Configurar a conexão do Active Directory no Omnissa Access

No console do Omnissa Access, crie um diretório, insira as informações necessárias para se conectar ao seu Active Directory e selecione os usuários e os grupos a serem sincronizados com o diretório do Omnissa Access. As opções de conexão do Active Directory são Active Directory sobre LDAP ou Active Directory sobre Autenticação Integrada do Windows. Uma conexão do Active Directory sobre LDAP é compatível com a pesquisa de Localização do Serviço DNS.

Pré-requisitos

• Instale o serviço de Sincronização de Diretório, que é um componente do conector Omnissa Access. Consulte a versão mais recente de Instalar o Omnissa Access Connector para obter informações.

  Se você quiser usar o serviço de Autenticação do Usuário para autenticar usuários do diretório, instale também o componente de serviço de Autenticação do Usuário.

• Selecione os atributos do usuário necessários e adicione atributos personalizados, se necessário, na página Configurações > Atributos do Usuário no console do Omnissa Access. Consulte Gerenciar atributos de usuário no Omnissa Access. Tenha em mente as seguintes considerações:

  • Se um atributo de usuário for necessário, seu valor deverá ser definido para todos os usuários que você deseja sincronizar. Os usuários que não têm um valor para o atributo não são sincronizados.
  • Os atributos se aplicam a todos os diretórios.
  • Depois que um ou mais diretórios são configurados no serviço do Omnissa Access, os atributos não podem mais ser marcados como obrigatórios.

• Faça uma lista dos usuários e grupos a serem sincronizados a partir de Active Directory. Os nomes de grupo são sincronizados com o diretório imediatamente. Os membros de um grupo não serão sincronizados até que o grupo tenha direito a recursos ou seja adicionado a uma regra de política. Os usuários que precisam se autenticar antes dos direitos do grupo serem configurados devem ser adicionados durante a configuração inicial.

• Se você estiver criando um diretório do tipo Active Directory sobre LDAP usando a opção Catálogo Global, deverá certificar-se de que nenhum outro diretório no locatário do Omnissa Access sincronize os usuários dos mesmos domínios que o diretório do Catálogo Global. O conflito pode causar falhas na sincronização.

• Para o Active Directory sobre LDAP, você precisa do DN de Base, do DN de usuário de associação e da senha.

  O usuário de Associação deve ter as seguintes permissões no Active Directory para conceder acesso a objetos de usuários e grupos:

  • Ler
  • Ler todas as propriedades
  • Permissões de leitura

  Nota: é recomendável usar uma conta de usuário de Associação com uma senha que não expire.

• Para o Active Directory sobre Autenticação Integrada do Windows, é necessário o nome de usuário e a senha do usuário de Associação que tem permissão para consultar usuários e grupos para os domínios necessários.

  O usuário de Associação deve ter as seguintes permissões no Active Directory para conceder acesso a objetos de usuários e grupos:

  • Ler

  • Ler todas as propriedades

  • Permissões de leitura

    Nota: é recomendável usar uma conta de usuário de Associação com uma senha que não expire.

• Se o seu Active Directory exigir acesso por SSL/TLS, os certificados da CA Intermediária (se usado) e Raiz dos controladores de domínio para todos os domínios relevantes do Active Directory serão necessários. Se os controladores de domínio tiverem certificados de várias Autoridades de Certificação Intermediárias e Raiz, todos os certificados de CA Intermediária e Raiz serão necessários.

  Nota: para diretórios do tipo Active Directory sobre Autenticação Integrada do Windows, a associação Kerberos de SASL é usada automaticamente para criptografia. Não é necessário um certificado.

• Para o Active Directory sobre Autenticação Integrada do Windows, quando você tiver várias florestas do Active Directory configuradas, e o grupo local de domínio contiver membros de domínios em florestas diferentes, certifique-se de que o usuário de associação seja adicionado ao grupo de administradores do domínio no qual reside o grupo local de domínio. Se isso não for feito, esses membros estarão ausentes do grupo local de domínio.

• Para o Active Directory sobre Autenticação Integrada do Windows:

  • Para todos os controladores de domínio listados nos registros SRV e nos RODCs ocultos, nslookup de nome do host e endereço IP deve funcionar.
  • Todos os controladores de domínio devem ser acessíveis em termos de conectividade de rede.

