如何在多林環境中配置Unified Communications Manager目錄整合

已更新: 2017 年 4 月 18 日

文件 ID:111979

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文探討如何在多林環境中配置Cisco Unified Communication Manager(CUCM)目錄整合。

必要條件

需求

思科建議您：

CUCM目錄整合的部署和配置知識。
Microsoft Active Directory Application Manager(ADAM)2003或Microsoft Lightweight Directory Services(AD LDS)2008或2012的部署和配置知識。
CUCM 9.1(2)版或更高版本。
使用CUCM 9.1(2)版或更高版本時，可以使用管理Web介面更改LDAP過濾器。
每個CUCM發佈器要同步的使用者帳戶數不能超過60,000個帳戶。當超過60,000個帳戶需要同步時，必須使用IP電話服務軟體開發工具包(SDK)來提供自定義目錄。請參閱思科開發人員網路以瞭解其他詳細資訊。使用Unified CM版本10.0(1)或更高版本時，支援的最大使用者帳戶數為160,000。
Microsoft ADAM 2003或輕量級目錄服務(LDS)2008或2012。
不應禁用使用繫結重定向時對SSL的要求。如果禁用，則會導致Windows安全主體的密碼傳遞到運行ADAM且未加密的電腦。因此，只有在測試環境中才應禁用它。
所有林中的使用者ID(sAMAccountName)必須是唯一的。
如果有AD LDS設定，並且如果需要使用對映到sAMAccountName的CUCM使用者ID，則應將該協定配置為AD。
當您在ADAM例項主機域和使用者帳戶主機域之間配置域信任關係時，域功能級別和林功能級別應為2003或更高版本。
CUCM僅支援AD LDS中的單個應用程式目錄分割槽，當前不支援多分割槽。

採用元件

本文件所述內容不限於特定軟體和硬體版本。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

前言

Microsoft AD LDS（以前稱為ADAM）可用於為啟用目錄的應用程式提供目錄服務。AD LDS可用於儲存資料，而不是使用組織的Active Directory域服務(AD DS)資料庫來儲存啟用目錄的應用程式資料。AD LDS可以與AD DS結合使用，這樣您就可以擁有一個安全帳戶(AD DS)的中心位置，以及另一個位置，以便支援應用程式配置和目錄資料(AD LDS)。使用AD LDS，您可以減少與AD複製相關的開銷，無需擴展AD架構即可支援應用程式，還可以對目錄結構分割槽，以便僅將AD LDS服務部署到需要支援啟用目錄的應用程式的伺服器上。

從介質生成安裝 — 能夠使用Ntdsutil.exe或Dsdbutil.exe為AD LDS建立安裝介質。
審計 — 審計目錄服務中更改的值。
資料庫裝載工具 — 使您能夠檢視資料庫檔案的快照中的資料。
AD站點和服務支援 — 使您能夠使用AD站點和服務來管理AD LDS資料更改的複製。
LDIF檔案的動態清單 — 使用此功能，可以將自定義LDIF檔案與伺服器上用於設定AD LDS的當前預設LDIF檔案相關聯。
遞迴連結屬性查詢 — LDAP查詢可以在巢狀屬性連結後確定其他屬性屬性，如組成員資格。

ADAM與AD之間有許多區別，ADAM只能提供AD提供的一部分功能。

概觀

本文的目的是解釋允許CUCM或任何其它使用目錄整合服務(DirSync)的思科產品獲取使用者資訊並從可以存在於不同林中的不同AD域執行身份驗證的機制。為了實現這一目標，ADAM用於將其使用者資料庫與不同的AD域控制器或其他LDAP源同步。

ADAM可以建立使用者資料庫並儲存使用者的詳細資訊。需要單點登入(SSO)功能，以避免終端使用者必須在不同系統中維護不同的憑證集；因此，使用ADAM繫結重定向。ADAM繫結重定向是一種特殊功能，適用於支援LDAP繫結作為身份驗證機制的應用程式。在某些情況下，特殊模式或命名上下文可能會迫使您避免AD，這使得ADAM成為一種必要的選擇。這避免了使用者由於使用具有其自己的使用者ID和密碼的附加目錄而不得不記住多個密碼。

