Entra ID가 ID 제공자인 경우 중첩된 그룹 마이그레이션

Active Directory에서 Workspace ONE UEM으로 그룹을 동기화할 때, 해당 그룹의 모든 사용자와 그 아래 중첩된 그룹에 속하는 사용자 모두가 동기화됩니다. Workspace ONE UEM에서는 그룹이 평면화되고 모든 사용자가 동기화된 최상위 그룹의 일부가 됩니다. 중첩된 그룹은 명시적으로 동기화되지 않는 한 Workspace ONE UEM에 나타나지 않습니다.

그룹은 Microsoft Entra ID에서 동일한 방식으로 동기화되지 않습니다. Microsoft Entra ID는 중첩된 그룹의 프로비저닝을 지원하지 않으므로 프로비저닝 애플리케이션에 그룹을 할당하기만 하면 해당 계층의 모든 수준에서 온 사용자가 Omnissa Identity Service 및 Workspace ONE UEM에 프로비저닝될 것으로 예상할 수 없습니다.

Active Directory 중첩된 그룹의 마이그레이션을 지원하기 위해 Omnissa Identity Service는 Entra ID의 동적 그룹을 사용하는 솔루션을 제공합니다. Active Directory에 중첩된 그룹이 있는 경우 모든 그룹의 사용자 멤버를 Omnissa Identity Service 디렉토리로 가져오려면 마이그레이션을 위한 사전 요구 사항으로 이 절차를 따라야 합니다.

참고: 이 항목의 사용자에 대한 참조는 개별적으로 동기화된 사용자가 아니라 그룹의 멤버인 사용자를 의미합니다.

프로세스 개요

1. 현재 Active Directory에서 Workspace ONE UEM으로 동기화되고 있는 모든 사용자와 그룹이 Active Directory에서 Entra ID로 동기화되었는지 확인합니다.

2. Active Directory에서 Workspace ONE UEM으로 직접 동기화된 모든 그룹 목록을 만들고 해당 그룹의 모든 상위 그룹을 식별합니다. 상위 그룹은 다른 그룹이 포함된 그룹으로 정의됩니다.

3. Workspace ONE UEM에 직접 동기화되는 모든 상위 그룹에 대해 Entra ID에 해당하는 동적 그룹을 생성합니다.

   • 그룹 설명에 distinguishedName 특성을 사용하여 동적 그룹을 해당 Active Directory 그룹에 매핑합니다.
   • 동적 그룹에 해당 Active Directory 그룹에 속하는 사용자와 그 아래의 모든 중첩된 그룹(모든 수준)이 포함되도록 동적 규칙을 설정합니다. 중첩된 그룹은 상위 그룹이 있는 그룹으로 정의됩니다.

4. 프로비저닝 애플리케이션에 동적 그룹을 할당합니다.
   중요: 동적 그룹만 할당합니다. 해당 Active Directory 그룹은 할당하지 마십시오. 두 그룹을 모두 할당해서는 안 됩니다.

5. Workspace ONE UEM에 직접 동기화되고 직접 사용자 멤버 자격만 있고 중첩된 그룹이 없는 나머지 보안 그룹을 프로비저닝 애플리케이션에 할당합니다.

예

이 예에서 그룹 A는 Active Directory에서 Workspace ONE UEM으로 직접 동기화되며 해당 사용자뿐만 아니라 그 아래의 모든 중첩된 그룹의 사용자는 기본적으로 Workspace ONE UEM에 동기화됩니다. Entra ID에서 프로세스를 복제하려면 그룹 A에 해당하는 동적 그룹을 생성하고 그룹 A 계층의 모든 사용자를 포함하도록 동적 규칙을 설정합니다.

사전 요구 사항

• Entra ID에 관리자 역할이 있습니다.
• 현재 Active Directory에서 Workspace ONE UEM으로 동기화되고 있는 모든 사용자와 그룹이 Active Directory에서 Entra ID로 동기화되었는지 확인합니다.
• Workspace ONE UEM으로 직접 동기화된 모든 그룹 목록을 만들고 해당 목록의 모든 상위 그룹을 식별합니다. 각 상위 그룹의 distinguishedName도 기록해 둡습니다.

