Verzeichnisidentitätsquellen konfigurieren und Benutzer synchronisieren

Eine Identitätsquelle synchronisiert Verzeichnisbenutzer, Gruppen und zugehörige Mitgliedschaften in das einheitliche Identitätsverzeichnis. Speichern, Verbindungstest, Synchronisationsvorschau und Synchronisation sind getrennte Schritte. Keiner allein beweist eine abgeschlossene Synchronisation oder Anwendungsberechtigung.

Diese Anleitung behandelt AD- und LDAP-Verzeichnisse. Identitätsquelle und Verzeichniskonfiguration in der AD-Domänenverwaltung sind unterschiedliche Verwaltungseinstiege. Prüfen Sie selbst bei demselben Verzeichnis Zweck, Verbindung und Umfang getrennt; ein Einstieg konfiguriert nicht automatisch den anderen.

Die englischen Bedienelemente entsprechen den geprüften Oberflächenbezeichnungen und werden deutsch erläutert.

Vorbereitung

• Prüfen Sie die Rechte zum Anzeigen, Konfigurieren, Vorschauen und Synchronisieren von Identitätsquellen. Synchronisation und Löschen können zusätzliche Rechte erfordern.
• Klären Sie mit der Verzeichnisadministration Server, Port, Zertifikat, Bindekonto, Synchronisationswurzel, Benutzer- und Gruppenbereiche sowie Filter. Das Bindekonto benötigt die erforderlichen Leserechte; schützen Sie das Passwort nach Organisationsvorgaben.
• Stellen Sie die Erreichbarkeit und Prüfung von Zertifikatskette und Hostnamen für die gewählte sichere Verbindung sicher. Bereiten Sie einen kleinen Pilotbereich, Testkonten und einen Wiederherstellungsplan vor.
• Stimmen Sie Änderungen an gemeinsam genutzten Verbindungen mit anderen Verantwortlichen ab. Eine Einschränkung von Bereich oder Filtern kann bisher synchronisierte Benutzer oder Gruppen ausschließen und Status sowie Geschäftszugriff beeinflussen. Bewerten Sie die Auswirkungen vorab und testen Sie nicht unmittelbar das gesamte Verzeichnis.

Quelle konfigurieren und testen

1. IAM > Identity Directory > Identity Sources: Öffnen Sie im Identitätsverzeichnis die Identitätsquellen und wählen Sie Add Identity Source (Identitätsquelle hinzufügen). Wählen Sie ein AD- oder LDAP-Verzeichnis. Der Typ einer vorhandenen Quelle lässt sich beim Bearbeiten nicht direkt wechseln. Die Auswahlmöglichkeiten heißen AD Domain Directory und LDAP Directory.
2. Geben Sie unter Configure connection (Verbindung konfigurieren) den Namen ein und wählen Sie, ob eine Verzeichnisverbindung erstellt bzw. gepflegt oder eine vorhandene Quelle verwendet wird. Beim Speichern im ersten Modus wird die Verbindung erstellt oder aktualisiert; im zweiten liefert die gewählte Quelle die Verbindung. Stimmen Sie gemeinsame Verbindungen vorher ab. Die Optionen heißen Create or Manage a Directory Connection und Use an Existing Directory Source.
3. Bei eigener Pflege wählen Sie LDAPS oder StartTLS und geben Server, Port, Bindekonto und Passwort ein; prüfen Sie die Zertifikatsvalidierung. Beim Bearbeiten erhält ein leeres Passwort das bisherige; für einen Wechsel geben Sie ein neues ein. Prüfen Sie bei vorhandener Quelle die gewählte Verbindung und deren Zuständigkeit.
4. Prüfen Sie unter Sync scope (Synchronisationsumfang) Wurzel, Benutzer- und Gruppenbereiche sowie Filter. Entscheiden Sie über Business User Delegated Auth (delegierte Geschäftsnutzerauthentifizierung) nach dem Authentifizierungskonzept. Nehmen Sie nicht an, dass reine Synchronisation diese Option verlangt.
5. Wählen Sie Test Config (Konfiguration testen) und prüfen Sie die Ergebnisse. Beheben Sie Fehler und testen Sie erneut. Prüfen Sie in der Bestätigung die Zusammenfassung und speichern Sie. Ein bestandener Test bedeutet weder synchronisierte Objekte noch funktionierende Geschäftsanmeldung.

Vorschau und Synchronisation

1. Kehren Sie zur Quellenliste zurück, öffnen Sie die gespeicherte Quelle erneut und wählen Sie in der Bestätigung Preview Sync (Synchronisation vorschauen). Eine neue Quelle muss zuerst gespeichert werden; die Vorschau verwendet gespeicherte, nicht ungespeicherte Änderungen.
2. Prüfen Sie Konnektorstatus, neue Einträge, Konflikte und weitere Ergebnisse. Die Seite fordert höchstens 200 Vorschauobjekte an; dies ist keine Einzelprüfung des gesamten Verzeichnisses. Bei Konflikten muss die Administration Zuordnungen und Vorgehen klären.
3. Prüfen Sie den Pilotbereich und wählen Sie im Aktionsmenü der Quelle Sync (Synchronisieren). Die Meldung über den Start bedeutet eine eingereichte Aufgabe, keine Fertigstellung. Läuft bereits eine Aufgabe, warten und prüfen Sie deren Status. Die Oberflächenmeldungen lauten Sync triggered und A sync task is already running.
4. Prüfen Sie Synchronisationsstatus und letzte Synchronisationszeit. Kontrollieren Sie nach Abschluss erwartete Benutzer und Gruppen in der Benutzerverwaltung sowie Fehler oder Konflikte. Prüfen Sie bei fehlenden Objekten Umfang, Filter, Leserechte des Bindekontos und Aufgabenergebnis vor Änderung und erneutem Lauf.
5. Für Anwendungszugriff synchronisierter Benutzer müssen Sie zusätzlich den Zugriffsbereich der Anwendung konfigurieren und die Authentifizierung prüfen. Kontrollieren Sie anhand von Benutzerkonten und Anwendungszugriff Benutzer bzw. tatsächliche Gruppe, Anwendungsstatus und kontrollierte Anmeldung. Synchronisation berechtigt nicht automatisch zu allen Anwendungen.