• Se o Omnissa Access Connector estiver em execução no modo FIPS, requisitos e pré-requisitos adicionais serão aplicados. Consulte Omnissa Access Connector e o Modo FIPS para a sua versão do conector.

Procedimento

1. No console do Omnissa Access, selecione Integrações > Diretórios.

2. No menu suspenso Adicionar Diretório, selecione Active Directory.

   

3. Na seção Informações do Diretório, insira as informações a seguir.

   Opção	Descrição
   Nome do diretório	Digite um nome para o diretório Omnissa Access. CUIDADO: para diretórios do Catálogo Global, o nome do diretório do Access aparece na lista suspensa Domínio na página de login, e os usuários o selecionam para fazer login. Você deve garantir que o nome do diretório seja exclusivo e não entre em conflito com nenhum nome de domínio atual ou futuro configurado no locatário (para qualquer tipo de diretório). Um conflito de nomes com um nome de domínio causará falhas de autenticação para usuários em todos os domínios. Para verificar os nomes de domínio existentes, navegue até os diretórios e selecione Configurações de Sincronização > Domínios. Se houver um conflito de nomes, use um nome diferente para o diretório do Catálogo Global. Para evitar conflitos de nomes futuros, selecione um nome de diretório que dificilmente será usado como um nome de domínio.
   Tipo	Selecione o tipo de diretório, Active Directory sobre LDAP ou Active Directory sobre Autenticação Integrada do Windows.

4. Se você tiver selecionado Active Directory sobre LDAP como o tipo de diretório, siga estas etapas para a seção Configurar Diretório. Caso contrário, prossiga para a próxima etapa.

   1. Na seção Sincronização e Autenticação do Diretório, faça as seleções a seguir.

      Hosts de Sincronização de Diretório	Selecione uma ou mais instâncias do serviço de Sincronização de Diretório a serem usadas para sincronizar este diretório. Todas as instâncias do serviço de Sincronização de Diretório que são registradas com o locatário são listadas. Você só pode selecionar instâncias que estejam no estado Ativo. Se você selecionar várias instâncias, o Omnissa Access usará a primeira instância selecionada na lista para sincronizar o diretório. Se a primeira instância estiver indisponível, ela usará a próxima instância selecionada e assim por diante. Você poderá reordenar a lista na página Configurações de Sincronização do diretório depois de criar o diretório.
      Autenticação	Selecione Configurar a autenticação de senha para este diretório se desejar autenticar usuários deste diretório com o serviço de Autenticação do Usuário. O serviço de Autenticação do Usuário já deve estar instalado. Se você selecionar essa opção, o método de autenticação de Senha (implantação em nuvem) e um provedor de identidade chamado IDP para directoryName do tipo Incorporado serão automaticamente criados para o diretório. Selecione Adicionar métodos de autenticação mais tarde se você não quiser autenticar usuários desse diretório com o serviço de Autenticação do Usuário. Se você decidir usar o serviço de Autenticação do Usuário mais tarde, poderá criar o método de autenticação de senha (implantação em nuvem) e o provedor de identidade para o diretório manualmente. Ao fazer isso, crie um novo provedor de identidade para o diretório selecionando Adicionar > IDP integrado na página Integrações > Provedores de Identidade. Não é recomendável usar o provedor de identidade pré-criado chamado Integrado.
