Migrieren von Verzeichnissen zu Omnissa Identity Service (eingeschränkte Verfügbarkeit)

Wenn Sie derzeit Benutzer und Gruppen aus einem lokalen Active Directory mit Omnissa Workspace ONE UEM synchronisieren, können Sie Ihr Verzeichnis zu Omnissa Identity Service migrieren. Wenn Ihr Workspace ONE UEM-Mandant zudem über ein verknüpftes Omnissa Access-Verzeichnis verfügt, das bestimmte Anforderungen erfüllt, können Sie beide Verzeichnisse gemeinsam migrieren.

Omnissa Identity Service ist ein neuer Cloud-Dienst, der die Integration von Omnissa-Produkten und -Diensten mit externen, cloudbasierten Identitätsanbietern ermöglicht – für die Benutzerbereitstellung und den Identitätsverbund. Microsoft Entra ID, Okta und generische SCIM 2.0-konforme Identitätsanbieter werden unterstützt.

Nach der Migration werden Benutzer und Gruppen von Ihrem Cloud-Identitätsanbieter zu Omnissa Identity Service bereitgestellt und anschließend automatisch von Omnissa Identity Service zu Workspace ONE UEM (und Omnissa Access, sofern zutreffend) bereitgestellt. Sie verwalten das Verzeichnis über den Omnissa Identity Service und nicht über die Workspace ONE UEM- oder Omnissa Access-Konsole.

Sie können auf den Omnissa Identity Service zugreifen, indem Sie in Omnissa Connect Identitätsverwaltung > Endbenutzerverwaltung auswählen. Omnissa Connect ist ein webbasierter Dienst, der zentralen Zugriff auf alle Omnissa-Dienste und -Lösungen bietet.

Wichtig: Dieses Dokument enthält Anleitungen für die Migration vorhandener Verzeichnisse zu Omnissa Identity Service. Informationen zum Konfigurieren von Omnissa Identity Service für neue Organisationen finden Sie unter Konfigurieren der Benutzerbereitstellung und des Identitätsverbunds mit Omnissa Identity Service.

Vorteile der Migration zu Omnissa Identity Service

• Sie können Benutzer aus Ihrem cloudbasierten Verzeichnis mit dem SCIM 2.0-Protokoll in Workspace ONE UEM (und gegebenenfalls in Omnissa Access) bereitstellen, anstatt Benutzer aus Active Directory zu synchronisieren.

• Sie benötigen keine lokalen Komponenten wie den AirWatch Cloud Connector oder Omnissa Access Connector, um Benutzer und Gruppen bereitzustellen.

• Omnissa Identity Service bietet ein zentrales Benutzermanagement für alle Omnissa-Dienste. Die Verzeichnisverwaltung erfolgt zentral an einem Ort, nicht getrennt in den einzelnen Diensten.

  Wichtig: Derzeit wird Workspace ONE UEM für die Migration unterstützt. Ein einzelnes Omnissa Access-Verzeichnis kann ebenfalls zusammen mit dem Workspace ONE UEM-Verzeichnis migriert werden, wenn bestimmte Anforderungen erfüllt sind.

• Sie konfigurieren die Integration mit Ihrem Identitätsanbieter nur einmal, um die Verbundauthentifizierung über unterstützte Omnissa-Dienste hinweg zu aktivieren.

Nicht unterstützte Funktionen

Wenn Sie Omnissa Identity Service verwenden, werden die folgenden Funktionen nicht unterstützt.

• Nach Abschluss der Migration können Sie kein Rollback zur Verwendung von Active Directory durchführen.

• Nicht unterstützte Workspace ONE UEM-Funktionen

  • Direkte Integration mit lokalem Active Directory
  • Erstellen und Verwalten von Administratoren und Administratorgruppen über Verzeichnisdienste
    Sie können Administratoren über Omnissa Connect bereitstellen.
  • Überschreiben von Verzeichnisdiensten für untergeordnete Organisationsgruppen (OG), wenn der Omnissa Identity Service für die übergeordnete Organisationsgruppe konfiguriert ist
  • Just-in-Time-Bereitstellung (JIT) von Benutzern
    Registrierungsbenutzer werden über SCIM für Workspace ONE UEM bereitgestellt.
  • Batch-Import für Omnissa Identity Service-Benutzer, für die Geräteregistrierung und für die Aktualisierung von Benutzereigenschaften