Wichtig bei Bereichsänderungen: Die Vorschau basiert auf den aktuell gelesenen Objekten und listet zuvor synchronisierte Benutzer und Gruppen, die durch neue Bereiche oder Filter fehlen, nicht vollständig auf. Keine angezeigte Deaktivierung beweist daher nicht, dass der tatsächliche Abgleich keine Objekte deaktiviert. Der Abgleich kann zuvor synchronisierte Benutzer oder Gruppen deaktivieren und bestehende Sitzungen sowie Anwendungszugriffe beeinträchtigen. Gleichen Sie vor der Änderung den bisherigen Bestand, den geplanten Bereich und kritische Konten mit der Verzeichnisadministration ab und bereiten Sie eine genehmigte Wiederherstellung vor. Testen Sie zunächst einen kleinen Bereich und prüfen Sie Benutzer, Gruppen und Geschäftszugriff nach dem Abgleich getrennt.

Konflikte und leeres Ergebnis: Die Vorschauseite zeigt eine Zusammenfassung mit Status sowie Zahlen neuer und konfliktbehafteter Objekte, aber weder Konfliktdetails noch eine Aktion zum Verknüpfen. Stimmen Benutzername oder E-Mail mit einem vorhandenen Benutzer überein oder kollidiert ein Gruppenname mit einer vorhandenen Gruppe, überspringt der Abgleich das betroffene Objekt, statt es automatisch zu verknüpfen. Prüfen Sie auch nach Abschluss wichtige Benutzer, Gruppen und Mitgliedschaften. Klären Sie Konflikte mit der Verzeichnisadministration und dem technischen Support; gleiche Namen allein belegen keine Identität. Liest der Abgleich überhaupt keine Objekte, aktualisiert er keine Objekte und deaktiviert keine fehlenden Objekte. Ein abgeschlossener Auftrag bedeutet daher nicht, dass vorhandene Benutzer bereinigt wurden. Prüfen Sie Bereich, Filter und Leserechte sowie die erwarteten Daten, bevor Sie erneut synchronisieren.

Verzeichnisgruppen und Anwendungszugriff: Bei OIDC-Anwendungen prüft die gruppenbasierte Autorisierung die Verwaltungsgruppe des Benutzers in der Identitätsverwaltung; synchronisierte Verzeichnisgruppenmitgliedschaften werden dafür nicht direkt verwendet. Ein neu synchronisiert angelegter Benutzer hat zunächst keine Verwaltungsgruppe. Eine Verzeichnisgruppe zu synchronisieren und in der Anwendung auszuwählen, gewährt ihren Mitgliedern daher nicht automatisch Zugriff. Prüfen und setzen Sie für eine Gruppenfreigabe zunächst die Verwaltungsgruppe des Benutzers in der Benutzerverwaltung gemäß den Organisationsvorgaben und speichern Sie anschließend den angegebenen Zugriffsbereich der Anwendung. Alternativ können berechtigte Benutzer bei Bedarf direkt in der Anwendung ausgewählt werden. Bewerten Sie Änderungen vorab und testen Sie danach sowohl mit zugelassenen als auch mit nicht zugelassenen Konten.

Änderungen und Fehlerbehebung

• Verbindung oder Umfang ändern: Prüfen Sie gemeinsame Nutzung und Auswirkungen auf vorhandene Benutzer, Gruppen und Geschäftszugriff; speichern, testen und prüfen Sie Vorschau und Synchronisation erneut.
• Verbindungstest fehlgeschlagen: Prüfen Sie Adresse, Port, Netzwerk, Zertifikatskette und Hostname sowie Bindekonto und Passwort. Ignorieren Sie Zertifikatsprobleme nicht, um einen Test zu bestehen.
• Konflikte in der Vorschau: Erweitern Sie den Umfang nicht allein aufgrund der Vorschau. Klären Sie Zuordnungen zwischen Verzeichnisobjekten und vorhandenen Benutzern sowie die Behandlung.
• Aufgabe gestartet, Objekte fehlen: Prüfen Sie Abschluss, Umfang, Filter und Leserechte. Erfolgreiche Einreichung bedeutet keine abgeschlossene Synchronisation.
• Synchronisierter Benutzer ohne Anwendungszugriff: Prüfen Sie Benutzerstatus, Anwendungsumfang, Authentifizierungsanbindung und Anmeldung getrennt. Synchronisation oder delegierte Authentifizierung ersetzt keine Anwendungsberechtigung.