디렉토리를 Omnissa Identity Service로 마이그레이션(제한된 가용성)

현재 온-프레미스 Active Directory에서 Omnissa Workspace ONE UEM으로 사용자 및 그룹을 동기화하는 경우 디렉토리를 Omnissa Identity Service로 마이그레이션할 수 있습니다. 또한 Workspace ONE UEM 테넌트에 특정 요구 사항을 충족하는 연결된 Omnissa Access 디렉토리가 있는 경우 두 디렉토리를 함께 마이그레이션할 수 있습니다.

Omnissa Identity Service는 사용자 프로비저닝 및 ID 페더레이션을 위해 Omnissa 제품 및 서비스를 타사 클라우드 기반 ID 제공자와 통합하는 새로운 클라우드 서비스입니다. Microsoft Entra ID, Okta 및 일반 SCIM 2.0 준수 ID 제공자가 지원됩니다.

마이그레이션 후에는 사용자와 그룹이 클라우드 ID 제공자에서 Omnissa Identity Service로 프로비저닝된 다음 Omnissa Identity Service에서 Workspace ONE UEM(및 해당하는 경우 Omnissa Access)으로 자동 프로비저닝됩니다. Workspace ONE UEM Console 또는 Omnissa Access 콘솔이 아닌 Omnissa Identity Service에서 디렉토리를 관리하게 됩니다.

Omnissa Connect에서 ID 관리 > 최종 사용자 관리를 선택하여 Omnissa Identity Service에 액세스할 수 있습니다. Omnissa Connect는 모든 Omnissa 서비스 및 솔루션에 대한 중앙 집중식 액세스를 제공하는 웹 기반 서비스입니다.

중요: 이 문서는 기존 디렉토리를 Omnissa Identity Service로 마이그레이션하기 위한 지침을 제공합니다. 새로운 조직을 위해 Omnissa Identity Service를 구성하려면 Omnissa Identity Service로 사용자 프로비저닝 및 ID 페더레이션 구성을 참조하십시오.

Omnissa Identity Service로 마이그레이션의 이점

• Active Directory에서 사용자를 동기화하는 대신 SCIM 2.0 프로토콜을 사용하여 클라우드 기반 디렉토리에서 Workspace ONE UEM(및 해당되는 경우 Omnissa Access)으로 사용자를 프로비저닝할 수 있습니다.

• 사용자 및 그룹을 프로비저닝하기 위해 AirWatch Cloud Connector 또는 Omnissa Access Connector와 같은 온프레미스 구성 요소가 필요하지 않습니다.

• Omnissa Identity Service는 Omnissa 서비스 전반에 걸친 중앙 집중식 사용자 관리를 제공합니다. 각 서비스에서 별도로 관리하는 것이 아니라 하나의 중앙 위치에서 디렉토리를 관리하게 됩니다.

  중요: 현재 Workspace ONE UEM은 마이그레이션을 지원합니다. 특정 요구 사항이 충족되는 경우 단일 Omnissa Access 디렉토리를 Workspace ONE UEM 디렉토리와 함께 마이그레이션할 수도 있습니다.

• 지원되는 Omnissa 서비스에서 페더레이션된 인증을 사용하도록 설정하려면 ID 제공자와의 통합을 한 번만 구성합니다.

지원되지 않는 기능

Omnissa Identity Service를 사용하는 경우 다음과 같은 기능이 지원되지 않습니다.

• 마이그레이션이 완료된 후에는 Active Directory 사용으로 되돌릴 수 없습니다.

• 지원되지 않는 Workspace ONE UEM 기능:

  • 온-프레미스 Active Directory와의 직접 통합
  • 디렉토리 서비스를 통해 관리자 및 관리자 그룹 생성 및 관리
    Omnissa Connect를 통해 관리자를 프로비저닝할 수 있습니다.
  • 상위 조직 그룹에 대해 Omnissa Identity Service가 구성된 경우 하위 OG(조직 그룹)에 대한 디렉토리 서비스 재정의
  • JIT(Just-in-Time) 사용자 프로비저닝
    등록 사용자는 SCIM을 통해 Workspace ONE UEM에 프로비저닝됩니다.
  • 장치 등록 및 사용자 속성 업데이트를 위해 Omnissa Identity Service 사용자 일괄 가져오기

  다음 등록 방법은 지원되지 않습니다.

