat genereren.

In dit voorbeeld wordt de Microsoft Certification Authority Server gebruikt om het certificaat af te geven. Ga om een certificaat aan te vragen naar de webpagina van de Microsoft CA - http://<MSFT CA hostname>/certsrv en voer de volgende stappen uit:

1. Klik op Certificaat aanvragen.
2. Klik op Aanvraag voor geavanceerd certificaat.
3. Klik op Aanmaken en dien een aanvraag in bij deze CA.
4. Voer in het tekstvak Naam de volledige DNS-naam van de ADAM/AD LDS-server in.
5. Zorg ervoor dat Type certificaat Serververificatiecertificaat is.
6. Kies voor het formaat PCKS10.
7. Kies Markeersleutels als exporteerbaar.
8. Vul eventueel de overige informatie in.
9. Voer in het tekstvak Vriendelijke naam de volledige dns-naam van de ADAM/AD LDS-server in.
10. Klik op Verzenden.

Ga terug naar de interface van de certificeringsinstantie en klik op de map Certificaten in behandeling. Klik met de rechtermuisknop op het certificaatverzoek van het ADAM/AD-LDS-systeem en geef het certificaat af.

Het certificaat is nu gemaakt en bevindt zich in de map "Uitgegeven certificaten". Vervolgens moet u het certificaat downloaden en installeren:

1. Open http://<MSFT CA hostname>/certsrv.
2. Klik op De status van een in behandeling zijnde certificaataanvraag bekijken.
3. Klik op de certificaataanvraag.
4. Klik op het certificaat om het te installeren.

Om de ADAM-dienst het certificaat te laten gebruiken, moet u het certificaat in de persoonlijke winkel van de ADAM-dienst plaatsen:

1. Kies in het menu Start de optie Uitvoeren. Typ mmc. Hiermee wordt de beheerconsole geopend.
2. Klik op Bestand \ Invoegmodule toevoegen/verwijderen.
3. Klik op Toevoegen en kies Certificaten.
4. Kies een serviceaccount.
5. Kies een lokale computer.
6. Kies uw ADAM-instantieservice.
7. Voeg een nieuwe module Certificaat toe, maar kies deze keer Mijn gebruikersaccount in plaats van Serviceaccount.
8. Klik op Sluiten en klik op OK.
9. Open de map Persoonlijk in de map Certificaten - Huidige gebruikersstructuur.
10. Selecteer het certificaat en kopieer het naar dezelfde locatie onder "Certificaten - adam instantienaam".

Voer de volgende stappen uit om Read-toestemming op het serververificatiecertificaat te verlenen aan het serviceaccount van het netwerk:

1. Navigeer naar deze standaarddirectory waar de geïnstalleerde of geïmporteerde certificaten worden opgeslagen - C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys.
2. Klik met de rechtermuisknop op het juiste serververificatiecertificaat. Klik op Eigenschappen.
3. Klik op het tabblad Veiligheid. Klik op Edit (Bewerken).
4. Klik in het dialoogvenster Rechten op Toevoegen.
5. Voer in het dialoogvenster Gebruikers, computers of groepen selecteren de netwerkservice in. Klik op OK.
6. Start uw ADAM-exemplaar opnieuw op.

Meer informatie is te vinden in Bijlage A: LDAP configureren boven SSL-vereisten voor AD LDS.

Upload vervolgens het certificaat van de CA die het certificaat heeft afgegeven naar de ADAM / AD LDS-machine als een CUCM-directorytrust.

Raadpleeg de Cisco Unified Communications Operations System Administration Guide voor meer informatie.

Schakel het selectievakje in om SSL te gebruiken op de LDAP-directorypagina en de LDAP-verificatiepagina.

Voer 50001 (in dit voorbeeld) in voor de LDAP-poort, het SSL-poortnummer dat is opgegeven toen u de ADAM/AD LDS-installatie installeerde.

Voer de volgende stappen uit om de SSL-vereiste voor bindingsomleiding uit te schakelen:

1. Klik op Start, wijs Administratieve hulpmiddelen aan en klik op ADSI bewerken.
2. Kies in het menu Actie de optie Verbinden met.
3. Voer in het veld Computer localhost:50000 in (dit is de ADAM-host en -poort).
4. Klik in het gedeelte Verbindingspunt op de knop Selecteer een bekende naamgevingscontext. Kies in de vervolgkeuzelijst Configuratie. Klik op OK.
5. Blader in de consolestructuur naar dit containerobject in de configuratiepartitie: CN=Directory Service, CN=Windows NT, CN=Services.
6. Klik met de rechtermuisknop op CN=Directory Service en kies Eigenschappen.
7. Klik in Attributen op msDS-Other-Settings. Klik op Edit (Bewerken).
8. Klik in Waarden op VereistSecureProxyBind=1 en klik vervolgens op Verwijderen.
9. Voer in Waarde om toe te voegen RequirementSecureProxyBind=0 in, klik op Toevoegen en klik vervolgens op OK.
10. Start AD LDS opnieuw om de wijzigingen in werking te laten treden.

  

CUCM configureren

ADAM/AD LDS-synchronisatie en -verificatie worden ondersteund in CUCM-versie 9.1(2) en hoger.

1. Kies Systeem > LDAP > LDAP-systeem.
2. Selecteer Microsoft ADAM of Lightweight Directory Services.
3. U kunt een van deze LDAP-gebruikersidentiteigenschappen kiezen: e-mail, werknemersnummer of telefoonnummer.

   uid wordt alleen gebruikt met standalone ADAM/AD LDS en niet met AD-ondersteuning voor meerdere bossen.

   

   Op dit moment is samAccountName niet opgenomen in de vervolgkeuzelijst LDAP-kenmerk voor gebruikersnaam voor LDAP-servertype "Microsoft ADAM of Lightweight Directory Services". De reden hiervoor is dat het geen attribuut is dat wordt ondersteund met standalone ADAM/AD LDS. Als de CUCM-gebruikersnaam die is toegewezen aan sAMAaccountName moet worden gebruikt, moet die overeenkomst worden geconfigureerd als AD.

   

4. LDAP-synchronisatie configureren met de referenties van de gebruiker die in AD LDS is gemaakt.

   

5. LDAP-verificatie configureren met de referenties van de gebruiker die in AD LDS is gemaakt.

   

LDAP-filters in CUCM

De objectklasse Gebruiker wordt niet meer gebruikt. Daarom moet het LDAP-filter worden gewijzigd om userProxy te gebruiken in plaats van User.

Het standaardfilter is:
(&(objectclass=gebruiker)(!(objectclass=computer)(!(msDS-UserAccountDisabled=TRUE)))

Om dit filter te wijzigen, logt u in bij CCMAdmin met een webbrowser en kiest u de optie LDAP Custom Filter in het LDAP-configuratiemenu.

Dit filter wordt gebruikt op de LDAP-directorypagina terwijl de LDAP-synchronisatieovereenkomst wordt geconfigureerd, zoals in de vorige afbeelding wordt weergegeven.