使用移轉儀表板移轉至 Omnissa Access Connector 22.09

使用移轉儀表板，將現有目錄和虛擬應用程式集合從 Omnissa Access 19.03 或 19.03.0.1 Connector 移轉至 22.09 Connector。移轉程序是一種分階段方法，可讓您在完成移轉之前先使用新的連接器測試環境。

移轉階段

移轉程序包含下列階段：

• 安裝 22.09 Connector

  安裝新的 22.09 Connector，其中包含目錄同步、使用者驗證、Kerberos 驗證和虛擬應用程式服務。請至少安裝目錄同步服務。如果在舊版連接器上設定了連接器型驗證，請安裝使用者驗證服務。如果在舊版連接器上設定了 Kerberos 驗證方法，請安裝 Kerberos 驗證服務。如果在舊版連接器上設定了虛擬應用程式集合，請安裝虛擬應用程式服務。

• 移轉目錄

  在此階段中，您可以使用 [移轉目錄] 精靈來移轉所有目錄資料。多數必要資訊會從您的環境預先填入，但您需要輸入一些機密值，例如目錄繫結使用者密碼。

  在此階段中移轉目錄並不會變更任何現有的目錄、驗證方法或身分識別提供者組態。您仍在使用舊的連接器。只有在進入預覽階段後，這些變更才會生效。

• 移轉虛擬應用程式集合

  在此階段，您選取要將現有虛擬應用程式集合移轉至的連接器。只有在進入預覽階段後，新的設定才會生效。

• 預覽

  在預覽階段中，您可以使用新的 22.09 Connector 預覽您的環境。22.09 Connector 中的新目錄同步、使用者驗證、Kerberos 驗證和虛擬應用程式服務會執行目錄同步、使用者驗證和虛擬應用程式同步。Kerberos 以外的所有驗證方法均處於輸出模式。

  預覽階段旨在讓您使用新服務徹底測試環境。請確認目錄同步、虛擬應用程式同步、使用者驗證和應用程式啟動皆如預期運作。

  在預覽階段，您無法建立、編輯或刪除目錄、驗證方法、身分識別提供者或虛擬應用程式集合。

  從預覽階段，您可以復原為使用舊的連接器。復原後，您在先前階段中所移轉的目錄資料仍會保留。如果您稍後對任何現有的目錄、驗證方法或身分識別提供者進行了任何變更，請務必再次移轉目錄資料。

• 完成移轉

  當您滿意對新環境進行的測試後，請完成移轉。完成移轉後，無法復原為使用舊的連接器。

先決條件

• 請檢閱移轉至 Omnissa Access Connector 22.09 的需求中列出的需求。

• 確認您環境中的所有連接器皆為 19.03.x 版。只要有連接器是舊版本，請先將它們升級至 19.03.x，再開始移轉。

• 準備適用於 22.09 Connector 的一或多個 Windows Server。

  如需詳細資訊，請參閱移轉至 Omnissa Access Connector 22.09 的需求。

• 如果您使用的是內部部署 Omnissa Access 虛擬應用裝置，請先將其升級至 22.09，再移轉連接器。

• 如果您要安裝使用者驗證服務，請確認您的環境中不包含任何 22.05、21.x 或 20.x 版本的使用者驗證服務執行個體。在移轉過程中，您將安裝 22.09 Connector。您的環境中的所有使用者驗證服務執行個體都必須是 22.09 版。如果使用者驗證服務混用不同版本，則無法進行移轉。

