ตั้งค่าแหล่งอัตลักษณ์ไดเรกทอรีและซิงโครไนซ์ผู้ใช้
แหล่งอัตลักษณ์ใช้ซิงโครไนซ์ผู้ใช้ กลุ่ม และความสัมพันธ์สมาชิกจากไดเรกทอรีเข้าสู่ไดเรกทอรีอัตลักษณ์รวม การบันทึก ทดสอบการเชื่อมต่อ ดูตัวอย่าง และซิงโครไนซ์เป็นคนละขั้นตอน ความสำเร็จของขั้นตอนใดขั้นตอนหนึ่งไม่ยืนยันว่าซิงโครไนซ์เสร็จหรือให้สิทธิ์เข้าถึงแอปแล้ว
คู่มือนี้ครอบคลุมไดเรกทอรี AD และ LDAP แหล่งอัตลักษณ์กับการตั้งค่าไดเรกทอรีในการจัดการโดเมน AD เป็นคนละทางเข้า แม้ใช้ไดเรกทอรีเดียวกันต้องตรวจวัตถุประสงค์ การเชื่อมต่อ และขอบเขตแยกกัน ไม่สมมติว่าตั้งค่าที่หนึ่งแล้วอีกที่เสร็จด้วย
ป้ายภาษาอังกฤษด้านล่างเป็นชื่อหน้าจอที่ตรวจสอบแล้วพร้อมคำอธิบายภาษาไทย
การเตรียมการ
- ตรวจสอบสิทธิ์ผู้ดูแลในการดู ตั้งค่า ดูตัวอย่าง และซิงโครไนซ์แหล่งอัตลักษณ์ การซิงโครไนซ์และลบอาจต้องใช้สิทธิ์เพิ่มเติม
- ยืนยันเซิร์ฟเวอร์ พอร์ต ใบรับรอง บัญชี bind รากการซิงโครไนซ์ ขอบเขตผู้ใช้และกลุ่ม รวมถึงตัวกรองกับผู้ดูแลไดเรกทอรี บัญชี bind ต้องมีสิทธิ์อ่านที่จำเป็นและป้องกันรหัสผ่านตามข้อกำหนดองค์กร
- ตรวจว่าระบบเข้าถึงไดเรกทอรีและตรวจสอบสายใบรับรองกับชื่อโฮสต์สำหรับการเชื่อมต่อปลอดภัยที่เลือกได้ เตรียมขอบเขตนำร่องขนาดเล็ก บัญชีทดสอบ และแผนกู้คืนการเปลี่ยนแปลง
- ประสานผู้รับผิดชอบอื่นก่อนเปลี่ยนการเชื่อมต่อที่ใช้ร่วมกัน การลดขอบเขตหรือเปลี่ยนตัวกรองอาจทำให้ผู้ใช้หรือกลุ่มที่เคยซิงโครไนซ์ไม่ตรงเงื่อนไขและกระทบสถานะกับการเข้าถึงธุรกิจ ให้ประเมินก่อนและไม่ทดสอบทั้งไดเรกทอรีทันที
ตั้งค่าและทดสอบแหล่ง
- IAM > Identity Directory > Identity Sources: ในไดเรกทอรีอัตลักษณ์รวม เปิดแหล่งอัตลักษณ์ เลือก Add Identity Source (เพิ่มแหล่งอัตลักษณ์) แล้วเลือกไดเรกทอรี AD หรือ LDAP ประเภทของแหล่งที่สร้างแล้วเปลี่ยนตรง ๆ ในหน้าแก้ไขไม่ได้ ตัวเลือกบนหน้าจอคือ AD Domain Directory และ LDAP Directory
- ใน Configure connection (ตั้งค่าการเชื่อมต่อ) ระบุชื่อและเลือกสร้างหรือดูแลการเชื่อมต่อไดเรกทอรี หรือใช้แหล่งที่มีอยู่ แบบแรกสร้างหรืออัปเดตการเชื่อมต่อเมื่อบันทึกแหล่ง แบบหลังใช้การตั้งค่าของแหล่งที่เลือก ประสานผู้ใช้รายอื่นก่อนใช้หรือเปลี่ยนการเชื่อมต่อร่วม ตัวเลือกตามลำดับคือ Create or Manage a Directory Connection และ Use an Existing Directory Source