      Hosts de Autenticação de Usuário	Essa opção aparece quando Autenticação está definida como Configurar a autenticação de senha para este diretório. Selecione uma ou mais instâncias do serviço de Autenticação do Usuário a serem usadas para autenticar os usuários desse diretório. Todas as instâncias do serviço de Autenticação do Usuário que são registradas com o locatário e que estão no estado Ativo são listadas. Se você selecionar várias instâncias, o Omnissa Access enviará solicitações de autenticação para as instâncias selecionadas em ordem circular.
      Nome de Usuário	Selecione o atributo da conta que contém o nome de usuário.
      ID Externa	O atributo que você deseja usar como o identificador exclusivo de usuários no diretório do Omnissa Access. O valor padrão é objectGUID. Você pode definir uma ID Externa para qualquer um dos seguintes atributos: Qualquer atributo de cadeia de caracteres, como sAMAccountName ou distinguishedName Os atributos binários objectSid, objectGUID ou mS-DS-ConsistencyGuid A configuração de ID Externa só se aplica aos usuários no Omnissa Access. Para grupos, a ID Externa é sempre definida como objectGUID e não pode ser alterada. Importante: todos os usuários devem ter um valor único e não vazio definido para o atributo. O valor deve ser único em todo o locatário do Omnissa Access. Se qualquer usuário não tiver um valor para o atributo, o diretório não será sincronizado. Importante: se você definir o ID externo como o atributo objectGUID do Active Directory ou mS-DS-ConsistencyGuid, todos os usuários deverão ter um valor não vazio com exatamente 16 bytes de comprimento. Além disso, certifique-se de especificar o nome do atributo do Active Directory correto, usando as maiúsculas e minúsculas corretas, na caixa de texto ID Externa. Se o nome não corresponder ao nome do atributo no Active Directory, um valor nulo será retornado e a sincronização de diretório falhará. Por exemplo, se você usar o atributo mS-DS-ConsistencyGuid no Active Directory e definir a ID Externa como ms-DS-ConsistencyGuid, a sincronização de diretório não será bem-sucedida. Tenha em mente as seguintes considerações ao definir a ID Externa: Se você estiver integrando o Omnissa Access com o Workspace ONE UEM, certifique-se de definir o ID externo para o mesmo atributo em ambos os produtos. Você pode alterar a ID Externa depois de criar o diretório. No entanto, as boas práticas são definir a ID Externa antes de sincronizar usuários com o Omnissa Access. Quando você altera a ID Externa, os usuários são recriados. Como resultado, todos os usuários serão desconectados e precisarão fazer login novamente. Você também precisará reconfigurar os direitos do usuário para aplicativos da Web e Omnissa ThinApp. Os direitos para Omnissa Horizon®, Omnissa Horizon® Cloud Service e Citrix serão excluídos e recriados na próxima sincronização de direitos. A opção ID Externa está disponível com as versões 20.10 e posteriores do Omnissa Access Connector. Todos os conectores associados ao serviço Omnissa Access devem ser da versão 20.10 ou posterior. Se diferentes versões do conector estiverem associadas ao serviço, a opção ID Externa não será exibida.