ADAM中的特殊使用者代理對象對映到常規AD使用者帳戶。使用者代理沒有在ADAM對象本身中儲存的實際密碼。當應用程式執行正常的繫結操作時，它在本地檢查ID，但按照下面的AD檢查密碼，如下圖所示。應用程式不需要知道此AD互動。

只有在應用程式可以執行與ADAM的簡單LDAP繫結的特殊情況下，才應使用ADAM繫結重定向。但是，應用程式仍需要將使用者與AD中的安全主體相關聯。

當使用稱為代理對象的特殊對象嘗試繫結到ADAM時，就會發生ADAM繫結重定向。代理對象是ADAM中代表AD中安全主體的對象。 ADAM中的每個代理對象都包含AD中使用者的SID。當使用者嘗試繫結到代理對象時，ADAM將獲取儲存在代理對象中的SID以及繫結時提供的密碼，並將SID和密碼提供給AD以進行身份驗證。ADAM中的代理對象不儲存密碼，使用者無法通過ADAM代理對象更改其AD密碼。

由於初始繫結請求是一個簡單的LDAP繫結請求，因此密碼以純文字檔案形式呈現給ADAM。因此，目錄客戶端和ADAM之間預設需要SSL連線。ADAM使用Windows安全API向AD提供密碼。

您可以在瞭解ADAM繫結重定向中獲得更多有關繫結重定向的資訊。

CUCM中的Active Directory多林支援方案

為了解釋此方法，請想象思科系統公司（森林2）收購另外兩家公司的情景：Tandberg（森林3）和Webex（森林1）。在遷移階段，整合每個公司的AD結構，以便部署單個思科統一通訊群集。

在示例中，公司Cisco（林2）有兩個域，稱為CISCO(dns cisco.com)的林根域和稱為EMERG(dns emerg.cisco.com)的子域。這兩個域都有一個域控制器，該域控制器也是全域性編錄，並且每個域都託管在Windows 2008 Server SP2中。

Tandberg公司（林3）有一個域，其域控制器也是全域性編錄，並且託管在Windows 2008 Server SP2中。

Company Webex（林1）有一個域，其域控制器也是全域性目錄，並且託管在Windows 2003 R2 Server SP2中。

AD LDS安裝在域CISCO的域控制器中，或者可以是單獨的電腦；實際上，它可能位於三個林中的任何位置。必須建立DNS基礎結構，以便一個林中的域可以與其他林中的域通訊，並在林之間建立適當的信任關係和驗證。

域信任關係

要驗證使用者是否有效，您需要在承載ADAM例項的域和託管使用者帳戶的其他域之間具有信任。如果需要，此信任可以是單向信任（從託管ADAM例項的域到託管使用者帳戶的域的傳出信任）。這樣，ADAM例項就能將身份驗證請求轉發到這些帳戶域中的DC。

此外，您還需要擁有來自兩個帳戶域的使用者帳戶，該使用者帳戶具有訪問該域中所有使用者帳戶的所有屬性的許可權。ADAMSync使用此帳戶將「帳戶域」使用者同步到ADAM。

最後但同樣重要的是，運行ADAM的電腦必須能夠找到所有域(DNS)，找到兩個域中的域控制器（使用DNS），並連線到這些域控制器。

完成以下步驟以設定互信關係：

開啟Active Directory域和信任，按一下右鍵承載AD LDS的域，然後選擇屬性。
按一下Trust頁籤，然後按一下New Trust。
按照嚮導操作，並輸入要建立信任的域的名稱。按「Next」（下一步）。
按一下Forest trust單選按鈕。按「Next」（下一步）。
在信任的方向上，只有「單向：傳出」是必需的。按一下「One-way:傳出單選按鈕。按「Next」（下一步）。
允許嚮導配置這兩個域。按一下Both this domain and the specified domain單選按鈕。按「Next」（下一步）。
輸入其他域的憑據。按「Next」（下一步）。
按一下Forest-wide authentication單選按鈕。按「Next」（下一步）。
按一下Yes， confirm the outgoing trust單選按鈕。按「Next」（下一步）。

這是為Tandberg和Webex域運行此流程後收到的結果。預設情況下出現域，因為它是一個子域。按一下「OK」（確定）。

安裝AD LDS

在2008年安裝AD LDS

開啟伺服器管理器，按一下角色，然後按一下新增角色。
選中Active Directory輕型目錄服務覈取方塊。按「Next」（下一步）。
出現「AD LDS Services Installation Progress（AD LDS服務安裝進度）」視窗。

