Konfigurieren der LDAP-Verzeichnisverbindung in Omnissa Access

Sie können Ihr LDAP-Unternehmensverzeichnis in Omnissa Access integrieren, um Benutzer und Gruppen aus dem LDAP-Verzeichnis mit dem Omnissa Access-Dienst zu synchronisieren.

Zum Integrieren Ihres LDAP-Verzeichnisses erstellen Sie ein entsprechendes Omnissa Access-Verzeichnis und synchronisieren Benutzer und Gruppen aus dem LDAP-Verzeichnis mit dem Omnissa Access-Verzeichnis. Sie können eine regelmäßige Synchronisierung für spätere Aktualisierungen einrichten.

Sie können auch die LDAP-Attribute auswählen, die für Benutzer synchronisiert werden sollen, und diese den Omnissa Access-Attributen zuordnen.

Die LDAP-Verzeichniskonfiguration kann auf Standardschemata oder benutzerdefinierten Schemata basieren. Sie kann auch über benutzerdefinierte Attribute verfügen. Damit Omnissa Access Ihr LDAP-Verzeichnis nach Benutzer- oder Gruppenobjekten abfragen kann, müssen Sie die LDAP-Suchfilter und Attributnamen angeben, die für Ihr LDAP-Verzeichnis gelten.

Insbesondere müssen Sie folgende Informationen angeben:

• LDAP-Suchfilter zum Abfragen von Gruppen, Benutzern und des Verbindungsbenutzers

• LDAP-Attributnamen für Gruppenmitgliedschaft, externe ID und eindeutiger Name oder gleichwertiges Attribut

Für die Funktion der LDAP-Verzeichnisintegration gelten bestimmte Einschränkungen. Weitere Informationen hierzu finden Sie unter Einschränkungen bei der Integration von LDAP-Verzeichnissen.

Voraussetzungen

• Installieren Sie den Verzeichnissynchronisierungsdienst, der als Omnissa Access Connector-Komponente ab Version 20.01.0.0 verfügbar ist. Weitere Informationen finden Sie in der aktuellen Version von Installieren von Omnissa Access Connector.

  Wenn Sie den Benutzerauthentifizierungsdienst zur Authentifizierung von Benutzern des Verzeichnisses verwenden möchten, installieren Sie auch die Komponente „Benutzerauthentifizierungsdienst“.

• Überprüfen Sie die Benutzerattribute auf der Seite Einstellungen > Benutzerattribute und fügen Sie bei Bedarf weitere Attribute zur Synchronisierung hinzu. Sie ordnen die Omnissa Access-Attribute den Attributen Ihres LDAP-Verzeichnisses beim Erstellen des Verzeichnisses zu. Diese Attribute werden für die im Verzeichnis aufgeführten Benutzer synchronisiert.

  Hinweis: Wenn Sie Änderungen an Benutzerattributen vornehmen, sollten Sie die Auswirkungen auf andere Verzeichnisse im Omnissa Access-Dienst berücksichtigen. Wenn Sie sowohl Active Directory als auch LDAP-Verzeichnisse hinzufügen möchten, stellen Sie sicher, dass Sie keine Attribute mit Ausnahme von „Username“ als erforderlich markieren. Die Einstellungen auf der Seite „Benutzerattribute“ gelten für alle Verzeichnisse im Dienst. Wenn ein Attribut als erforderlich markiert ist, werden Benutzer ohne dieses Attribut nicht mit dem Omnissa Access-Dienst synchronisiert.

• Ein Bind-DN-Benutzerkonto. Es empfiehlt sich, ein Bind-DN-Benutzerkonto zu verwenden, bei dem das Kennwort nicht abläuft.

• In Ihrem LDAP-Verzeichnis muss die UUID von Benutzern und Gruppen reines Textformat haben.

• In Ihrem LDAP-Verzeichnis muss ein Domänenattribut für alle Benutzer und Gruppen vorhanden sein.

  Sie ordnen dieses Attribut dem Omnissa Access-domain beim Erstellen des Omnissa Access-Verzeichnisses zu.