• 如果在 19.03.x Connector 上設定了 RSA SecurID 驗證方法：

  • 請確認您使用的是 RSA 驗證管理員應用裝置 8.2 版 SP1 或更新版本。Omnissa Access Connector 22.09 支援 RSA 驗證管理員應用裝置 8.2 SP1 及更新版本。
  • 如果您已部署多個 RSA 驗證管理員伺服器執行個體，則必須在其前方設定負載平衡器，整合 Omnissa Access 的功能才能正常運作。請確認您符合*《在 Omnissa Access 中管理使用者驗證方法》*指南中 Omnissa Access 對 RSA SecurID 負載平衡器的需求所列的需求。
  • 在 RSA 安全性主控台中，確認已使用完整網域名稱 (FQDN) (例如 connectorserver.example.com) 將連接器新增為驗證代理程式。如果您已使用 NetBIOS 名稱 (而非 FQDN) 將連接器新增為驗證代理程式，請使用 FQDN 來新增其他項目。將新輸入的 IP 位址欄位保留空白。請勿刪除舊的項目。
  • 在移轉程序過程中，您可以設定 RSA SecurID 驗證方法。設定驗證方法所需的資訊包括：RSA 驗證管理員或負載平衡器伺服器主機名稱、通訊連接埠、存取金鑰以及 RSA 驗證管理員或負載平衡器伺服器 SSL 憑證 (如果伺服器使用自我簽署憑證)。由於您從 RSA 安全性主控台中取得某些資訊，因此，您還需要具有安全性主控台認證。
  • 如果 Proxy 伺服器設有連接器，則必須在 Proxy 伺服器上開啟為 RSA 驗證管理員伺服器設定的通訊連接埠。

• 如果您要在新的 Windows Server 上安裝使用者驗證服務，請先將 Windows Server 新增為 RSA 驗證管理員伺服器中的代理程式，再開始進行連接器移轉。

• (僅限 Omnissa Access 內部部署安裝) 如果有任何 IDP 與多個目錄建立關聯，請修改組態，讓每個 IDP 僅與一個目錄建立關聯。

• 移轉目錄之前，請啟用新增群組時同步群組成員至目錄選項，並確認使用者、群組和群組成員資格已正確同步。

  1. 在 Omnissa Access Console 中，選取設定 > 登入喜好設定。

  2. 按一下編輯、選取新增群組時同步群組成員至目錄核取方塊，然後按一下儲存。

  3. 移至目錄的同步設定索引標籤，展開群組區段，然後按一下儲存。然後，展開使用者區段，然後按一下儲存。

     **重要：**必須執行此步驟，才能讓 [登入喜好設定] 頁面的變更生效。

  4. 請等待數次目錄同步執行成功完成，並確認正確的使用者、群組及群組成員資格已同步至 Omnissa Access。

• 開始移轉程序前，請確定未對任何目錄執行目錄同步程序。

• 如果您已啟用 People Search 功能，在開始移轉程序之前，請確定未對任何目錄執行照片同步程序。

• 如果您要移轉沒有相關聯目錄的 19.03.x Connector，請留意，當您在步驟 5 中選取最新的 Workspace ONE Access Connector 選項時，系統會將移轉視為完成，並從租用戶中刪除 19.03.x Connector。如果您之後決定使用舊版連接器，並使用重設連接器選取項目按鈕來變更選取的連接器，將不會顯示 19.03.x Connector。您必須重新安裝 19.03.x Connector，以透過服務將其重新啟動。

程序

1. 在 Omnissa Access Console 中，選取整合 > 連接器 (舊版)，以移至 [舊版連接器] 頁面。

2. 在 [舊版連接器] 頁面上，按一下重設連接器選取項目按鈕，並在確認快顯視窗中按一下繼續。

   

   

3. 在 [連接器使用量確認] 對話方塊中，選取最新的 Workspace ONE Access Connector，按一下確定，然後確認您的選取。

   

4. 選取整合 > 目錄，以移至 [目錄] 頁面。

   此時會顯示 [目錄和虛擬應用程式移轉] 頁面。

   

5. 按一下開始移轉。

   將顯示 [移轉儀表板]。該儀表板會顯示完成移轉所需的各種步驟。檢閱頁面上的資訊。

6. 在 [移轉] 儀表板的安裝最新的 Workspace ONE Access Connector 區段中，按一下開始使用。

   

   此時會顯示 [連接器] 頁面。

7. 在 [連接器] 頁面中，按一下新增。

   

8. 依照 [新增連接器] 精靈的指示，下載連接器安裝程式和必要的組態檔，然後安裝新的連接器。

   

   如需安裝資訊，請參閱《安裝 Omnissa Access Connector 22.09》指南。

   安裝連接器時，請確定安裝目錄同步服務。如果在舊版連接器上設定了連接器型驗證，請安裝使用者驗證服務。只有在任何舊版連接器上設定了 Kerberos 驗證方法時，才需要 Kerberos 驗證服務。如果在舊版連接器上設定了虛擬應用程式集合，或者您打算在新連接器上設定它們，請安裝虛擬應用程式服務。

