Migration d'annuaires vers Omnissa Identity Service (disponibilité limitée)

Si vous synchronisez actuellement des utilisateurs et des groupes d'Active Directory sur site vers Omnissa Workspace ONE UEM, vous pouvez migrer votre annuaire vers Omnissa Identity Service. En outre, si votre locataire Workspace ONE UEM dispose d'un annuaire Omnissa Access associé qui répond à des exigences spécifiques, vous pouvez migrer les deux annuaires ensemble.

Omnissa Identity Service est un nouveau service cloud destiné à l'intégration de produits et services Omnissa à des fournisseurs d'identité sur le cloud tiers pour le provisionnement des utilisateurs et la fédération des identités. Microsoft Entra ID, Okta et les fournisseurs d'identité compatibles SCIM 2.0 génériques sont pris en charge.

Après la migration, les utilisateurs et les groupes seront provisionnés à partir du fournisseur d'identité cloud vers Omnissa Identity Service, puis automatiquement provisionnés à partir d'Omnissa Identity Service vers Workspace ONE UEM (et Omnissa Access, le cas échéant). Vous gérerez l'annuaire à partir d'Omnissa Identity Service, et non à partir des consoles Workspace ONE UEM ou Omnissa Access.

Pour accéder à Omnissa Identity Service, sélectionnez Gestion des identités > Gestion des utilisateurs finaux dans Omnissa Connect. Omnissa Connect est un service Web qui fournit l'accès centralisé à l'ensemble des services et solutions Omnissa.

Important : ce document fournit des instructions pour la migration d'annuaires existants vers Omnissa Identity Service. Pour configurer Omnissa Identity Service pour les nouvelles organisations, reportez-vous à la section Configuration du provisionnement des utilisateurs et de la fédération des identités avec Omnissa Identity Service.

Avantages de la migration vers Omnissa Identity Service

• Vous pouvez provisionner des utilisateurs de votre annuaire dans le cloud vers Workspace ONE UEM (et Omnissa Access, le cas échéant) à l'aide du protocole SCIM 2.0, au lieu de synchroniser les utilisateurs à partir d'Active Directory.

• Vous n'avez pas besoin de composants sur site tels qu'AirWatch Cloud Connector ou Omnissa Access Connector pour provisionner des utilisateurs et des groupes.

• Omnissa Identity Service offre une gestion centralisée des utilisateurs dans les services Omnissa. Vous gérez votre annuaire à partir d'un emplacement central, et non séparément à partir de chaque service.

  Important : actuellement, Workspace ONE UEM est pris en charge pour la migration. Un annuaire Omnissa Access unique peut également être migré avec l'annuaire Workspace ONE UEM si certaines conditions requises sont remplies.

• Vous configurez l'intégration avec votre fournisseur d'identité une seule fois pour activer l'authentification fédérée sur les services Omnissa pris en charge.

Fonctionnalités non prises en charge

Lorsque vous utilisez Omnissa Identity Service, les fonctionnalités suivantes ne sont pas prises en charge.

• Vous ne pouvez pas recommencer à utiliser Active Directory une fois la migration terminée.

• Fonctionnalités de Workspace ONE UEM non prises en charge :

  • Intégration directe à Active Directory sur site
  • Création et gestion des administrateurs et des groupes d'administrateurs via les services d'annuaire
    Vous pouvez provisionner des administrateurs via Omnissa Connect.
  • Remplacement des services d'annuaire pour les groupes d'organisation enfants quand Omnissa Identity Service est configuré pour le groupe d'organisation parent
  • Provisionnement juste-à-temps (JIT) des utilisateurs
    Les utilisateurs de l'enrôlement sont provisionnés via SCIM vers Workspace ONE UEM.
  • Importation par lots pour les utilisateurs d'Omnissa Identity Service, pour l'enregistrement du terminal et la mise à jour des propriétés de l'utilisateur

  Les méthodes d'enrôlement suivantes ne sont pas prises en charge :

  <tr>
    <td>Windows</td>
    <td>Dropship en ligne</td>
  </tr>
    <tr>
    <td>Linux</td>
    <td>Authentification SAML sur les terminaux administrés à distance</td>
  </tr>
  <tr>
    <td>XR</td>
    <td>Tous les flux</td>
  </tr>
  <tr>
    <td>Périphériques</td>
    <td>Tous les flux</td>
  </tr>
  

  Plate-forme	Flux non pris en charge

• Fonctionnalités d'Omnissa Access non prises en charge :

  • Intégration directe à Active Directory sur site
  • Administrateurs d'annuaire synchronisés à partir d'Active Directory
    Vous pouvez provisionner des administrateurs via Omnissa Connect.
  • Utilisateurs locaux, administrateurs locaux ou utilisateurs juste-à-temps (JIT)
    Tous les utilisateurs sont soit provisionnés depuis votre fournisseur d'identité par Omnissa Identity Service, soit des administrateurs provisionnés via Omnissa Connect.
    Remarque : les utilisateurs locaux et les administrateurs locaux font référence aux comptes d'utilisateurs créés directement dans Omnissa Access et non synchronisés à partir d'une source d'annuaire.
  • Groupes dynamiques
  • Méthodes d'authentification Mot de passe (déploiement cloud) et Mot de passe (annuaire local)
  • People Search
  • Si vous intégrez Omnissa Access à Office 365, vous ne pouvez pas utiliser l'authentification fédérée avec le fournisseur d'identité Microsoft Entra ID. Seules les méthodes d'authentification propres à Omnissa Access, telles que RSA SecurID, l'authentification multifacteur du Hub, Mobile SSO et l'authentification par certificat, seront disponibles. L'authentification Office 365 Active Flow n'est actuellement pas prise en charge.