• Benutzernamen dürfen keine Leerzeichen enthalten. Wenn ein Benutzername ein Leerzeichen enthält, wird der Benutzer zwar synchronisiert, verfügt jedoch nicht über Berechtigungen.

• Bei Verwendung der zertifikatbasierten Authentifizierung müssen Benutzer Werte für die Attribute „Nutzerhauptname“ und „E-Mail-Adresse“ haben.

Vorgehensweise

1. Navigieren Sie in der Omnissa Access-Konsole zur Seite Integrationen > Verzeichnisse.

2. Wählen Sie im Dropdown-Menü Verzeichnis hinzufügen die Option LDAP-Verzeichnis aus.

   

3. Geben Sie im Abschnitt Verzeichnisinformationen die erforderlichen Informationen ein.

   Option	Beschreibung
   Verzeichnisname	Geben Sie einen Namen für das Omnissa Access-Verzeichnis ein.
   Hosts für die Verzeichnissynchronisierung	Wählen Sie mindestens eine Verzeichnissynchronisierungsdienst-Instanz aus, die zur Synchronisierung dieses Verzeichnisses verwendet werden soll. Alle mit dem Mandanten registrierten Verzeichnissynchronisierungsdienst-Instanzen werden aufgelistet. Sie können nur Instanzen auswählen, die den Status „Aktiv“ aufweisen. Wenn Sie mehrere Instanzen auswählen, verwendet Omnissa Access die erste ausgewählte Instanz in der Liste, um das Verzeichnis zu synchronisieren. Wenn die erste Instanz nicht verfügbar ist, wird die nächste ausgewählte Instanz verwendet usw. Sie können die Liste nach dem Erstellen des Verzeichnisses auf der Registerkarte Synchronisierungseinstellungen des Verzeichnisses neu anordnen.
   Authentifizierung	Wählen Sie Kennwortauthentifizierung für dieses Verzeichnis einrichtenwenn Sie Benutzer dieses Verzeichnisses mit dem Benutzerauthentifizierungsdienst authentifizieren möchten. Der Benutzerauthentifzierungsdienst muss bereits installiert sein. Wenn Sie diese Option auswählen, werden die Authentifizierungsmethode „Kennwort (Cloud-Bereitstellung)“ und ein Identitätsanbieter namens IDP für Verzeichnisname vom Typ „Eingebettet“ automatisch für das Verzeichnis erstellt. Wählen Sie die Option Authentifizierungsmethoden später hinzufügen aus, wenn Sie die Authentifizierung mit dem Benutzerauthentifizierungsdienst zu diesem Zeitpunkt nicht einrichten möchten oder wenn Sie einen Identitätsanbieter eines Drittanbieters verwenden möchten. Wenn Sie sich entscheiden, den Benutzerauthentifzierungsdienst später zu verwenden, können Sie die Authentifizierungsmethode vom Typ „Kennwort (Cloud-Bereitstellung)“ und den Identitätsanbieter für das Verzeichnis manuell erstellen. Dadurch erstellen Sie einen neuen Identitätsanbieter für das Verzeichnis, indem Sie die Optionen Hinzufügen > Integrierter Identitätsanbieter auf der Seite Integrationen > Identitätsanbieter auswählen. Die Verwendung des vorab erstellten Identitätsanbieters mit dem Namen Integriert wird nicht empfohlen.
   Benutzerauthentifizierungs-Hosts	Die Option Benutzerauthentifizierungs-Hosts wird angezeigt, wenn die Option Kennwortauthentifizierung für dieses Verzeichnis einrichten ausgewählt ist. Wählen Sie eine oder mehrere Benutzerauthentifzierungsdienst-Instanzen aus, die zur Authentifizierung von Benutzern dieses Verzeichnisses verwendet werden sollen. Alle Benutzerauthentifzierungsdienst-Instanzen, die bei dem Mandanten registriert sind und den Status „Aktiv“ aufweisen, werden aufgelistet. Wenn Sie mehrere Instanzen auswählen, sendet Omnissa Access Authentifizierungsanforderungen an die ausgewählten Instanzen in einer Round-Robin-Reihenfolge.
   Benutzername	Wählen Sie das LDAP-Verzeichnisattribut aus, das für den Benutzernamen verwendet werden soll. Wenn das Attribut nicht aufgeführt ist, wählen Sie Benutzerdefiniert aus und geben Sie den Namen des benutzerdefinierten Attributs ein, der für Benutzer und Gruppen verwendet werden soll. Beispiel: cn.
   Server-Host	Geben Sie den Host des LDAP-Verzeichnisservers ein. Sie können entweder den vollqualifizierten Domänennamen oder die IP-Adresse angeben. Beispiel: myLDAPserver.example.com oder 100.00.00.0. Wenn sich hinter einem Lastausgleichsdienst ein Server-Cluster befindet, geben Sie stattdessen die Informationen zum Lastausgleichsdienst ein.
   Serverport	Geben Sie die Portnummer des LDAP-Verzeichnisses ein.