   注意：

   • 當您在 Omnissa Access Console 中為連接器產生組態檔時，請確認您建立的密碼符合相關規則。

     密碼必須至少有 14 個字元，且至少包含一個數字、一個大寫字元和一個特殊字元。只允許使用以下特殊字元：

     @ ! , # $ { } ( ) _ + . < > ? *

     所有字元都必須為可顯示且可列印的 ASCII 字元。

   • 在安裝期間，安裝程式的 [指定組態檔] 頁面上會顯示用來啟用 FIPS 模式的選項。請勿選取啟用 FIPS 選項。從舊版連接器移轉到 22.09 Connector 時，不支援 FIPS 模式。

   • 在安裝程序結束時，您可能會收到重新啟動系統的提示。如果您在 19.03.x 連接器伺服器上安裝新的連接器，請勿重新啟動系統。只有在整個連接器移轉程序完成後，才能重新啟動系統。

   • 如果您要安裝使用者驗證服務，請確認您的環境中的所有使用者驗證服務執行個體皆為 22.09 版，且不存在任何 22.05、21.x 或 20.x 版本的使用者驗證服務執行個體。如果您具有混合版本的使用者驗證服務，則無法進行移轉。

9. 當連接器安裝成功完成後，請移至管理主控台中的整合 > 目錄頁面，然後按一下繼續移轉。

10. 在 [移轉] 儀表板的移轉目錄區段中，逐一移轉所有目錄。

    

    [移轉目錄] 區段會列出租用戶中的所有 Active Directory 和 LDAP 目錄。您必須先移轉列出的所有目錄，才能完成移轉。

    **附註：**在此步驟中移轉目錄，不會變更任何現有的目錄、驗證方法或身分識別提供者組態，且只有在您於下一個步驟中預覽變更後，這些變更才會生效。

    1. 按一下目錄旁邊的移轉按鈕。

       [移轉目錄] 精靈隨即顯示。此精靈已根據您要移轉的目錄加以自訂。會針對目錄中設定的驗證方法顯示其他頁面。

    2. 在 [目錄] 頁面上，輸入目錄的繫結使用者密碼。

       目錄同步主機清單會顯示已安裝目錄同步服務的新 22.09 Connector 主機。選取一或多台主機，以用來同步目錄。

       

    3. (僅在設定 Kerberos 驗證方法時顯示) 在 [Kerberos] 頁面上，指定移轉 Kerberos 驗證方法所需的資訊。

       • 來源連接器：已預先選取來源連接器。如果預先選取的連接器無法使用，您可以選取其他連接器。
       • Kerberos 驗證主機：此清單會顯示已安裝 Kerberos 驗證服務的新 22.09 Connector 主機。選取要用於 Kerberos 驗證的一或多台主機。

    4. 在 [密碼] 頁面上，指定移轉密碼驗證方法所需的資訊。

       • 來源連接器：已預先選取來源連接器。如果預先選取的連接器無法使用，您可以選取其他連接器。
       • 繫結密碼：輸入目錄的繫結使用者密碼。
       • 使用者驗證主機：此清單會顯示已安裝使用者驗證服務的新 22.09 Connector 主機。選取要用於密碼驗證的一或多台主機。

    5. (僅在設定 RADIUS 驗證方法時顯示) 在 [RADIUS] 頁面上，指定移轉 RADIUS 驗證方法所需的資訊。

       • 來源連接器：已預先選取來源連接器。如果預先選取的連接器無法使用，您可以選取其他連接器。
       • 共用密碼：RADIUS 伺服器的共用密碼。
       • 使用者驗證主機：此清單會顯示已安裝使用者驗證服務的新 22.09 Connector 主機。選取要用於 RADIUS 驗證的一或多台主機。