在2012年安裝AD LDS

完成以下步驟，以便在2012年設定AD LDS:

開啟「伺服器管理器」，然後選擇「新增角色和功能」。按一下「Next」，然後按一下「Installation Type」，以進入「Installation Type」頁面。
選擇預設選項，然後按一下Next。
按一下Select a server from the server pool單選按鈕以選擇預設伺服器。按「Next」（下一步）。
選中Active Directory輕型目錄服務(Active Directory Lightweight Directory Services)覈取方塊，然後按一下Add Features。繼續安裝。
在後續頁面中按一下Next。
按一下Restart the destination server automatically if required覈取方塊，然後按一下Install以安裝該功能。
成功完成安裝後，按一下Close關閉嚮導。

安裝多個林支援的例項

AD LDS可以使用不同的埠運行不同的服務例項，這允許不同的使用者目錄「應用程式」在同一台電腦上運行。預設情況下，AD LDS選擇埠389/LDAP和636/LDAPS，但如果系統已經具有運行它們的任何LDAP服務，它將使用埠50000/LDAP和50001/LDAPS。每個例項將有一對埠，這些埠根據先前使用的數字遞增。

在某些情況下，由於Microsoft錯誤，Microsoft DNS伺服器已使用這些埠，並且例項嚮導會給出一個錯誤（這不是自說明問題）。保留TCP/IP堆疊中的連線埠時，可以修正此錯誤。如果發現此問題，請參閱AD LDS服務啟動失敗並出現錯誤「setup could not start the service..」 +錯誤代碼8007041d。

2008年提供多森林支援

在伺服器管理器中，依次選擇角色和Active Directory輕型目錄服務。按一下按一下此處建立AD LDS例項。
按一下A unique instance單選按鈕。按「Next」（下一步）。
在「例項名稱」欄位中，輸入例項的名稱。在本示例中，它是MultiForest。按「Next」（下一步）。
輸入選定的LDAP埠號和SSL埠號，或允許系統為您選擇它們。按「Next」（下一步）。
附註：CUCM僅支援單個應用程式目錄分割槽，當前不支援多分割槽。

請參閱步驟5:練習使用應用程式目錄分區，瞭解有關如何建立應用程式目錄分割槽的資訊。根據LDAP推薦(RFC 2251)為要與工作同步的每個域建立目錄分割槽的過程，該過程要求LDAP客戶端（CUCM、CUP等）支援推薦。

按一下Yes， create an application directory partition單選按鈕。在例項的Partition name欄位中輸入分割槽名稱。請勿在嚮導的示例中提供cn，因為大多數時間都會在方案中建立錯誤。在此場景中，輸入與託管AD LDS(dc=Cisco，dc=com)的AD域控制器相同的分割槽。按「Next」（下一步）。
按一下This account單選按鈕。輸入使用者名稱和密碼以啟動伺服器。按「Next」（下一步）。
按一下Current logged on user單選按鈕。輸入具有管理許可權的使用者的名稱。按「Next」（下一步）。
匯入突出顯示的預設LDIF檔案以構建架構。按「Next」（下一步）。

附註：如果ADAM安裝在Windows 2003伺服器上，則上一個螢幕將只有四個選項： MS-AZMan.LDF、MS-InetOrgPerson.LDF、MS-User.LDF和MS-UserProxy.LDF。在這四個選項中，只選中MS-User.LDF和MS-InetOrgPerson.LDF的覈取方塊。

2012年支援多個林

開啟管理工具，然後按兩下Active Directory輕型目錄服務安裝嚮導。
按「Next」（下一步）。
選中A unique instance單選按鈕。按「Next」（下一步）。
輸入例項的例項名稱和說明。此處輸入名稱「MultiForest」。按「Next」（下一步）。
輸入LDAP和SSL埠號。首選埠分別為389和636。如果域伺服器是子伺服器並且父域使用這些埠，則預設情況下將填充不同的埠號。在這種情況下，請不要更改這些更改，繼續安裝。按「Next」（下一步）。
預設情況下，此處已填充其他埠號。按「Next」（下一步）。
附註：CUCM僅支援單個應用程式目錄分割槽，當前不支援多分割槽。