4. Geben Sie im Abschnitt LDAP-Konfiguration die erforderlichen Informationen ein.

   Option	Beschreibung
   Abfragen und Attribute	Geben Sie die LDAP-Suchfilter und Omnissa Access-Attribute an, die Omnissa Access zur Abfrage Ihres LDAP-Verzeichnisses verwenden kann. Standardwerte werden auf Basis des LDAP-Grundschemas bereitgestellt. Filterabfragen Gruppen: Der Suchfilter zum Abrufen von Gruppenobjekten. Beispiel: (objectClass=groupOfNames) Bind-Benutzer: Der Suchfilter zum Abrufen des Bind-Benutzer-Objekts, d. h. des Benutzers, der eine Verbindung zum Verzeichnis herstellen kann. Beispiel: (objectClass=person) Benutzer: Der Suchfilter zum Abrufen der zu synchronisierenden Benutzer. Beispiel:(&(objectClass=user)(objectCategory=person)) Attribute Mitgliedschaft: Das Attribut, das in Ihrem LDAP-Verzeichnis zum Definieren der Mitglieder einer Gruppe verwendet wird. Beispiel: member Externe ID: Das Attribut, das Sie als eindeutige Kennung für Benutzer und Gruppen im Verzeichnis Omnissa Access verwenden möchten. Der Standardwert lautet entryUUID. Wichtig: Alle Benutzer müssen einen eindeutigen und nicht leeren Wert aufweisen, der für das Attribut definiert ist. Der Wert muss innerhalb des Omnissa Access-Mandanten eindeutig sein. Wenn Benutzer keinen Wert für das Attribut haben, wird das Verzeichnis nicht synchronisiert. Beachten Sie beim Festlegen der externen ID folgendes: Wenn Sie Omnissa Access in Workspace ONE UEM integrieren, stellen Sie sicher, dass Sie „Externe ID“ in beiden Produkten auf dasselbe Attribut festlegen. Sie können die externe ID nach dem Erstellen des Verzeichnisses ändern. Es empfiehlt sich jedoch, die externe ID vor der Synchronisierung von Benutzern mit Omnissa Access festzulegen. Wenn Sie die externe ID ändern, werden die Benutzer neu erstellt. Infolgedessen werden alle Benutzer abgemeldet und müssen sich erneut anmelden. Sie müssen außerdem Benutzerrechte für Web-Anwendungen und ThinApps neu konfigurieren. Die Berechtigungseinstellungen für Horizon, Horizon Cloud und Citrix werden gelöscht und bei der nächsten Synchronisierung der Berechtigungsoptionen neu erstellt. Die Option „Externe ID“ ist mit Omnissa Access Connector ab Version 20.10 verfügbar. Alle dem Omnissa Access-Dienst zugeordneten Connectoren müssen Version 20.10 oder höher aufweisen. Wenn dem Dienst verschiedene Versionen des Connectors zugeordnet sind, wird die Option „Externe ID“ nicht angezeigt. Distinguished Name: (Optional) Das Attribut, das in Ihrem LDAP-Verzeichnis zum Definieren des eindeutigen Namens eines Benutzers oder einer Gruppe verwendet wird. Beispiel: dn Standardmäßig wird das Attribut „Distinguished Name“ verwendet, um Benutzer- und Gruppenobjekte eindeutig zu identifizieren. Wenn Ihr LDAP-Schema nicht