    6. (僅在設定 RSA SecurID 驗證方法時才會顯示) 在 [SecurId] 頁面上，指定移轉 RSA SecurID 驗證方法所需的資訊。

       • 來源連接器：已預先選取來源連接器。如果預先選取的連接器無法使用，您可以選取其他連接器。

       • **允許的驗證嘗試次數：**輸入使用 RSA SecurID Token 時的失敗登入嘗試次數上限。預設為五次嘗試。

         附註：如果您要移轉多個使用 RSA SecurID 驗證的目錄，請為每個 RSA SecurID 組態將允許的驗證嘗試次數設定為相同的值。如果值不同，SecurID 驗證將會失敗。

       • **SecurID 伺服器主機名稱：**輸入 RSA 驗證管理員伺服器主機名稱，例如 myserver.example.com。如果您在負載平衡器後方設定了多個 RSA 驗證管理員伺服器執行個體，請改以輸入負載平衡器的主機名稱。例如：lb.example.com。

       • SecurID 伺服器通訊連接埠：輸入 RSA 驗證管理員執行個體的通訊連接埠。預設連接埠為 5555。若要取得通訊連接埠號碼，請登入 RSA 安全性主控台，導覽至設定 > 系統設定 > RSA SecurID 驗證 API 頁面，然後複製通訊連接埠。

       • SecurID 伺服器存取金鑰：輸入 RSA 驗證管理員執行個體中的存取金鑰。若要取得存取金鑰，請在 RSA 安全性主控台中，導覽至設定 > 系統設定 > RSA SecurID 驗證 API 頁面，然後複製代理程式認證下所列出的存取金鑰。

       • **SecurID 伺服器 CA/SSL 憑證：**如果 RSA 驗證管理員伺服器或負載平衡器伺服器具有自我簽署憑證，請將該憑證複製並貼到文字方塊中。如果伺服器具有公開憑證授權機構簽發的憑證，則不需要上傳憑證。

       • **驗證方法逾時 (以秒為單位)：**輸入驗證嘗試所能使用的秒數。過了該時間後，驗證嘗試就算逾時。預設值為 180 秒。

       • 使用者驗證主機：此清單會顯示已安裝使用者驗證服務的新 22.09 Connector 主機。選取要用於 RSA SecurID 驗證的一或多台主機。

    7. (僅在設定 Kerberos 驗證時才會顯示) 在 [身分識別提供者] 頁面上，輸入連接器負載平衡器的 FQDN，以用於將在移轉期間為 Kerberos 驗證建立的新身分識別提供者。

       目前的負載平衡器 FQDN 隨即顯示以供參考。這是目錄之身分識別提供者頁面中的目前 IdP 主機名稱值。

       如果您只有一個 22.09 Connector，且未設定負載平衡器，請輸入連接器的 FQDN。

       

    8. 在 [摘要] 頁面中確認您的選取項目，然後按一下儲存。

       目錄移轉資料即會儲存。您可以按一下 [目錄移轉] 儀表板中目錄旁的檢閱按鈕，以檢視設定。

       如果您想要對輸入的資訊進行任何變更，請按一下 [摘要] 頁面中的重新開始。如此會捨棄您已輸入的目錄移轉資料，並讓您再次移轉目錄。

       

    9. 移轉其餘的目錄。

11. 在移轉虛擬應用程式集合區段中，選取要將虛擬應用程式集合移轉至的連接器。

    1. 按一下移轉。

       

    2. 在 [移轉虛擬應用程式集合] 視窗中，選取要用於每個虛擬應用程式集合的 22.09 Connector。下拉式功能表會顯示安裝了虛擬應用程式服務的所有連接器。選取一個連接器，且其虛擬應用程式服務處於作用中狀態。狀態顯示於連接器名稱旁邊。您可以新增多個連接器，以實現高可用性。如果您新增多個連接器，請依容錯移轉順序來排列。

       **附註：**您必須同時移轉所有虛擬應用程式集合。您不能選取特定的集合來進行移轉。

    3. 按一下儲存。

    例如：

    

    一旦進入預覽階段，將會移轉虛擬應用程式集合。

    **附註：**完成移轉後，您可以新增更多連接器。您也可以變更為虛擬應用程式集合所選取的連接器。

12. 在完成移轉區段中，按一下開始預覽以開始移轉程序。

    