절차

1. Microsoft Entra 관리 센터에 관리자로 로그인합니다.

2. 그룹 > 모든 그룹 페이지로 이동합니다.

3. 새 그룹을 클릭하여 Workspace ONE UEM에 직접 동기화되는 상위 그룹 중 하나에 해당하는 동적 그룹을 생성합니다.

4. 새 그룹에 대해 다음 정보를 입력합니다.

   • 그룹 유형: 보안을 선택합니다.

   • 그룹 이름: 그룹의 이름을 입력합니다.

   • 그룹 설명: 동적 그룹을 해당 Active Directory 그룹에 매핑하려면 다음 정보를 입력합니다.

   <urn:ietf:params:scim:schemas:extension:ws1b:2.0:Group:distinguishedName:ADgroupDN> additionalDescription
   

   여기서 ADgroupDN은 해당 Active Directory 그룹의 distinguishedName이고 additionalDescription은 그룹의 설명입니다.

   예:

   <urn:ietf:params:scim:schemas:extension:ws1b:2.0:Group:distinguishedName:CN=ACME-Users,CN=Users,DC=acm,DC=admin,DC=dc,DC=acmecorp,DC=com> This group contains all the admin users.
   

   

   • 멤버 자격 유형: 동적 사용자를 선택한 다음 동적 쿼리 추가 링크를 클릭하여 동적 그룹 규칙을 지정합니다.

   1. 동적 멤버 자격 규칙 페이지에서 규칙 구문 상자 옆에 있는 편집을 클릭합니다.

   2. 규칙 구문 편집 페이지의 규칙 구문 상자에 다음 규칙을 입력합니다.

      user.memberOf -any (group.objectId -in ["group1id", "group2id", "group3id"])
      

      여기서 group1id, group2id 및 group3id는 해당 Active Directory 그룹의 개체 ID이며 그 아래에 있는 모든 중첩된 그룹(모든 수준)입니다.

      예:

      user.memberOf -any (group.objectId -in ["f7f04c4f-fca4-b956-83a5f2d3cc", "bf3307bc-d232-4f82-c5e15294b1", "00a1ff94-2036-4d4a-ccb661195d"])
      

      그룹의 개체 ID는 Entra ID 관리 센터의 그룹 개요 페이지에서 찾을 수 있습니다.

      주의: 동적 그룹에 그룹 ID만 추가합니다. 사용자 ID를 추가하지 마십시오.

      

   3. 확인을 클릭한 다음 저장을 클릭합니다.

5. 생성을 클릭하여 그룹을 생성합니다.

   참고: 동적 규칙이 처리되고 사용자가 그룹에 추가될 때까지 기다립니다. 이 프로세스는 특히 대규모 그룹의 경우 다소 시간이 걸릴 수 있습니다.

6. 동적 그룹의 사용자가 Workspace ONE UEM 그룹의 사용자와 일치하는지 확인합니다.

   1. Entra ID 관리 센터에서 동적 그룹을 선택한 다음 왼쪽 창에서 멤버를 선택합니다.

   2. 사용자가 Workspace ONE UEM 사용자와 일치하는지 확인합니다.

7. 사용자와 그룹을 Omnissa Identity Service에 프로비저닝하기 위해 생성한 프로비저닝 애플리케이션에 동적 그룹을 할당합니다.

   자세한 내용은 Omnissa Identity Service로 사용자 프로비저닝을 참조하십시오.

   중요: 애플리케이션에 동적 그룹만 할당합니다. 해당 Active Directory 그룹을 할당하지 마십시오.

8. 위 단계를 반복하여 Workspace ONE UEM에 직접 동기화되는 각 상위 그룹에 대해 동적 그룹을 생성하고 할당합니다.

9. Workspace ONE UEM에 직접 동기화되고 직접 멤버 자격만 있고 중첩 그룹이 없는 나머지 보안 그룹을 프로비저닝 애플리케이션에 할당합니다.