  <tr>
    <td>Windows</td>
    <td>Dropship Online</td>
  </tr>
    <tr>
    <td>Linux</td>
    <td>헤드리스 장치의 SAML 인증</td>
  </tr>
  <tr>
    <td>XR</td>
    <td>모든 흐름</td>
  </tr>
  <tr>
    <td>주변</td>
    <td>모든 흐름</td>
  </tr>
  

  플랫폼	지원되지 않는 흐름

• 지원되지 않는 Omnissa Access 기능:

  • 온-프레미스 Active Directory와의 직접 통합
  • Active Directory에서 동기화된 디렉토리 관리자
    Omnissa Connect를 통해 관리자를 프로비저닝할 수 있습니다.
  • 로컬 사용자, 로컬 관리자 또는 JIT(Just-in-Time) 사용자
    모든 사용자는 Omnissa Identity Service를 통해 ID 제공자에서 프로비저닝된 사용자이거나 Omnissa Connect에서 프로비저닝된 관리자입니다.
    참고: 로컬 사용자와 로컬 관리자는 Omnissa Access에서 직접 생성되고 디렉토리 소스에서 동기화되지 않은 사용자 계정을 참조합니다.
  • 동적 그룹
  • 암호(클라우드 배포) 및 암호(로컬 디렉토리) 인증 방법
  • People Search
  • Omnissa Access를 Office 365와 통합하는 경우 Microsoft Entra ID 제공자에 대해 페더레이션된 인증을 사용할 수 없습니다. RSA SecurID, Hub MFA, 모바일 SSO, 인증서 인증과 같은 Omnissa Access별 인증 방법만 사용할 수 있습니다. Office 365 활성 흐름 인증은 현재 지원되지 않습니다.

요구 사항

• Workspace ONE UEM

  • 모든 Workspace ONE UEM 디렉토리 관리자는 Omnissa Connect로 마이그레이션되었습니다.
  • Workspace ONE UEM에는 디렉토리 서비스가 구성되어 있습니다.
  • Workspace ONE UEM 디렉토리 서비스 설정이 하위 조직 그룹의 디렉토리 설정에 있는 다른 디렉토리에 의해 재정의되지 않습니다.
  • Workspace ONE UEM 환경에 조직 구성 단위 또는 사용자 지정 쿼리 유형의 디렉토리 그룹이 없습니다.
  • Workspace ONE UEM 기본 사용자는 Omnissa Identity Service로 마이그레이션한 후에도 계속 지원됩니다. 그러나 로그인하는 동안 모든 사용자(기본 및 프로비저닝된 사용자)에게 추가 프롬프트가 표시된다는 점에 유의해야 합니다.

• Omnissa Access

  디렉토리가 Workspace ONE UEM 테넌트와 연결된 Omnissa Access 테넌트에 구성된 경우 다음과 같은 요구 사항이 충족되면 Workspace ONE UEM 디렉토리와 함께 마이그레이션할 수 있습니다.

