目录

简介

概述

默认权限

查看有效访问

设置OpenDNS_Connector LDAP权限

userPerms脚本

简介

本文档介绍如何使用OpenDNS连接器服务从Active Directory同步用户、组和计算机。

概述

作为操作的一部分，OpenDNS连接器服务使用LDAP协议从Active Directory同步用户、组和计算机的列表。  本文介绍如何检查OpenDNS_Connector帐户是否具有读取这些对象的正确权限。

Active Directory中的每个对象（用户/组/计算机）都有与其关联的ACL安全权限，并且每个对象必须允许OpenDNS_Connector用户帐户读取其属性。

注意：本文假设已检查“OpenDNS_Connector”帐户的正常前提条件。如果仪表板中缺少AD用户/组，请先阅读此文章：

Umbrella控制面板中缺少的AD用户/组。

默认权限

默认情况下，所有经过身份验证的用户都可以读取用户/组/计算机的属性，因此OpenDNS_Connector用户不需要任何额外的权限来执行LDAP同步。

默认权限通常按如下方式设置：

1)在域上为“后代用户对象”、“后代组对象”和“后代计算机对象”分配了“Pre-Windows 2000 Compatible Access”组的读取（读取所有属性）权限。

您可以按如下方式仔细检查：

- 打开Active Directory用户和计算机

- 点击“查看”并选中“高级功能”选项。

- 右键单击域对象并选择“属性”，然后选择“安全>高级”

- 选择具有“特殊”权限的“Windows 2000前兼容访问”条目：

115011616667

- 单击“编辑”可详细查看这些权限。

- 在“应用到”部分中选择“后代用户对象”

- 查找以下权限：

115011616687

- 对“后代组对象”和“后代计算机对象”重复这些步骤

2)所有“经过身份验证的用户”(All 'Authenticated Users')组是“Pre-Windows 2000 Compatible Access”(Windows 2000之前兼容访问)组的成员，该组向所有用户提供这些设置。

- 右键单击Pre-Windows 2000 Compatible Access组，该组通常位于内置AD容器中。

- 选择“属性”，然后转到“成员”选项卡。

- 检查“Authenticated Users”是否已列出。

115011616707

但是，在某些AD环境中，此权限模型可能已更改，且已通过身份验证的用户已被删除。这可能会表现为某些用户在Umbrella Dashboard中丢失，或者组成员不正确。如果出现这种情况，请将OpenDNS_Connector用户添加到此组，重新启动连接器服务，Umbrella中将显示缺少的项目。

在某些极少数情况下，这仍无法解决问题。如果您发现这种情况，请检查active directory中的groups security选项卡，确保您看到此处列出的已验证用户具有检入读取访问权限。如果未选中此复选框，则将其关闭并重新启动连接器服务以查看组成员是否显示。此外，如果他们发现所有组都缺少此安全设置，他们需要批量将更改应用到全局的所有组。

28728163336852

查看有效访问

您可以使用Windows的“有效访问”工具来查看OpenDNS_Connector用户是否能够读取缺少的特定对象（或组成员资格不正确）。

- 打开Active Directory用户和计算机

- 点击“查看”并选中“高级功能”选项。

- 查找用户对象，然后右键单击以选择“属性”

- 转到“Security > Advanced > Effective Access”(这可以是“Effective Permissions”)

- 点击“选择用户”，然后选择“OpenDNS_Connector”用户帐户。

- 点击“确定”，然后“查看有效访问”

- 确保连接器用户能够读取所有属性:

115011616727

设置OpenDNS_Connector LDAP权限

AD中的“Delegate Control”（委派控制）向导是向“OpenDNS_Connector”用户分配所需权限的快速方法：

1)转至“管理工具”，打开“Active Directory用户和计算机”管理单元。

2)右键单击包含OpenDNS_Connector的域，然后选择“Delegate Control...”，然后点击Next。

3)添加OpenDNS_Connector用户，然后单击“下一步”。

4)选择“Read all user information”(阅读所有用户信息)，然后单击“Next”（下一步）。  [见图3。]

7)单击Finish。  [见图6。]

注意：如果在某些对象上禁用继承，这些步骤可能会失败。  对于这些对象，您需要手动设置权限。

userPerms脚本

附加的powershell脚本是获取特定对象(例如，用户)。  在联系Umbrella技术支持时，请包括此脚本的输出。