請參閱步驟5:練習使用應用程式目錄分區，瞭解有關如何建立應用程式目錄分割槽的資訊。根據LDAP推薦(RFC 2251)為要與工作同步的每個域建立目錄分割槽的過程，該過程要求LDAP客戶端（CUCM、CUP等）支援推薦。如需詳細資訊，請參閱Microsoft支援。

按一下Yes， create an application directory partition單選按鈕。輸入分割槽名稱。將LDS的分割槽建立為cisco.com。可以提供任何適當的值。按「Next」（下一步）。
在後續頁面中選擇預設選項並繼續。
選中MS-InetOrgPerson.LDF、MS-User.LDF、MS-UserProxy.LDF和MS-UserProxyFull.LDF覈取方塊。按「Next」（下一步）。
按一下「Next」以開始安裝。
安裝成功完成。按一下「Finish」（結束）。

配置ADAM架構分析器

如果使用者ID(sAMAccountNames)在不同的域中是唯一的，並且在不同林的不同域中沒有多個具有相同ID的使用者，則使用者可以從AD同步到AD LDS上的相應林，所有這些都可以存在於多林設定中的AD LDS上的單個分割槽中。例如，考慮CUCM中Active Directory多林支援方案部分中的圖，如果使用者ID 'alice'僅存在於三個域中的一個，則此方案中的設定如下：

分割槽林DN

P1 cisco.com DC=cisco，DC=com

webex.com DC=webex， DC=cisco，DC=com

tandberg.com DC=Tandberg， DC=cisco，DC=com

為了使用AD LDS配置CUCM，使用者ID(sAMAccountName)在所有林中必須是唯一的。CUCM當前僅支援AD LDS中的單個分割槽。

如果sAMAccountNames不是唯一的，請考慮使用以下任何屬性（如果它們唯一標識使用者帳戶）：email、telephoneNumber、employeeNumber、uid或userPrincipalName。

將架構從域複製到ADAM。
在目錄c:\windows\adam中開啟AD DS/LDS架構分析器(ADSchemaAnalyzer.exe)。
選擇「檔案」>「載入目標架構」。
提供您要從中匯入的源AD域控制器的憑據。按一下「OK」（確定）。
選擇File > Load base schema。
指定要連線並擴展架構的AD LDS。按一下「OK」（確定）。
選擇Schema > Mark all non-present elements as included。
選擇File > Create LDIF file。在本示例中，通過此步驟建立的檔案是diff-schema.ldf。為了簡化過程，應在c:\windows\adam中建立該檔案。

組織需要生成的檔案的可用選項是建立單獨的目錄，以便允許將這些檔案從c:\windows\adam主目錄分離。開啟命令提示符並在c:\windows\adam中建立日誌目錄。
```
cd \windows\adam
mkdir logs
```
將使用ADSchema Analyzer建立的ldif架構匯入AD LDS。
```
ldifde -i -s localhost:50000 -c CN=Configuration,DC=X
 #ConfigurationNamingContext -f diff-schema.ldf -j c:\windows\adam\logs
```
有關其他格式選項和命令格式，請參閱使用LDIFDE將目錄對象匯入和匯出到Active Directory。

使用使用者代理對象擴展AD LDS方案

需要建立代理身份驗證的對象，並且不會使用對象類「user」。建立的對象類userProxy允許繫結重定向。對象類詳細資訊需要在ldif檔案中建立。該檔案是新檔案的建立，在本例中為MS-UserProxy-Cisco.ldf。此新檔案從原始MS-UserProxy.ldf生成，並使用文本編輯程式進行編輯，以獲得以下內容：

#==================================================================
# @@UI-Description: AD LDS simple userProxy class.
#
# This file contains user extensions for default ADAM schema.
# It should be imported with the following command:
#   ldifde -i -f MS-UserProxy.ldf -s server:port -b username domain password -k -j . -c 
"CN=Schema,CN=Configuration,DC=X" #schemaNamingContext
#
#==================================================================