- หากดูแลการเชื่อมต่อเอง ให้เลือก LDAPS หรือ StartTLS ระบุเซิร์ฟเวอร์ พอร์ต บัญชี bind และรหัสผ่าน พร้อมตรวจการตรวจสอบใบรับรอง เมื่อแก้ไขการเชื่อมต่อเดิม ช่องรหัสผ่านว่างหมายถึงเก็บรหัสเดิม หากเปลี่ยนให้ระบุรหัสใหม่ สำหรับแหล่งเดิมให้ตรวจการเชื่อมต่อที่เลือกและผู้ดูแล
- ใน Sync scope (ขอบเขตซิงโครไนซ์) ตรวจราก ขอบเขตผู้ใช้และกลุ่ม และตัวกรอง ตัดสินใจใช้ Business User Delegated Auth (การยืนยันตัวตนแบบมอบหมายของผู้ใช้ธุรกิจ) ตามแผนยืนยันตัวตนขององค์กร อย่าสมมติว่าการซิงโครไนซ์อย่างเดียวต้องเปิด
- เลือก Test Config (ทดสอบการตั้งค่า) และตรวจผล หากล้มเหลวให้แก้ไขและทดสอบใหม่ ตรวจสรุปในขั้นยืนยันแล้วบันทึก การทดสอบผ่านไม่ได้หมายความว่าออบเจ็กต์ซิงโครไนซ์หรือเข้าสู่ระบบธุรกิจได้แล้ว
ดูตัวอย่างและซิงโครไนซ์
- กลับรายการแหล่ง เปิดแหล่งที่บันทึกแล้วอีกครั้ง และเลือก Preview Sync (ดูตัวอย่างซิงโครไนซ์) ในขั้นยืนยัน แหล่งใหม่ต้องบันทึกก่อน การดูตัวอย่างใช้การตั้งค่าที่บันทึกแล้ว ไม่รวมการแก้ไขที่ยังไม่บันทึก
- ตรวจสถานะตัวเชื่อมต่อ รายการเพิ่มใหม่ และข้อขัดแย้ง หน้าจอขอตัวอย่างไม่เกิน 200 ออบเจ็กต์ จึงไม่ใช่การตรวจทีละรายการของทั้งไดเรกทอรี หากมีข้อขัดแย้งให้ผู้ดูแลยืนยันความสัมพันธ์และแนวทางจัดการก่อน
- ตรวจขอบเขตนำร่องแล้วเลือก Sync (ซิงโครไนซ์) จากเมนูของแหล่ง ข้อความเริ่มงานหมายถึงส่งงานแล้ว ไม่ได้หมายถึงเสร็จ หากมีงานทำงานอยู่ให้รอและตรวจสถานะ ข้อความบนหน้าจอคือ Sync triggered และ A sync task is already running
- ตรวจสถานะและเวลาซิงโครไนซ์ล่าสุด หลังงานเสร็จตรวจผู้ใช้และกลุ่มที่คาดไว้ในหน้าจัดการผู้ใช้ พร้อมตรวจข้อผิดพลาดหรือข้อขัดแย้ง หากขาดรายการ ให้ตรวจขอบเขต ตัวกรอง สิทธิ์อ่านของบัญชี bind และผลงานก่อนปรับและรันใหม่
- ผู้ใช้ที่ซิงโครไนซ์และต้องเข้าแอปยังต้องตั้งขอบเขตแอปเป้าหมายและตรวจการเชื่อมต่อยืนยันตัวตน ดูบัญชีผู้ใช้และการเข้าถึงแอปเพื่อตรวจผู้ใช้หรือกลุ่มจริง สถานะแอป และผลเข้าสู่ระบบแบบควบคุม การซิงโครไนซ์ไม่ให้สิทธิ์ทุกแอปโดยอัตโนมัติ