Configuration requise

• Workspace ONE UEM

  • Tous les administrateurs d'annuaires Workspace ONE UEM ont été migrés vers Omnissa Connect.
  • Les services d'annuaire sont configurés sur Workspace ONE UEM.
  • Votre paramètre de services d'annuaire Workspace ONE UEM n'est pas remplacé par un autre annuaire dans les paramètres d'annuaire d'un groupe d'organisation enfant.
  • Votre environnement Workspace ONE UEM ne dispose pas de groupes d'annuaires de type Unité d'organisation ou Requête personnalisée.
  • Les utilisateurs de base de Workspace ONE UEM seront toujours pris en charge après la migration vers Omnissa Identity Service. Cependant, vous devez savoir que tous les utilisateurs (de base et provisionnés) verront une invite supplémentaire lors de la connexion.

• Omnissa Access

  Si un annuaire est configuré dans le locataire Omnissa Access associé à votre locataire Workspace ONE UEM, vous pouvez le migrer avec l'annuaire Workspace ONE UEM si les conditions suivantes sont remplies :

  • Tous les administrateurs d'annuaires Omnissa Access ont été migrés vers Omnissa Connect.
  • Tous les administrateurs locaux Omnissa Access ont été migrés vers Omnissa Connect.
  • Un seul annuaire est configuré dans le locataire Omnissa Access : un annuaire de type Active Directory sur LDAP ou un annuaire de type Autre avec l'application de provisionnement AirWatch configurée pour provisionner des utilisateurs et des groupes vers Workspace ONE UEM.
  • Si l'annuaire utilise un annuaire Active Directory sur LDAP, il utilise le même annuaire Active Directory comme source que votre annuaire Workspace ONE UEM, et il contient les mêmes utilisateurs et groupes.
  • Le locataire Omnissa Access n'a pas d'utilisateurs locaux ni d'administrateurs locaux, y compris des utilisateurs dans l'annuaire système.
  • La méthode d'authentification Mot de passe (annuaire local) n'est pas utilisée dans les stratégies d'accès.
  • La méthode d'authentification Mot de passe (déploiement cloud) n'est utilisée dans aucune stratégie d'accès. Pour plus d'informations, reportez-vous à la section Considérations critiques.
  • L'adaptateur de provisionnement Office 365 n'est pas activé dans Omnissa Access.
  • Le locataire Omnissa Access ne dispose d'aucun groupe dynamique (groupes créés dans Omnissa Access, non synchronisés à partir d'Active Directory).

  Important : vous pouvez uniquement migrer un annuaire Omnissa Access avec votre annuaire Workspace ONE UEM. Vous ne pouvez pas migrer uniquement un annuaire Omnissa Access.

• Microsoft Active Directory

  Si vous synchronisez actuellement des groupes imbriqués Active Directory avec Workspace ONE UEM et que vous prévoyez d'utiliser Entra ID comme fournisseur d'identité cloud, vous devez soit aplatir les groupes imbriqués dans Active Directory, soit suivre le processus proposé par Omnissa Identity Service pour la synchronisation des groupes imbriqués. Reportez-vous à la section Migration des groupes imbriqués.

• Votre fournisseur d'identité cloud (Microsoft Entra ID, Okta ou fournisseur d'identité SCIM 2.0 générique)

  • Vous disposez d'un locataire de cloud.

  • Vous avez synchronisé des utilisateurs et des groupes entre votre annuaire Active Directory sur site et l'annuaire dans le cloud.

    Vous pouvez utiliser des outils tels que Microsoft Entra Connect pour Entra ID et Okta Active Directory Agent pour Okta de manière à synchroniser des utilisateurs et des groupes à partir d'Active Directory sur site.

Critères à prendre en compte

• externalId ne peut pas être modifié
  Vous ne pouvez pas modifier externalId pour les utilisateurs existants. Le mappage d'attributs dans l'application de provisionnement de votre fournisseur d'identité cloud doit correspondre au mappage d'attributs Workspace ONE UEM et Omnissa Access existant pour externalId.

• distinguishedName est utilisé comme identifiant unique commun par défaut

  Pendant la migration, Omnissa Identity Service utilise distinguishedName comme identifiant commun par défaut pour faire correspondre les utilisateurs et les groupes Workspace ONE UEM et Omnissa Access existants avec ceux qui sont synchronisés entre votre fournisseur d'identité et Omnissa Identity Service. Si vous utilisez le paramètre par défaut, vous devez synchroniser distinguishedName d'Active Directory vers votre fournisseur d'identité cloud et ajouter le mappage d'attributs dans l'application de provisionnement pour les utilisateurs et les groupes.