  Die folgenden Registrierungsmethoden werden nicht unterstützt:

  <tr>
    <td>Windows</td>
    <td>Direktversand online</td>
  </tr>
    <tr>
    <td>Linux</td>
    <td>SAML-Authentifizierung auf monitorlosen Geräten</td>
  </tr>
  <tr>
    <td>XR</td>
    <td>Alle Flows</td>
  </tr>
  <tr>
    <td>Peripheriegeräte</td>
    <td>Alle Flows</td>
  </tr>
  

  Plattform	Nicht unterstützte Flows

• Nicht unterstützte Omnissa Access-Funktionen:

  • Direkte Integration mit lokalem Active Directory
  • Von Active Directory synchronisierte Verzeichnisadministratoren
    Sie können Administratoren über Omnissa Connect bereitstellen.
  • Lokale Benutzer, lokale Administratoren oder Just-in-Time-Benutzer (JIT)
    Alle Benutzer werden entweder von Ihrem Identitätsanbieter von Omnissa Identity Service oder von Omnissa Connect bereitgestellt.
    Hinweis: Lokale Benutzer und lokale Administratoren beziehen sich auf Benutzerkonten, die direkt in Omnissa Access erstellt und nicht aus einer Verzeichnisquelle synchronisiert werden.
  • Dynamische Gruppen
  • Die Authentifizierungsmethoden „Kennwort (Cloud-Bereitstellung)“ und „Kennwort (lokales Verzeichnis)“
  • People Search
  • Wenn Sie Omnissa Access in Office 365 integrieren, können Sie keine Verbundauthentifizierung für den Microsoft Entra ID-Identitätsanbieter verwenden. Nur Omnissa Access-spezifische Authentifizierungsmethoden wie RSA SecurID, Hub-MFA, Mobiles SSO und Zertifikatauthentifizierung sind verfügbar. Office 365 Active Flow-Authentifizierung wird derzeit nicht unterstützt.

Anforderungen

• Workspace ONE UEM

  • Alle Workspace ONE UEM-Verzeichnisadministratoren wurde zu Omnissa Connect migriert.
  • Für Workspace ONE UEM wurden Verzeichnisdienste konfiguriert.
  • Ihre Workspace ONE UEM-Verzeichnisdiensteinstellung wird nicht durch ein anderes Verzeichnis in den Verzeichniseinstellungen einer untergeordneten Organisationsgruppe überschrieben.
  • Ihre Workspace ONE UEM-Umgebung verfügt über keine Verzeichnisgruppen vom Typ „Organisationseinheit“ oder „Benutzerdefinierte Abfrage“.
  • Workspace ONE UEM-Standardbenutzer werden auch nach der Migration zu Omnissa Identity Service weiterhin unterstützt. Beachten Sie jedoch, dass allen Benutzern (Standard und bereitgestellt) während der Anmeldung eine zusätzliche Eingabeaufforderung angezeigt wird.

• Omnissa Access

  Wenn ein Verzeichnis im Omnissa Access-Mandanten konfiguriert ist, der Ihrem Workspace ONE UEM-Mandanten zugeordnet ist, können Sie es zusammen mit dem Verzeichnis Workspace ONE UEM migrieren, wenn diese Anforderungen erfüllt sind:

  • Alle Omnissa Access-Verzeichnisadministratoren wurde zu Omnissa Connect migriert.
  • Alle lokalen Administratoren in Omnissa Access wurden zu Omnissa Connect migriert.
  • Im Omnissa Access-Mandanten ist nur ein Verzeichnis konfiguriert: entweder ein Verzeichnis vom Typ „Active Directory über LDAP“ oder ein Verzeichnis vom Typ „Andere“ mit konfigurierter AirWatch Provisioning-App zur Bereitstellung von Benutzern und Gruppen in Workspace ONE UEM.
  • Wenn es sich bei dem Verzeichnis um ein Active Directory über LDAP-Verzeichnis handelt, verwendet es dasselbe Active Directory als Quelle wie Ihr Workspace ONE UEM-Verzeichnis und enthält dieselben Benutzer und Gruppen.
  • Der Omnissa Access-Mandant enthält keine lokalen Benutzer oder lokale Administratoren, einschließlich Benutzer im Systemverzeichnis.
  • Die Authentifizierungsmethode „Kennwort (Lokales Verzeichnis)“ wird in keiner Richtlinie verwendet.
  • Die Authentifizierungsmethode „Kennwort (Cloud-Bereitstellung)“ wird in keiner Richtlinie verwendet wird. Weitere Informationen finden Sie unter Kritische Überlegungen.
  • Der Office 365-Bereitstellungsadapter ist in Omnissa Access nicht aktiviert.
  • Der Omnissa Access-Mandant verfügt über keine dynamischen Gruppen (Gruppen, die in Omnissa Access erstellt wurden, nicht von Active Directory synchronisiert).