      2. Para configurar as opções Local do Servidor e Criptografia, selecione entre as opções a seguir.

         Se você quiser usar a pesquisa de Localização do Serviço DNS para o Active Directory	Com essa opção, o Omnissa Access encontra e usa controladores de domínio ideais. Se você não quiser usar a seleção do controlador de domínio otimizada, não selecione essa opção. Para Local do Servidor, marque a caixa de seleção Esse diretório suporta localização do serviço DNS. Se o Active Directory exigir acesso por SSL/TLS, marque a caixa de seleção Exigir STARTTLS para todas as conexões na seção Criptografia. Nota: se a opção Esse diretório suporta localização do serviço DNS estiver marcada, STARTTLS será usado para criptografia pela porta 389. Se a opção Esse diretório suporta localização do serviço DNS estiver desmarcada, LDAPS será usado para criptografia pela porta 636. Copie e cole os certificados da CA Raiz e Intermediária (se usada) dos controladores de domínio na caixa de texto Certificado(s) SSL. Insira o certificado da CA Intermediária primeiro e, em seguida, o certificado da CA Raiz. Verifique se cada certificado está no formato PEM e inclui as linhas BEGIN CERTIFICATE e END CERTIFICATE. Se os controladores de domínio tiverem certificados de várias Autoridades de Certificação Intermediária e Raiz, insira todas as cadeias de certificado de CA Intermediária-Raiz, uma após a outra. Por exemplo: -----BEGIN CERTIFICATE----- ... ... -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ... ... -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ... ... -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ... ... -----END CERTIFICATE----- Nota: se o seu Active Directory exigir acesso por SSL/TLS e você não fornecer os certificados, não poderá criar o diretório.
         Se você não quiser usar a pesquisa de Localização do Serviço DNS para o Active Directory	Na seção Local do Servidor, verifique se a caixa de seleção Esse diretório suporta localização do serviço DNS não está selecionada e digite o nome do host do servidor Active Directory e o número da porta nas caixas de texto Host do Servidor e Porta do Servidor. Para configurar o diretório como um catálogo global, consulte a seção Ambiente do Active Directory com vários domínios e uma única floresta em Integrar o Active Directory com o Omnissa Access. Se o Active Directory exigir acesso por SSL/TLS, marque a caixa de seleção Exigir LDAPS para todas as conexões na seção Criptografia. Nota: se a opção Esse diretório suporta localização do serviço DNS estiver marcada, STARTTLS será usado para criptografia pela porta 389. Se a opção Esse diretório suporta localização do serviço DNS estiver desmarcada, LDAPS será usado para criptografia pela porta 636. Copie e cole os certificados da CA Raiz e Intermediária (se usada) dos controladores de domínio na caixa de texto Certificado(s) SSL. Insira o certificado da CA Intermediária primeiro e, em seguida, o certificado da CA Raiz. Verifique se o certificado está no formato PEM e inclui as linhas BEGIN CERTIFICATE e END CERTIFICATE. Nota: se o seu Active Directory exigir acesso por SSL/TLS e você não fornecer o certificado, não poderá criar o diretório.
         Se você estiver integrando o diretório como um Catálogo Global	Na seção Local do Servidor, desmarque a caixa de seleção Esse diretório suporta localização do serviço DNS. Selecione a opção Este diretório tem um catálogo global. Na caixa de texto Host do Servidor, insira o nome do host do servidor do Active Directory. A Porta do Servidor está definida como 3268. Se você selecionar SSL/TLS na seção Criptografia, a porta será definida como 3269. Se o Active Directory exigir acesso por SSL/TLS, selecione a opção Exigir LDAPS para todas as conexões na seção Criptografia. Copie e cole os certificados da CA Raiz e Intermediária (se usada) dos controladores de domínio na caixa de texto Certificado(s) SSL. Insira o certificado da CA Intermediária primeiro e, em seguida, o certificado da CA Raiz. Verifique se o certificado está no formato PEM e inclui as linhas BEGIN CERTIFICATE e END CERTIFICATE.

         3. Na seção Detalhes do Usuário de Associação, insira as seguintes informações.

            DN Base	Insira o DN do qual se deseja iniciar as pesquisas de conta. Por exemplo, OU=myUnit,DC=myCorp,DC=com. Importante: o DN de Base será usado para autenticação. Somente os usuários sob o DN de Base poderão se autenticar. Certifique-se de que os DNs do grupo e os DNs do usuário que você especificar posteriormente para sincronização se encontram nesse DN Base. Nota: se você estiver adicionando o diretório como um Catálogo Global, o DN Base não será necessário, e a opção não será exibida.
            DN do Usuário de Associação	Insira a conta que pode procurar usuários. Por exemplo, CN=binduser,OU=myUnit,DC=myCorp,DC=com. Nota: é recomendável usar uma conta de usuário de Associação com uma senha que não expire.
            Senha do usuário de associação	A senha do usuário de associação.

      3. Se você tiver selecionado Active Directory sobre Autenticação Integrada do Windows como o tipo de diretório, siga estas etapas para a seção Configurar Diretório.