dn: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: top
objectClass: classSchema
cn: User-Proxy
subClassOf: top
governsID: 1.2.840.113556.1.5.246
schemaIDGUID:: bxjWYLbzmEiwrWU1r8B2IA==
rDNAttID: cn
showInAdvancedViewOnly: TRUE
adminDisplayName: User-Proxy
adminDescription: Sample class for bind proxy implementation.
objectClassCategory: 1
lDAPDisplayName: userProxy
systemOnly: FALSE
possSuperiors: domainDNS
possSuperiors: organizationalUnit
possSuperiors: container
possSuperiors: organization
defaultSecurityDescriptor:
 D:(OA;;CR;ab721a53-1e2f-11d0-9819-00aa0040529b;;PS)S:
defaultHidingValue: TRUE
defaultObjectCategory: CN=User-Proxy,CN=Schema,CN=Configuration,DC=X
systemAuxiliaryClass: msDS-BindProxy
systemMayContain: userPrincipalName
systemMayContain: givenName
systemMayContain: middleName
systemMayContain: sn
systemMayContain: manager
systemMayContain: department
systemMayContain: telephoneNumber
systemMayContain: mail
systemMayContain: title
systemMayContain: homephone
systemMayContain: mobile
systemMayContain: pager
systemMayContain: msDS-UserAccountDisabled
systemMayContain: samAccountName
systemMayContain: employeeNumber
systemMayContain: initials
systemMayContain: ipPhone
systemMayContain: displayName 
systemMayContain: msRTCSIP-primaryuseraddress
systemMayContain: uid

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

將MS-UserProxy-Cisco.ldf檔案儲存在C:\windows\adam中。

將新對象類匯入到AD LDS。

ldifde -i -s localhost:50000 -c CN=Configuration,DC=X #ConfigurationNamingContext -f
 MS-UserProxy-Cisco.ldf -j c:\windows\adam\logs

將使用者從AD DC匯入到AD LDS

現在需要將每個域的使用者匯入到AD LDS。對於需要同步的每個域，需要重複此步驟。此範例僅針對其中一個網域顯示程式。從原始MS-AdamSyncConf.xml開始，為需要同步的每個域建立一個XML檔案，並使用特定於每個域的詳細資訊修改該檔案以包含此內容：

<?xml version="1.0"?>
<doc> 
 <configuration>  
  <description>Adam-Sync1</description>  
  <security-mode>object</security-mode>         
  <source-ad-name>ad2k8-1</source-ad-name>  
  <source-ad-partition>dc=cisco,dc=com</source-ad-partition>
  <source-ad-account></source-ad-account>               
  <account-domain></account-domain>
  <target-dn>dc=cisco,dc=com</target-dn>  
  <query>   
   <base-dn>dc=cisco,dc=com</base-dn>
    <object-filter>
(&#124;(&amp;(!cn=Administrator)(!cn=Guest) (!cn=ASPNET)
(!cn=krbtgt)(sAMAccountType=805306368))(&amp;(objectClass=user)(isDeleted=TRUE)))
    </object-filter>
   <attributes>
    <include>objectSID</include>
    <include>mail</include> 
    <include>userPrincipalName</include>
    <include>middleName</include> 
    <include>manager</include> 
    <include>givenName</include> 
    <include>sn</include> 
    <include>department</include> 
    <include>telephoneNumber</include> 
    <include>title</include> 
    <include>homephone</include> 
    <include>mobile</include> 
    <include>pager</include> 
    <include>msDS-UserAccountDisabled</include>
    <include>samAccountName</include>
    <include>employeeNumber</include>
    <include>initials</include>
    <include>ipPhone</include>
    <include> displayName</include> 
    <include> msRTCSIP-primaryuseraddress</include>
    <include>uid</include>
    <exclude></exclude>
   </attributes>  
  </query>
 <user-proxy>
    <source-object-class>user</source-object-class>
    <target-object-class>userProxy</target-object-class>
  </user-proxy>  
  <schedule>   
   <aging>    
    <frequency>0</frequency>    
    <num-objects>0</num-objects>   
   </aging>   
   <schtasks-cmd></schtasks-cmd>  
  </schedule> 
 </configuration> 
 <synchronizer-state>  
  <dirsync-cookie></dirsync-cookie>  
  <status></status>  
  <authoritative-adam-instance></authoritative-adam-instance>
  <configuration-file-guid></configuration-file-guid>  
  <last-sync-attempt-time></last-sync-attempt-time>  
  <last-sync-success-time></last-sync-success-time>  
  <last-sync-error-time></last-sync-error-time>  
  <last-sync-error-string></last-sync-error-string>  
  <consecutive-sync-failures></consecutive-sync-failures>  
  <user-credentials></user-credentials>  
  <runs-since-last-object-update></runs-since-last-object-update>
  <runs-since-last-full-sync></runs-since-last-full-sync> 
 </synchronizer-state>
</doc>