über das Attribut „Distinguished Name“ verfügt, wählen Sie die Option Erweiterte LDAP-Konfiguration aktivieren aus und geben Sie die Werte ein, die zur Identifizierung von Gruppen und Benutzern verwendet werden sollen. Erweiterte Konfiguration: Aktivieren Sie das Kontrollkästchen Erweiterte LDAPS-Konfiguration aktivieren, um die erweiterte LDAP-Konfigurationsoptionen anzuzeigen. Verwenden Sie die erweiterte Konfiguration, wenn Ihr LDAP-Schema nicht über das Attribut „Distinguished Name“ verfügt oder wenn es „posixGroups“ verwendet. Gruppenfilter: Der Wert, der zum Abfragen und Identifizieren von Gruppen verwendet werden soll. Dieser Wert ist erforderlich, wenn Ihr LDAP-Schema nicht über das Attribut „Distinguished Name“ verfügt. Beispiel: cn Benutzerfilter: Der Wert, der zum Abfragen und Identifizieren von Benutzern verwendet werden soll. Dieser Wert ist erforderlich, wenn Ihr LDAP-Schema nicht über das Attribut „Distinguished Name“ verfügt. Beispiel: uid Filter für die Zuordnung der Benutzermitgliedschaft: (Optional) Diese Option ist in der Regel für LDAP-Verzeichnisse erforderlich, die posixGroups verwenden. Der Filter für die Zuordnung der Benutzermitgliedschaft wird zum Abfragen und Identifizieren von Benutzern verwendet, die vom Mitgliedschafts-Attribut zurückgegeben werden. Beispiel: uidNumber
   Verschlüsselung	Wenn Ihr LDAP-Verzeichnis den Zugriff über SSL erfordert, aktivieren Sie das Kontrollkästchen LDAPS für alle Verbindungen anfordern, und geben Sie das Stammzertifizierungsstellen-SSL-Zertifikat des LDAP-Verzeichnisservers mittels Kopieren und Einfügen in das Textfeld SSL-Zertifikat(e) ein. Stellen Sie sicher, dass das Zertifikat im PEM-Format vorliegt, und fügen Sie die Zeilen „BEGIN CERTIFICATE“ und „END CERTIFICATE“ ein.
   Details des Bind-Benutzers	Basis-DN: Geben Sie die DN ein, ab der die Suche starten soll. Beispiel: cn=users,dc=example,dc=com Bind-Benutzer-DN: Geben Sie den für die Verbindung zum LDAP-Verzeichnis zu verwendenden Benutzernamen ein. Hinweis: Es empfiehlt sich, ein Bind-DN-Benutzerkonto zu verwenden, bei dem das Kennwort nicht abläuft. Bind-Benutzerkennwort: Geben Sie das Kennwort für den Bind-DN-Benutzer ein.

5. Stellen Sie im Abschnitt Domäne(n) auswählen sicher, dass die richtige Domäne aufgeführt ist, und klicken Sie dann auf Speichern.

6. Überprüfen Sie im Abschnitt Benutzerattribut zuordnen, ob die Omnissa Access-Attribute den richtigen LDAP Directory-Attributen zugeordnet sind, und nehmen Sie ggf. Änderungen vor.

   Diese Attribute werden für Benutzer synchronisiert.

   Wichtig: Sie müssen eine Zuordnung für das domain angeben.

   Sie können Attribute hinzufügen und die Liste der erforderlichen Attribute auf der Seite Einstellungen > Benutzerattribute verwalten.