  Vous pouvez sélectionner un attribut différent comme identifiant commun. Dans ce cas, vous devez vous assurer de synchroniser cet attribut d'Active Directory vers votre fournisseur d'identité cloud et d'ajouter le mappage d'attribut dans l'application de provisionnement pour les utilisateurs et les groupes.

  Les attributs suivants sont pris en charge comme identifiants communs :

  • Pour les utilisateurs : distinguishedName, externalId, emails, userName
  • Pour les groupes : distinguishedName, displayName

  Remarque : il est recommandé d'utiliser displayName comme identifiant commun pour les groupes dans les cas suivants :

  • Lorsqu'Okta est le fournisseur d'identité. Omnissa Identity Service utilise displayName comme valeur par défaut pour les groupes Okta.
  • Lorsque vous migrez un annuaire Omnissa Access avec l'application de provisionnement AirWatch configurée.

  Important : choisissez l'attribut à utiliser comme identifiant commun avant de démarrer la migration afin de pouvoir sélectionner l'identifiant dans Étape 1 : remplir les conditions préalables de l'annuaire du processus de migration. Pour modifier l'identifiant commun ultérieurement dans le processus de migration, vous devrez supprimer l'annuaire Identity Service et redémarrer la migration.

• Utilisation de sAMAccountName ou userPrincipalName comme nom d'utilisateur
  Si vous utilisiez sAMAccountName comme nom d'utilisateur dans Workspace ONE UEM et Omnissa Access et que vous souhaitez le remplacer par userPrincipalName (userPrincipalName Entra ID ou identifiant de connexion Okta) pendant ou après la migration, vous pouvez le faire en modifiant le mappage dans l'application de provisionnement du fournisseur d'identité.

  Cependant, vous devez tenir compte des conséquences de la modification en fonction de votre utilisation de certaines fonctionnalités de Workspace ONE UEM et d'Omnissa Access.

  • Pour Workspace ONE UEM, par exemple, si le nom d'utilisateur est utilisé dans les chemins de dossier NFS dans les modèles de référentiel de Workspace ONE Content, vous devez mettre à jour les chemins pour utiliser userPrincipalName. De même, si le nom d'utilisateur est utilisé dans les modèles de certificat, vous devrez redéployer les profils associés à ces modèles. Les attributs d'utilisateur peuvent être utilisés comme valeurs de recherche dans d'autres éléments tels que les charges utiles de profil, les configurations d'application et les modèles de message, en fonction des configurations que vous avez déployées dans Workspace ONE UEM.

  • Pour Omnissa Access, la modification du mappage du nom d'utilisateur entraîne l'échec des méthodes d'authentification suivantes : RADIUS, RSA SecurID et Kerberos. En outre, la méthode d'authentification DUO Security échouera si Nom d'utilisateur est sélectionné comme paramètre de format de nom d'utilisateur dans la configuration de la méthode d'authentification. Si vous utilisez ces méthodes d'authentification, nous vous recommandons de ne pas modifier le mappage du nom d'utilisateur.

  D'autre part, si vous décidez d'utiliser sAMAccountName comme nom d'utilisateur dans Workspace ONE UEM, gardez à l'esprit que lorsque vous créerez des utilisateurs à l'avenir, vous devrez les créer dans Active Directory et les synchroniser avec votre fournisseur d'identité cloud, car sAMAccountName n'est disponible que dans Active Directory. Les utilisateurs créés dans le fournisseur d'identité cloud ne pourront pas utiliser Workspace ONE UEM.

  Prenez la décision concernant l'attribut que vous souhaitez utiliser comme nom d'utilisateur avant de commencer la migration. Si vous prévoyez de continuer à utiliser Active Directory comme source d'approbation pour les identités d'utilisateur, l'utilisation de sAMAccountName est une option viable. Si vous prévoyez de passer à votre fournisseur d'identité cloud comme source d'approbation, il est préférable de mettre à jour le nom d'utilisateur vers userPrincipalName.

• Migration d'un annuaire Workspace ONE UEM et d'un annuaire Omnissa Access
  Si vous migrez un annuaire Omnissa Access avec votre annuaire Workspace ONE UEM, vous devez dissocier la méthode d'authentification Mot de passe (déploiement cloud) de toutes les stratégies d'accès dans Omnissa Access avant de démarrer le processus de migration. Mettez à jour les stratégies d'accès pour utiliser votre fournisseur d'identité cloud pour l'authentification des utilisateurs finaux. Cela nécessite d'intégrer le fournisseur d'identité en tant que fournisseur d'identité tiers dans Omnissa Access.

  Lorsque vous intégrez par la suite Omnissa Identity Service à votre fournisseur d'identité cloud, Omnissa Identity Service importe automatiquement les détails de configuration à partir d'Omnissa Access, ce qui simplifie le processus.

  Remarque : Omnissa Identity Services ne prend pas en charge le paramètre de redirection IdP de déconnexion unique pris en charge par Omnissa Access.