  • 모든 Omnissa Access 디렉토리 관리자는 Omnissa Connect로 마이그레이션되었습니다.
  • 모든 Omnissa Access 로컬 관리자는 Omnissa Connect로 마이그레이션되었습니다.
  • Omnissa Access 테넌트에는 LDAP를 통한 Active Directory 유형의 디렉토리 하나 또는 Workspace ONE UEM으로 사용자 및 그룹을 프로비저닝하도록 AirWatch 프로비저닝 애플리케이션이 구성된 기타 유형의 디렉토리가 하나만 구성되어 있습니다.
  • 디렉토리가 LDAP을 통한 Active Directory 디렉토리인 경우 Workspace ONE UEM 디렉토리와 동일한 소스 Active Directory를 사용하며 동일한 사용자 및 그룹을 포함합니다.
  • Omnissa Access 테넌트에는 시스템 디렉토리의 사용자를 포함한 로컬 사용자나 로컬 관리자가 없습니다.
  • 암호(로컬 디렉토리) 인증 방법이 액세스 정책에 사용되지 않습니다.
  • 암호(클라우드 배포) 인증 방법이 액세스 정책에 사용되지 않습니다. 자세한 내용은 중요 고려 사항을 참조하십시오.
  • Office 365 프로비저닝 어댑터가 Omnissa Access에서 사용하도록 설정되지 않았습니다.
  • Omnissa Access 테넌트에 동적 그룹(Active Directory에서 동기화되지 않고 Omnissa Access에서 생성된 그룹)이 없습니다.

  중요: Workspace ONE UEM 디렉토리와 함께 Omnissa Access 디렉토리만 마이그레이션할 수 있습니다. Omnissa Access 디렉토리만 마이그레이션할 수 없습니다.

• Microsoft Active Directory

  현재 Active Directory 중첩 그룹을 Workspace ONE UEM에 동기화하고 Entra ID를 클라우드 ID 제공자로 사용하려는 경우, Active Directory에서 중첩 그룹을 병합하거나 중첩된 그룹을 동기화하기 위해 Omnissa Identity Service가 제공하는 프로세스를 따라야 합니다. 중첩된 그룹 마이그레이션을 참조하십시오.

• 클라우드 ID 제공자(Microsoft Entra ID, Okta 또는 일반 SCIM 2.0 ID 제공자)

  • 클라우드 테넌트가 있습니다.

  • 온-프레미스 Active Directory에서 클라우드 디렉토리로 사용자 및 그룹을 동기화했습니다.

    Entra ID용 Microsoft Entra Connect 및 Okta용 Active Directory 에이전트와 같은 도구를 사용하여 온-프레미스 Active Directory에서 사용자 및 그룹을 동기화할 수 있습니다.

중요 고려 사항

• externalId를 변경할 수 없음
  기존 사용자의 externalId는 변경할 수 없습니다. 클라우드 ID 제공자의 프로비저닝 애플리케이션에 있는 특성 매핑은 externalId에 대한 기존 Workspace ONE UEM 및 Omnissa Access 특성 매핑과 일치해야 합니다.

• distinguishedName은 기본 고유 공통 식별자로 사용됨

  마이그레이션 중에 Omnissa Identity Service는 distinguishedName을 기본 공통 식별자로 사용하여 기존 Workspace ONE UEM 및 Omnissa Access 사용자 및 그룹을 ID 제공자에서 Omnissa Identity Service로 동기화된 사용자 및 그룹과 일치시킵니다. 기본 설정을 사용하는 경우 distinguishedName을 Active Directory에서 클라우드 ID 제공자로 동기화하고 사용자 및 그룹 모두에 대한 프로비저닝 애플리케이션에 특성 매핑을 추가해야 합니다.

  다른 특성을 공통 식별자로 선택할 수 있습니다. 이렇게 하면 해당 특성을 Active Directory에서 클라우드 ID 제공자로 동기화하고 사용자 및 그룹 모두에 대한 프로비저닝 애플리케이션에 특성 매핑을 추가해야 합니다.

  다음 특성은 공통 식별자로 지원됩니다.

  • 사용자: distinguishedName, externalId, emails, userName
  • 그룹: distinguishedName, displayName

  참고: 다음과 같은 경우 그룹의 일반 식별자로 displayName을 권장합니다.

  • Okta가 ID 제공자인 경우. Omnissa Identity Service는 Okta 그룹의 기본값으로 displayName을 사용합니다.
  • AirWatch 프로비저닝 애플리케이션이 구성된 Omnissa Access 디렉토리를 마이그레이션하는 경우.