  Wichtig: Sie können nur ein Omnissa Access-Verzeichnis zusammen mit Ihrem Workspace ONE UEM-Verzeichnis migrieren. Sie können nicht nur ein Omnissa Access-Verzeichnis migrieren.

• Microsoft Active Directory

  Wenn Sie derzeit verschachtelte Active Directory-Gruppen mit Workspace ONE UEM synchronisieren und planen, Entra ID als Ihren Cloud-Identitätsanbieter zu nutzen, müssen Sie entweder die verschachtelten Gruppen im Active Directory auflösen oder dem Prozess folgen, den Omnissa Identity Service für die Synchronisierung verschachtelter Gruppen bereitstellt. Weitere Informationen finden Sie unter Migrieren verschachtelter Gruppen.

• Ihr Cloud-Identitätsanbieter (Microsoft Entra ID, Okta oder generischer SCIM-2.0-Identitätsanbieter)

  • Sie verfügen über einen Cloud-Mandanten.

  • Sie haben Benutzer und Gruppen aus Ihrem lokalen Active Directory mit dem Cloud-Verzeichnis synchronisiert.

    Sie können Tools wie Microsoft Entra Connect für Entra ID und Okta Active Directory-Agent für Okta verwenden, um Benutzer und Gruppen aus lokalen Active Directory zu synchronisieren.

Wichtige Überlegungen

• externalId kann nicht geändert werden
  Sie können die externalId für vorhandene Benutzer nicht ändern. Die Attributzuordnung in der Bereitstellungs-App in Ihrem Cloud-Identitätsanbieter muss mit der vorhandenen Workspace ONE UEM- und Omnissa Access-Attributzuordnung für externalId übereinstimmen.

• distinguishedName wird standardmäßig als eindeutiger allgemeiner Bezeichner verwendet

  Während der Migration verwendet Omnissa Identity Service standardmäßig distinguishedName als allgemeinen Bezeichner, um vorhandene Workspace ONE UEM- und Omnissa Access-Benutzer und -Gruppen mit denen abzugleichen, die aus Ihrem Identitätsanbieter mit Omnissa Access Service synchronisiert wurden. Wenn Sie die Standardeinstellung verwenden, müssen Sie distinguishedName aus Active Directory mit Ihrem Cloud-Identitätsanbieter synchronisieren und die Attributzuordnung in der Bereitstellungs-App sowohl für Benutzer als auch für Gruppen hinzufügen.

  Sie können ein anderes Attribut als den allgemeinen Bezeichner auswählen. Hierbei müssen Sie sicherstellen, dass Sie dieses Attribut aus Active Directory mit Ihrem Cloud-Identitätsanbieter synchronisieren und die Attributzuordnung in der Bereitstellungs-App sowohl für Benutzer als auch für Gruppen hinzufügen.

  Die folgenden Attribute werden als allgemeiner Bezeichner unterstützt:

  • Für Benutzer: distinguishedName, externalId, emails, userName
  • Für Gruppen: distinguishedName, displayName

  Hinweis: displayName wird als allgemeiner Bezeichner für Gruppen in den folgenden Fällen empfohlen:

  • Okta fungiert als Identitätsanbieter. Omnissa Identity Service verwendet displayName als Standardeinstellung für Okta-Gruppen.
  • Ein Omnissa Access-Verzeichnis wird mit konfigurierter AirWatch Provisioning-App migriert.

  Wichtig: Treffen Sie die Entscheidung, welches Attribut als allgemeiner Bezeichner verwendet werden soll, bevor Sie mit der Migration beginnen, damit Sie den Bezeichner in Schritt 1: Abschließen der Verzeichnisvoraussetzungen des Migrationsprozesses auswählen können. Um den allgemeinen Bezeichner später im Migrationsvorgang zu ändern, müssen Sie das Identity Service-Verzeichnis löschen und die Migration neu starten.