         1. Na seção Sincronização e Autenticação do Diretório, faça as seleções a seguir.

            Hosts de Sincronização de Diretório	Selecione uma ou mais instâncias do serviço de Sincronização de Diretório a serem usadas para sincronizar este diretório. Todas as instâncias do serviço de Sincronização de Diretório que são registradas com o locatário e que estão no estado Ativo são listadas. Se você selecionar várias instâncias, o Omnissa Access usará a primeira instância selecionada na lista para sincronizar o diretório. Se a primeira instância estiver indisponível, ela usará a próxima instância selecionada e assim por diante. Você poderá reordenar a lista na página Configurações de Sincronização do diretório depois de criar o diretório.
            Autenticação	Selecione Configurar a autenticação de senha para este diretório se desejar autenticar usuários deste diretório com o serviço de Autenticação do Usuário. O serviço de Autenticação do Usuário já deve estar instalado. Se você selecionar esta opção, o método de autenticação de Senha (implantação em nuvem) e um provedor de identidade chamado IDP para diretório do tipo Incorporado serão automaticamente criados para o diretório. Selecione Adicionar métodos de autenticação mais tarde se você não quiser autenticar usuários desse diretório com o serviço de Autenticação do Usuário. Se você decidir usar o serviço de Autenticação do Usuário mais tarde, poderá criar o método de autenticação de senha (implantação em nuvem) e o provedor de identidade para o diretório manualmente. Ao fazer isso, crie um novo provedor de identidade para o diretório selecionando Adicionar > IDP integrado na página Integrações > Provedores de Identidade. Não é recomendável usar o provedor de identidade pré-criado chamado Integrado.
            Hosts de Autenticação de Usuário	Essa opção aparece quando Autenticação está definida como Configurar a autenticação de senha para este diretório. Selecione uma ou mais instâncias do serviço de Autenticação do Usuário a serem usadas para autenticar os usuários desse diretório. Todas as instâncias do serviço de Autenticação do Usuário que são registradas com o locatário e que estão no estado Ativo são listadas. Se você selecionar várias instâncias, o Omnissa Access enviará solicitações de autenticação para as instâncias selecionadas em ordem circular.
            Nome de Usuário	Selecione o atributo da conta que contém o nome de usuário.
            ID Externa	O atributo que você deseja usar como o identificador exclusivo de usuários no diretório do Omnissa Access. O valor padrão é objectGUID. Você pode definir uma ID Externa para qualquer um dos seguintes atributos: Qualquer atributo de cadeia de caracteres, como sAMAccountName ou distinguishedName Os atributos binários objectSid, objectGUID ou mS-DS-ConsistencyGuid A configuração de ID Externa só se aplica aos usuários no Omnissa Access. Para grupos, a ID Externa é sempre definida como objectGUID e não pode ser alterada. Importante: todos os usuários devem ter um valor exclusivo definido para o atributo. O valor deve ser único em todo o locatário do Omnissa Access. Importante: se você definir o ID externo como o atributo objectGUID do Active Directory ou mS-DS-ConsistencyGuid, todos os usuários deverão ter um valor não vazio com exatamente 16 bytes de comprimento. Além disso, certifique-se de especificar o nome do atributo do Active Directory correto, usando as maiúsculas e minúsculas corretas, na caixa de texto ID Externa. Se o nome não corresponder ao nome do atributo no Active Directory, um valor nulo será retornado e a sincronização de diretório falhará. Por exemplo, se você usar o atributo mS-DS-ConsistencyGuid no Active Directory e definir External ID como ms-DS-ConsistencyGuid, a sincronização de diretório não será bem-sucedida. Tenha em mente as seguintes considerações ao definir a ID Externa: Se você estiver integrando o Omnissa Access com o Workspace ONE UEM, certifique-se de definir o ID externo para o mesmo atributo em ambos os produtos. Você pode alterar a ID Externa depois de criar o diretório. No entanto, as boas práticas são definir a ID Externa antes de sincronizar usuários com o Omnissa Access. Quando você altera a ID Externa, os usuários são recriados. Como resultado, todos os usuários serão desconectados e precisarão fazer login novamente. Você também precisará reconfigurar os direitos de usuário para os aplicativos Web e ThinApps. Os direitos do Horizon, do Horizon Cloud e da Citrix serão excluídos e, em seguida, recriados na sincronização de direitos seguintes. A opção ID Externa está disponível com as versões 20.10 e posteriores do Omnissa Access Connector. Todos os conectores associados ao serviço Omnissa Access devem ser da versão 20.10 ou posterior. Se diferentes versões do conector estiverem associadas ao serviço, a opção ID Externa não será exibida.

            2. Nenhuma ação é necessária para a opção Criptografia. Os diretórios do tipo Active Directory sobre Autenticação Integrada do Windows usam vinculação de Kerberos SASL automaticamente e não exigem que você selecione LDAPS ou STARTTLS.

            3. Na seção Detalhes do Usuário de Associação, insira o nome de usuário e a senha do usuário de associação que tem permissão para consultar usuários e grupos para os domínios necessários. Insira o nome de usuário como sAMAccountName@domain, onde domínio é o nome de domínio totalmente qualificado. Por exemplo, jdoe@example.com.

               Nota: é recomendável usar uma conta de usuário de Associação com uma senha que não expire.