  중요: 마이그레이션을 시작하기 전에 공통 식별자로 사용할 특성을 결정하여 마이그레이션 프로세스의 1단계: 전체 디렉토리 사전 요구 사항에서 식별자를 선택할 수 있습니다. 나중에 마이그레이션 프로세스에서 공통 식별자를 변경하려면 Identity Service 디렉토리를 삭제하고 마이그레이션을 다시 시작해야 합니다.

• sAMAccountName 또는 userPrincipalName을 사용자 이름으로 사용
  sAMAccountName을 Workspace ONE UEM 및 Omnissa Access에서 사용자 이름으로 사용하고 마이그레이션 도중 또는 마이그레이션 후에 사용자 이름을 userPrincipalName(Entra ID userPrincipalName 또는 Okta 로그인 식별자)으로 변경하려는 경우 ID 제공자의 프로비저닝 애플리케이션에서 매핑을 변경하여 변경할 수 있습니다.

  그러나 특정 Workspace ONE UEM 및 Omnissa Access 기능의 사용량에 따라 변경이 미치는 영향을 고려해야 합니다.

  • 예를 들어 Workspace ONE UEM의 경우, Workspace ONE Content 저장소 템플릿의 NFS 폴더 경로에 사용자 이름이 사용된 경우 userPrincipalName을 사용하려면 해당 경로를 업데이트해야 합니다. 마찬가지로 인증서 템플릿에서 사용자 이름을 사용하는 경우 이러한 템플릿과 연결된 프로파일을 다시 배포해야 합니다. 사용자 특성은 Workspace ONE UEM에 배포한 구성에 따라 프로필 페이로드, 애플리케이션 구성 및 메시지 템플릿과 같은 다른 곳에서 조회 값으로 사용 중일 수 있습니다.

  • Omnissa Access의 경우 사용자 이름 매핑을 변경하면 RADIUS, RSA SecurID 및 Kerberos 인증 방법이 실패합니다. 또한 인증 방법 구성에서 사용자 이름 형식 설정으로 사용자 이름이 선택된 경우 DUO 보안 인증 방법이 실패합니다. 이러한 인증 방법을 사용하는 경우 사용자 이름 매핑을 변경하지 않는 것이 좋습니다.

  반면에 sAMAccountName을 Workspace ONE UEM의 사용자 이름으로 사용하기로 결정한 경우 나중에 새 사용자를 생성할 때 sAMAccountName은 Active Directory에서만 사용할 수 있으므로 Active Directory에서 생성한 후 클라우드 ID 제공자와 동기화해야 합니다. 클라우드 ID 제공자에서 생성된 새 사용자는 Workspace ONE UEM을 사용할 수 없습니다.

  마이그레이션을 시작하기 전에 사용자 이름으로 사용할 특성을 결정합니다. 사용자 ID의 소스로 Active Directory를 계속 사용하려는 경우 sAMAccountName을 사용하는 것이 실행 가능한 옵션입니다. 소스로 클라우드 ID 제공자로 전환하려는 경우 사용자 이름을 userPrincipalName으로 업데이트하는 것이 좋습니다.

• Workspace ONE UEM 디렉토리 및 Omnissa Access 디렉토리 모두 마이그레이션
  Workspace ONE UEM 디렉토리와 함께 Omnissa Access 디렉토리를 마이그레이션하는 경우 마이그레이션 프로세스를 시작하기 전에 Omnissa Access의 모든 액세스 정책에서 암호(클라우드 배포) 인증 방법을 연결 해제해야 합니다. 최종 사용자 인증에 클라우드 ID 제공자를 사용하도록 액세스 정책을 업데이트합니다. 이를 위해서는 ID 제공자를 Omnissa Access에서 타사 IDP로 통합해야 합니다.

  이후에 Omnissa Identity Service를 클라우드 ID 제공자와 통합하면 Omnissa Identity Service가 Omnissa Access에서 구성 세부 정보를 자동으로 가져와 프로세스를 간소화합니다.

  참고: Omnissa Identity Service는 Omnissa Access에서 지원하는 단일 로그아웃 IdP 리디렉션 매개 변수 설정을 지원하지 않습니다.