   Wichtig: Wenn ein Attribut als erforderlich gekennzeichnet ist, muss sein Wert für alle Benutzer festgelegt werden, die synchronisiert werden sollen. Benutzerdatensätze, bei denen Werte für die erforderlichen Attribute fehlen, werden nicht synchronisiert.

7. Fügen Sie im Abschnitt Gruppen synchronisieren die Gruppen hinzu, die synchronisiert werden sollen. Weitere Informationen finden Sie unter Auswählen von Benutzern und Gruppen für die Synchronisierung mit Ihrem Omnissa Access-Verzeichnis.

8. Fügen Sie im Abschnitt Benutzer synchronisieren die Benutzer hinzu, die synchronisiert werden sollen. Weitere Informationen finden Sie unter Auswählen von Benutzern und Gruppen für die Synchronisierung mit Ihrem Omnissa Access-Verzeichnis.

9. Richten Sie im Abschnitt Synchronisierungshäufigkeit einen Synchronisierungszeitplan ein, um Benutzer und Gruppen in regelmäßigen Abständen zu synchronisieren, oder wählen Sie Manuell aus dem Dropdown-Menü Synchronisierungshäufigkeit aus, wenn Sie keinen Zeitplan festlegen möchten.

   Die Zeit wird in UTC festgelegt.

   Tipp: Planen Sie die Synchronisierungsintervalle so, dass sie länger sind als die Zeit, die für die Synchronisierung des Verzeichnisses benötigt wird. Wenn Benutzer und Gruppen mit dem Verzeichnis synchronisiert werden und die nächste Synchronisierung bereits geplant ist, wird die neue Synchronisierung unmittelbar nach Abschluss der vorherigen gestartet. Mit diesem Zeitplan ist der Synchronisierungsvorgang kontinuierlich.

   Wenn Sie Manuell auswählen, müssen Sie auf der Verzeichnisseite Synchronisieren > Mit Schutzmaßnahmen synchronisieren oder Synchronisieren > Ohne Schutzmaßnahmen synchronisieren auswählen, wenn Sie das Verzeichnis synchronisieren möchten.

10. Klicken Sie auf Speichern, um das Verzeichnis zu erstellen, oder auf Speichern und synchronisieren, um das Verzeichnis zu erstellen und mit der Synchronisierung zu beginnen.

Ergebnisse

Die Verbindung zum LDAP-Verzeichnis wurde hergestellt. Wenn Sie auf Speichern und synchronisieren geklickt haben, werden Benutzer und Gruppennamen aus dem LDAP-Verzeichnis mit dem Omnissa Access-Verzeichnis synchronisiert.

Weitere Informationen dazu, wie Gruppen synchronisiert werden, finden Sie unter „Verwalten von Benutzern und Gruppen“ in Administration von Omnissa Access.

Nächste Schritte

• Wenn Sie die Option Authentifizierung auf Kennwortauthentifizierung für dieses Verzeichnis einrichten festlegen, wird automatisch ein Identitätsanbieter mit dem Namen IDP für Verzeichnisname und eine Authentifizierungsmethode vom Typ „Kennwort (Cloud-Bereitstellung)“ für das Verzeichnis erstellt. Sie können diese auf den Seiten Integrationen > Identitätsanbieter und Integrationen > Methode für Konnektor-Authentifizierung anzeigen. Sie können auch weitere Authentifizierungsmethoden für das Verzeichnis über die Seiten Methode für Konnektor-Authentifizierung und Authentifizierungsmethoden erstellen. Informationen zum Erstellen von Authentifizierungsmethoden finden Sie unter Verwalten von Benutzerauthentifizierungsmethoden in Omnissa Access.

• Überprüfen Sie die Standardzugriffsrichtlinie auf der Seite Ressourcen > Richtlinien.

• Überprüfen Sie die Standardeinstellungen für die Synchronisierungs-Schutzmaßnahmen und nehmen Sie bei Bedarf Änderungen vor. Weitere Informationen finden Sie unter Einrichten von Schutzmaßnahmen für die Verzeichnissynchronisierung in Omnissa Access.