• Verwenden von sAMAccountName oder userPrincipalName als Benutzername
  Wenn Sie sAMAccountName als Benutzernamen in Workspace ONE UEM und Omnissa Access verwendet haben und den Benutzernamen während oder nach der Migration in userPrincipalName (Entra ID userPrincipalName oder Okta-Anmeldebezeichner) ändern möchten, können Sie dies tun, indem Sie die Zuordnung in der Bereitstellungs-App im Identitätsanbieter ändern.

  Sie müssen jedoch die Auswirkungen der Änderung auf Ihre Nutzung bestimmter Workspace ONE UEM- und Omnissa Access-Funktionen berücksichtigen.

  • Wenn beispielsweise bei Workspace ONE UEM der Benutzername in NFS-Ordnerpfaden in Workspace ONE Content-Repository-Vorlagen verwendet wird, müssen Sie die Pfade aktualisieren, um userPrincipalName zu verwenden. Wenn der Benutzername in Zertifikatsvorlagen verwendet wird, müssen Sie die diesen Vorlagen zugeordneten Profile ebenfalls neu bereitstellen. Benutzerattribute werden möglicherweise als Suchwerte an anderer Stelle wie Profilnutzlasten, App-Konfigurationen und Nachrichtenvorlagen verwendet, je nachdem, welche Konfigurationen Sie in Workspace ONE UEM bereitgestellt haben.

  • Für Omnissa Access führt das Ändern der Benutzernamenzuordnung dazu, dass die folgenden Authentifizierungsmethoden fehlschlagen: RADIUS, RSA SecurID und Kerberos. Darüber hinaus wird die DUO Security-Authentifizierungsmethode fehlschlagen, wenn Benutzername als Einstellung Benutzernamensformat bei der Konfiguration der Authentifizierungsmethode ausgewählt wird. Wenn Sie diese Authentifizierungsmethoden verwenden, wird empfohlen, die Benutzernamenzuordnung nicht zu ändern.

  Wenn Sie sAMAccountName jedoch als Benutzernamen in Workspace ONE UEM verwenden, sollten Sie bedenken, dass Sie neue Benutzer in Zukunft in Active Directory erstellen und mit Ihrem Cloud-Identitätsanbieter synchronisieren müssen, da sAMAccountName nur in Active Directory verfügbar ist. Neue Benutzer, die im Cloud-Identitätsanbieter erstellt wurden, können Workspace ONE UEM nicht verwenden.

  Entscheiden Sie sich vor Beginn der Migration, welches Attribut Sie als Benutzernamen verwenden möchten. Wenn Sie Active Directory weiterhin als Quelle für Benutzeridentitäten verwenden möchten, ist die Verwendung von sAMAccountName eine sinnvolle Option. Wenn Sie planen, zu Ihrem Cloud-Identitätsanbieter als zuverlässige Quelle zu wechseln, sollten Sie den Benutzernamen in userPrincipalName aktualisieren.

• Sowohl ein Workspace ONE UEM- als auch ein Omnissa Access-Verzeichnis migrieren
  Wenn Sie ein Omnissa Access-Verzeichnis zusammen mit Ihrem Workspace ONE UEM-Verzeichnis migrieren, müssen Sie die Zuordnung der Authentifizierungsmethode „Kennwort (Cloud-Bereitstellung)“ zu allen Zugriffsrichtlinien in Omnissa Access aufheben, bevor Sie den Migrationsvorgang starten. Aktualisieren Sie die Zugriffsrichtlinien, um Ihren Cloud-Identitätsanbieter für die Endbenutzerauthentifizierung zu verwenden. Dazu muss der Identitätsanbieter als Drittanbieter-IDP in Omnissa Access integriert werden.

  Wenn Sie anschließend Omnissa Identity Service in Ihren Cloud-Identitätsanbieter integrieren, importiert Omnissa Identity Service automatisch die Konfigurationsdetails aus Omnissa Access und vereinfacht so den Prozess.

  Hinweis: Omnissa Identity Service unterstützt nicht die von Omnissa Access unterstützte SSO-Einstellung Umleitungsparameter für den Identitätsanbieter.