    在預覽階段中，會使用新的 22.09 Connector。目錄同步由新的目錄同步服務執行；使用者驗證由新的使用者驗證服務執行；Kerberos 驗證由新的 Kerberos 驗證服務執行；虛擬應用程式同步由新的虛擬應用程式服務執行。在預覽階段，對於目錄、驗證方法、身分識別提供者或虛擬應用程式集合，您無法進行任何變更或另外新建。您可以在整合 > 身分識別提供者頁面中檢視已轉換的身分識別提供者，並在整合 > 連接器驗證方法頁面中檢視已轉換的驗證方法。Kerberos 以外的所有驗證方法均處於輸出模式。

    在預覽階段中，請遵循下列準則：

    • 對於每個目錄，您必須在預覽階段中執行第一個目錄同步，而不使用保護措施進行同步。在目錄頁面中，選取同步 > 不使用保護措施進行同步。

      請記住，進行第一次同步時會耗時較久，因為所有使用者和群組都會進行更新。

      目錄同步成功完成後，請確認已同步正確的使用者、群組和群組成員資格，然後再繼續執行其餘的移轉程序。

    • 如果您的部署中已啟用 People Search，您必須手動同步目錄，而不使用保護措施設定。若要在不使用保護措施的情況下同步目錄，請在目錄頁面中選取同步 > 不使用保護措施進行同步。 **重要：**請在預覽階段徹底測試您的環境，並確認其運作符合預期。請確認目錄同步、虛擬應用程式同步、使用者登入和應用程式啟動皆正常運作。

13. 如果您判定您的環境無法正常運作，或您想要對目錄、驗證方法、身分識別提供者或虛擬應用程式集合進行任何變更，請取消預覽階段，並返回使用舊的連接器。

    移至 [整合] > [目錄] 頁面，按一下繼續移轉，然後在 [目錄移轉] 儀表板的完成移轉區段中，按一下中止。

    如果您隨後對目錄、驗證方法或身分識別提供者進行任何變更，請務必在移轉目錄區段中再次移轉目錄。

14. 當您在預覽階段確認環境如預期運作，且您準備好要完成移轉後，請前往 [整合] > [目錄] 頁面，並按一下繼續移轉，以返回 [目錄移轉] 儀表板。

    **注意：**完成移轉後，您將無法復原為使用舊版連接器。

    按一下完成以完成移轉。

結果

所有目錄和虛擬應用程式集合將移轉至新的 22.09 Connector。現在，會由新的目錄同步、使用者驗證、Kerberos 驗證和虛擬應用程式服務執行目錄同步、使用者驗證和虛擬應用程式同步。

系統會為每個目錄建立新的身分識別提供者，並以名稱 Migrated IDP for directory 顯示於身分識別提供者頁面中。新的身分識別提供者類型為 [內建]。對於 Kerberos 驗證，則會建立 Workspace_IDP 類型的單獨身分識別提供者。

除 Kerberos 以外的所有驗證方法都會轉換為輸出驗證方法，並重新命名為附加 (cloud deployment) 尾碼的名稱。例如，Password 驗證方法會重新命名為 Password (cloud deployment)。您可以從連接器驗證方法頁面中，檢視和管理新的驗證方法。

後續步驟

• 移轉完成後，您可以將舊的 19.03.x Connector 從安裝所在的伺服器解除安裝。

  如果您已移轉 ThinApp 虛擬應用程式集合，則可以解除安裝 Linux 連接器。

• 移轉完成後，您便不再需要使用 Integration Broker 來進行 Citrix 整合。必要功能現在是虛擬應用程式服務的一部分。

• 對於 Horizon 和 Horizon Cloud 整合，請確定 Horizon Connection Server 或 Horizon Cloud 租用戶的基礎 Horizon Server 具有由受信任憑證授權機構 (CA) 所簽署的有效憑證。如果 Horizon Server 使用自我簽署憑證，您必須將憑證鏈結上傳至安裝了虛擬應用程式服務的 Omnissa Access Connector 執行個體，以建立連接器與 Horizon Server 之間的信任關係。這是從 Omnissa Access Connector 21.08 開始的新需求。您可以使用連接器安裝程式來上傳憑證。如需詳細資訊，請參閱《安裝 Omnissa Access Connector 22.09》。請確定在上傳憑證後重新啟動連接器服務。