在此檔案中，應替換以下標籤以匹配域：

<source-ad-name> — 使用域的主機名。
<source-ad-partition> — 使用要從中匯入的源AD DC的根分割槽（例如，dc=Cisco、dc=com或dc=Tandberg、dc=com）。
<base-dn> — 選擇要從中匯入內容的容器。例如，如果需要域的所有使用者，則應與<source-ad-partition>相同，但是如果使用者來自特定的組織單位（如財務OU），則應類似於OU=Finance、DC=Cisco、DC=com。

有關如何建立<object-filter>的詳細資訊，請參閱搜尋篩選器語法。

將新建立的XML檔案儲存在C:\windows\adam中。

開啟命令視窗cd \windows\adam。

輸入命令ADAMSync /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log。

驗證AdamSyncConf1.xml檔案是否是新建立的XML檔案。

使用ADAMSync /sync localhost:50000 "dc=cisco，dc=com" /log c:\windows\adam\logs\sync.log命令同步使用者。

結果應類似於：

要完成從AD到ADAM的自動同步，請使用Windows中的任務計畫程式。

使用以下內容建立.bat檔案：

"C:\Windows\ADAM\ADAMSync" /install localhost:50000 c:\windows\ADAM\AdamSyncConf1.xml /log c:\windows\adam\logs\install.log

"C:\Windows\ADAM\ADAMSync" /sync localhost:50000 "dc=cisco，dc=com" /log c:\windows\adam\logs\syn.log

安排任務根據需要運行.bat檔案。這將處理AD中發生的新增、修改和刪除，以在ADAM中反映出來。

您可以建立另一個.bat檔案，並安排它從另一個林完成自動同步。

在AD LDS中為CUCM同步和身份驗證建立使用者

從啟動選單中的管理員工具開啟ADSI Edit。
選擇File > Connection(或Action > Connect To)。
連線到AD LDS樹的基本dn(DC=Cisco，DC=com)，並指定主機和託管埠(localhost:50000)。按一下「OK」（確定）。
按一下右鍵基本DN並選擇新建>對象。
選擇user。按「Next」（下一步）。
在「值」欄位中，輸入所選對象名稱。在此範例中，「root」是選定的名稱（此處可以選擇任何名稱）。按「Next」（下一步）。
要為新使用者提供密碼，請按一下右鍵該使用者並選擇重置密碼。
預設情況下禁用新使用者。若要啟用新使用者，請按一下右鍵該使用者並選擇屬性。
瀏覽到屬性msDS-UserAccountDisabled，然後按一下Edit。
按一下「False」單選按鈕以啟用使用者帳戶。按一下「OK」（確定）。
按一下「True」單選按鈕以確保密碼不會過期。按一下「OK」（確定）。
需要將新使用者新增到一個對AD LDS具有讀取許可權的組中，在此示例中選擇了Administrators。瀏覽至CN=Roles > CN=Administrators。按一下右鍵CN=Administrators，然後選擇Properties。
選擇屬性成員，然後按一下編輯。
將之前建立的新DNcn=root，dc=Cisco，dc=com輸入到此組。按一下「OK」（確定）。
選擇Update Schema Now，然後重新啟動AD LDS。

配置繫結重定向

預設情況下，使用繫結重定向繫結到ADAM需要SSL連線。SSL要求在運行ADAM的電腦和作為客戶端連線到ADAM的電腦上安裝和使用證書。如果您的ADAM測試環境中未安裝證書，則可以禁用SSL要求作為替代方法。

預設情況下，SSL已啟用。為了使LDAPS協定在ADAM/LDS中正常工作，您需要生成證書。

在本示例中，Microsoft證書頒發機構伺服器用於頒發證書。若要請求證書，請轉到Microsoft CA - http://<MSFT CA hostname>/certsrv的網頁並完成以下步驟：

