Introdução
Este documento descreve o suporte a domínios multi-AD no Cisco Umbrella.
Pré-requisitos
Requisitos
Não existem requisitos específicos para este documento.
Componentes Utilizados
As informações neste documento são baseadas no Cisco Umbrella.
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
Overview
O suporte para vários domínios do Ative Diretory em sua organização Umbrella agora está habilitado por padrão.
Se você já tiver integrado vários domínios do AD em organizações Umbrella separadas, essas organizações podem ser consolidadas em uma única organização Umbrella com suporte a domínios multi-AD. Consulte este artigo para obter mais detalhes.
Pré-requisitos para suporte de domínio multi-AD
- Uma conta de usuário com o nome de logon OpenDNS_Connector precisa ser criada em cada domínio e ser compatível com os requisitos especificados na documentação do Umbrella. É recomendável manter a mesma senha para esta conta em todos os domínios do AD.
- Para implantação com dispositivos virtuais, é necessário um conector AD para cada domínio do AD em um local Umbrella, com um segundo conector opcional para redundância, se necessário.
- Se a implantação incluir apenas clientes de roaming ou AnyConnect, um único conector AD de vários domínios* poderá sincronizar usuários/grupos do AD de vários domínios. Isso exige que a conta OpenDNS_Connector seja criada com a mesma senha em cada domínio. Esse recurso não está habilitado por padrão e você precisa gerar um tíquete de suporte para habilitá-lo.
- O Conector AD deve estar executando a versão 1.2.3 ou posterior.
- Todos os outros pré-requisitos especificados na documentação do Umbrella também se aplicam a domínios multi-AD.
Limitações do suporte a domínios multi-AD (implantações de dispositivos virtuais)
- A autenticação entre domínios não é reconhecida atualmente pelo Conector AD. Se um usuário do AD se autenticar em um controlador de domínio local que pertença a algum outro domínio do AD, o Conector do AD não poderá recuperar o mapeamento de IP de usuário do AD para esse usuário. O dispositivo virtual não pode associar uma identidade de usuário a esse IP e, como resultado, qualquer política baseada em AD não pode ser imposta para esse usuário. A solução alternativa é incluir controladores de domínio de ambos os domínios do AD no mesmo site do Umbrella, desde que os critérios para os sites do Umbrella (especificados na documentação do Umbrella) não sejam afetados.
- As políticas de guarda-chuva não se aplicam a grupos do AD com membros entre domínios. Para criar uma política que se aplique a usuários de vários domínios, você deve adicionar os grupos/usuários relevantes de cada domínio à política.
Limitações do suporte a domínios com vários ADs (implantações de clientes móveis)
- As implantações de cliente de roaming/AnyConnect não são afetadas pelas limitações de autenticação entre domínios.
- Com o recurso conector do AD de vários domínios habilitado, o Umbrella pode oferecer suporte a grupos do AD com membros de grupo entre domínios. Isto tem de ser explicitamente solicitado através da emissão de um bilhete de apoio. O mesmo recurso também permite que um único conector sincronize identidades do AD de vários domínios do AD.
Feedback