Globale LDAP-Katalognutzung

  • Freigeben Version: Yokohama
  • Aktualisiert 30. Januar 2025
  • 2 Minuten Lesedauer

    • Einem DC kann die Rolle „Globaler Katalog“ (GC) gewährt werden. Die Rolle „Globaler Katalog“ (GC) ist ein LDAP-konformes Verzeichnis, das aus einer Teildarstellung jedes Objekts aus jeder Domäne in einer Gesamtstruktur besteht.

    Administratoren konfigurieren Active Directory für das Hosten von LDAP-Verzeichnisinformationen (Lightedge Directory Access Protocol) mit einer der folgenden Hosting-Methoden.

    • Die gängige Methode zum Hosten von LDAP-Verzeichnisinformationen ist die Verwendung des Standard-LDAP oder LDAPS (sicheres LDAP) an den Ports 389 oder 636. Diese Standard-LDAP-Ports sind immer auf einem Domänencontroller (DC) vorhanden und werden selten geändert. Der Zugriff auf diese Verzeichnispartition ermöglicht den Zugriff auf alle Objekte innerhalb der Domäne, die auf dem DC gehostet wird. Es gibt keine Möglichkeit, mit dieser Methode auf Objekte aus anderen Domänen zuzugreifen.
    • Einem DC kann auch die Rolle Global Catalog (GC) gewährt werden. Die Rolle „Globaler Katalog“ (GC) ist ein LDAP-konformes Verzeichnis, das aus einer Teildarstellung jedes Objekts aus jeder Domäne in der Gesamtstruktur besteht. Auf dieses LDAP-Verzeichnis kann über Port 3268 zugegriffen werden, LDAPS über Port 3269. Die Zertifikatanforderungen für LDAPS- und LDAP-Standardports sind identisch.

    LDAP-Abhängigkeiten des globalen Katalogs

    • Für den Domänencontroller, mit dem Ihre -Instanz eine Verbindung herstellt, muss die Rolle „Globaler Katalog“ aktiviert sein.
    • Firewall-Regeln müssen eingehenden Datenverkehr zum Domänen-Controller auf Port 3268 (LDAP) oder 3269 (LDAPS) zulassen.

    Besondere Hinweise

    • Nicht alle Attribute werden in der GC-Partition repliziert. Allgemeine Attribute wie Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Beschreibung und Adresse sind enthalten. Zusätzliche Attribute können dem GC hinzugefügt werden, sollten jedoch eingeschränkt werden, um die Auswirkungen auf den Datenverkehr der Gesamtstrukturreplikation zu minimieren.
    • Standard-LDAP-Integrationen verwenden in der Regel „sAMAccountName“ als Anwender-ID der Instanz und als Zusammenfügungsschlüssel in der LDAP-Importzuordnung, da diese innerhalb einer Domäne garantiert eindeutig ist. Dieses Attribut ist beim Anzeigen einer gesamten Gesamtstruktur von Domänen nicht mehr eindeutig. Ein neues eindeutiges Attribut muss identifiziert werden und muss als UserID und Verbindungsschlüssel angegeben werden. Diese müssen nicht das gleiche Attribut sein und können je nach Ihrem Gesamtstrukturdesign variieren. Wenden Sie sich an Ihren Active Directory-Administrator. Normalerweise ist userPrinicpalName ein domänenübergreifendes eindeutiges Attribut. Dies ist jedoch möglicherweise kein anwenderfreundlicher Name für die Anmeldung, er kann jedoch für den eindeutigen Bezeichner bei Importen verwendet werden. Ein häufiges Attribut, das für die UserID verwendet wird, ist die E-Mail-Adresse. Diese Entscheidungen wirken sich auf die LDAP-Eigenschaften und die LDAP-Zuordnung aus.
    • Der für den Zusammenfügungsschlüssel in der LDAP-Importzuordnung verwendete Wert muss eindeutig sein und für jedes importierte Objekt vorhanden sein. Wenn sie nicht eindeutig ist oder nicht vorhanden ist, werden falsche Datensätze mit Änderungen aktualisiert.
    • Wenn Sie bereits eine LDAP-Integration haben und diese in eine GC ändern möchten, ändern Sie den Importkoaleszierungsschlüssel. Die neuen Schlüsselwerte müssen importiert werden, bevor Sie den Zusammenfügungsschlüssel ändern können.
    • Wenn Sie Änderungen an Ihrer LDAP-Integration vornehmen, die Ihre Integration unterbrechen, sollte der erste Schritt darin bestehen, diese Änderungen rückgängig zu machen. Wenden Sie sich anschließend an Kundenservice und Support, um vollständige Informationen zu Ihrem Versuch zu erhalten.