         2. Clique em Salvar.

         3. Na seção Selecionar Domínio(s), selecione os domínios e clique em Salvar.

            • Para um diretório do tipo Active Directory sobre LDAP, os domínios são listados. Selecione os domínios a serem associados ao diretório do Omnissa Access.

            • Para um diretório do tipo Active Directory sobre Autenticação Integrada do Windows, selecione os domínios a serem associados ao diretório do Omnissa Access. Todos os domínios com uma relação de confiança bidirecional com o domínio base são listados.

              Se os domínios com uma relação de confiança bidirecional com o domínio base forem adicionados ao Active Directory após a criação do diretório do Omnissa Access, você poderá adicioná-los por meio da guia Configurações de Sincronização > Domínios do diretório.

              Dica: escolha domínios confiáveis, um por um, em vez de selecionar todos os domínios de uma só vez. Essa abordagem garante que o salvamento de domínio não seja uma operação de longa execução que possa expirar. Escolher domínios sequencialmente garante que o serviço de Sincronização de Diretório gasta tempo tentando resolver apenas um único domínio.

            • Se você estiver criando um diretório do Active Directory sobre LDAP com a opção Catálogo Global selecionada, a seção Selecionar Domínio(s) não será exibida.

         4. Na seção Mapear Atributos de Usuário, mapeie os atributos de diretório do Omnissa Access para os atributos do Active Directory e clique em Salvar.

            Você pode adicionar atributos e gerenciar a lista de atributos necessários na página Configurações > Atributos de Usuário.

            Importante: se um atributo for marcado como obrigatório, seu valor deverá ser definido para todos os usuários que você deseja sincronizar. Os registros de usuário que não tiverem valores para atributos necessários não serão sincronizados.

         5. Na seção grupos Sincronizar grupos, adicione os grupos que você deseja sincronizar. Consulte Selecionar usuários e grupos para sincronizar com o diretório do Omnissa Access para obter informações.

         6. Na seção Sincronizar usuários, adicione os usuários que você deseja sincronizar. Consulte Selecionar usuários e grupos para sincronizar com o diretório do Omnissa Access para obter informações.

         7. Na seção Frequência de Sincronização, configure uma agenda de sincronização para sincronizar usuários e grupos em intervalos regulares ou selecione Manualmente no menu suspenso Frequência de Sincronização se você não quiser definir uma agenda.

            A hora é definida no UTC.

            Dica: agende os intervalos de sincronização para serem maiores do que o tempo necessário para sincronizar o diretório. Se usuários e grupos estiverem sendo sincronizados com o diretório quando a próxima sincronização for agendada, a nova sincronização será iniciada imediatamente após o término da sincronização anterior.

            Se você selecionar Manualmente, deverá selecionar Sincronizar > Sincronizar com proteções ou Sincronizar > Sincronizar sem proteções na página do diretório sempre que quiser sincronizar o diretório.

         8. Clique em Salvar para criar o diretório ou Salvar e Sincronizar para criar o diretório e começar a sincronizá-lo.

         Resultados

         A conexão com o Active Directory é estabelecida. Se você tiver clicado em Salvar e Sincronizar, os nomes dos usuários e grupos serão sincronizados do Active Directory com o diretório do Omnissa Access.

         Para obter mais informações sobre como os grupos são sincronizados, consulte "Gerenciar usuários e grupos" na Administração do Omnissa Access.

         Próximo passo

         • Se você definir a opção Autenticação como Configurar a autenticação de senha para este diretório, um provedor de identidade chamado IDP para directoryname e um método de autenticação de Senha (implantação em nuvem) serão automaticamente criados para o diretório. Você pode exibi-los nas páginas Integrações > Provedores de Identidade e Integrações > Métodos de Autenticação. Você também pode criar mais métodos de autenticação para o diretório nas páginas Métodos de Autenticação do Conector e Métodos de Autenticação. Para obter informações sobre como criar métodos de autenticação, consulte Gerenciar métodos de autenticação de usuário no Omnissa Access.

         • Examine a política de acesso padrão na página Recursos > Políticas.

         • Revise as configurações de proteção de sincronização padrão e faça as alterações, se necessário. Consulte Configurar proteções de Sincronização de Diretório no Omnissa Access para obter informações.