按一下「Request a certificate」。
按一下「advanced certificate request」。
按一下建立並向此CA提交請求。
在「名稱」文本框中，輸入ADAM/AD LDS伺服器的完整DNS名稱。
確保「Type of certificate is Server authentication certificate(證書型別為伺服器身份驗證證書)」。
對於格式，請選擇PCKS10。
選擇Mark Keys as exportable。
（可選）填寫其它資訊。
在「友好名稱」文本框中，輸入ADAM/AD LDS伺服器的完整DNS名稱。
按一下「Submit」。

返回證書頒發機構介面，然後按一下Pending Certificates資料夾。按一下右鍵ADAM/AD-LDS電腦發出的證書請求並頒發證書。

證書現已建立並駐留在「已頒發的證書」資料夾中。接下來，您需要下載並安裝證書：

開啟http://<MSFT CA hostname>/certsrv。
按一下View the status of a pending certificate request。
按一下憑證請求。
按一下憑證即可安裝。

為了讓ADAM服務使用證書，您需要將證書放在ADAM服務的個人儲存中：

在「開始」選單中，選擇「運行」。鍵入mmc。這將開啟管理控制檯。
按一下File \ Add/Remove管理單元。
按一下「Add」，然後選擇「Certificates」。
選擇服務帳戶。
選擇Local computer。
選擇您的ADAM例項服務。
新增新的證書管理單元，但這次選擇我的使用者帳戶而不是服務帳戶。
按一下「Close」，然後「Ok」。
在「證書 — 當前使用者樹」中，開啟個人資料夾。
選擇證書並將其複製到「證書 — adam例項名稱」下的相同位置。

若要向網路服務帳戶授予伺服器身份驗證證書的「讀取」許可權，請完成以下步驟：

導航到儲存已安裝或已匯入證書的此預設目錄 — C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys。
按一下右鍵相應的伺服器身份驗證證書。按一下「屬性」。
按一下Security頁籤。按一下「Edit」。
在「Permissions」對話方塊中，按一下Add。
在Select Users， Computers， or Groups對話方塊中，輸入Network Service。按一下「OK」（確定）。
重新啟動ADAM例項。

有關更多資訊，請參閱附錄A:為AD LDS配置LDAP over SSL要求。

接下來，將頒發證書的CA的證書作為CUCM目錄信任上傳到ADAM/AD LDS電腦。

請參閱Cisco Unified Communications Operations System Administration Guide以瞭解其他詳細資訊。

選中此覈取方塊可以在LDAP目錄頁和LDAP身份驗證頁中使用SSL。

為LDAP埠輸入50001（在本示例中），該埠是安裝ADAM/AD LDS例項時給定的SSL埠號。

若要停用繫結重新導向的SSL要求，請完成以下步驟：

按一下Start，指向Administrative Tools，然後按一下ADSI Edit。
在「操作」選單上，選擇「連線到」。
在「電腦」欄位中，輸入localhost:5000（這是ADAM主機和埠。）
在「連線點」部分中，按一下選擇已知命名上下文單選按鈕。從下拉式清單中選擇Configuration。按一下「OK」（確定）。
在控制檯樹中，瀏覽到配置分割槽中的此容器對象：CN=Directory Service，CN=Windows NT，CN=Services。
按一下右鍵CN=Directory Service，然後選擇Properties。
在「屬性」中，按一下msDS-Other-Settings。按一下「Edit」。
在Values中，按一下RequireSecureProxyBind=1，然後按一下Remove。
在要新增的值中，輸入RequireSecureProxyBind=0，按一下Add，然後按一下OK。
重新啟動AD LDS以使更改生效。

配置CUCM

CUCM版本9.1(2)及更高版本支援ADAM/AD LDS同步和身份驗證。

選擇System > LDAP > LDAP System。
選擇Microsoft ADAM或輕量級目錄服務。
您可以選擇以下任一LDAP使用者ID屬性：mail、employee Number或telephone Number。
uid僅用於獨立的ADAM/AD LDS，不能用於AD多林支援。

目前，對於LDAP伺服器型別「Microsoft ADAM或輕量級目錄服務」模式，samAccountName未包含在LDAP Attribute for Userid下拉選單中。原因是它不是獨立ADAM/AD LDS支援的屬性。如果需要使用對映到sAMAccountName的CUCM UserID，則應將協定配置為AD。
使用在AD LDS中建立的使用者的憑據配置LDAP同步。
使用在AD LDS中建立的使用者的憑據配置LDAP身份驗證。