ข้อสำคัญเมื่อเปลี่ยนขอบเขต: ตัวอย่างสร้างจากวัตถุที่อ่านได้ในขณะนั้น และไม่ได้แสดงผู้ใช้หรือกลุ่มที่เคยซิงค์แต่ไม่ถูกอ่านเพราะขอบเขตหรือตัวกรองใหม่อย่างครบถ้วน แม้ตัวอย่างไม่แสดงรายการที่จะปิดใช้งาน ก็ไม่ได้ยืนยันว่าการซิงค์จริงจะไม่ปิดใช้งานวัตถุ การซิงค์อาจปิดใช้งานผู้ใช้หรือกลุ่มเดิมและกระทบเซสชันกับการเข้าถึงแอป ก่อนเปลี่ยนขอบเขตให้ตรวจรายการที่ซิงค์อยู่ ขอบเขตที่ต้องการ และบัญชีสำคัญร่วมกับผู้ดูแลไดเรกทอรี พร้อมเตรียมแผนกู้คืนที่อนุมัติแล้ว ทดลองในขอบเขตเล็กก่อน และตรวจผู้ใช้ กลุ่ม และการเข้าถึงงานแยกกันหลังซิงค์
ข้อขัดแย้งและผลลัพธ์ว่าง: หน้าตัวอย่างแสดงเพียงข้อมูลสรุป เช่น สถานะ จำนวนรายการใหม่และจำนวนข้อขัดแย้ง โดยไม่มีรายละเอียดวัตถุที่ขัดแย้งหรือการเชื่อมโยง หากชื่อผู้ใช้หรืออีเมลตรงกับผู้ใช้เดิม หรือชื่อกลุ่มขัดแย้งกับกลุ่มเดิม การซิงค์จริงจะข้ามวัตถุนั้นและไม่เชื่อมโยงโดยอัตโนมัติ แม้งานเสร็จแล้วให้ตรวจผู้ใช้ กลุ่ม และสมาชิกที่สำคัญ หากมีข้อขัดแย้งให้ปรึกษาผู้ดูแลไดเรกทอรีและฝ่ายสนับสนุนทางเทคนิค อย่าตัดสินว่าเป็นวัตถุเดียวกันจากชื่อเพียงอย่างเดียว หากการซิงค์อ่านวัตถุไม่ได้เลย ครั้งนั้นจะไม่อัปเดตวัตถุหรือปิดใช้งานวัตถุที่ขาดหาย ดังนั้นงานเสร็จไม่ได้หมายความว่าล้างผู้ใช้เดิมแล้ว ให้ตรวจขอบเขต ตัวกรอง สิทธิ์อ่าน และข้อมูลที่คาดหวังก่อนซิงค์อีกครั้ง
กลุ่มไดเรกทอรีและสิทธิ์แอป: สำหรับแอปที่ใช้ OIDC การให้สิทธิ์ตามกลุ่มจะตรวจกลุ่มจัดการของผู้ใช้ในระบบจัดการตัวตน ไม่ได้ใช้ความเป็นสมาชิกกลุ่มที่ซิงค์จากไดเรกทอรีโดยตรง ผู้ใช้ที่สร้างใหม่จากการซิงค์ยังไม่มีกลุ่มจัดการ การซิงค์กลุ่มไดเรกทอรีและเลือกกลุ่มนั้นในแอปเพียงอย่างเดียวจึงไม่รับประกันว่าสมาชิกจะเข้าถึงได้ หากต้องให้สิทธิ์ตามกลุ่ม ให้ตรวจและตั้งกลุ่มจัดการของผู้ใช้ในหน้าจัดการผู้ใช้ตามข้อกำหนดขององค์กรก่อน แล้วจึงบันทึกขอบเขตการเข้าถึงที่ระบุของแอป หรือเลือกผู้ใช้ที่ได้รับอนุญาตโดยตรงในแอปตามความจำเป็น ประเมินผลกระทบก่อนเปลี่ยนและทดสอบทั้งบัญชีที่อนุญาตและไม่อนุญาตหลังเปลี่ยน
การเปลี่ยนแปลงและแก้ไขปัญหา
- เปลี่ยนการเชื่อมต่อหรือขอบเขต: ตรวจว่าใช้ร่วมกันหรือไม่และประเมินผลต่อผู้ใช้ กลุ่ม และการเข้าถึงเดิม หลังบันทึกให้ทดสอบ ดูตัวอย่าง และตรวจผลซิงโครไนซ์อีกครั้ง
- ทดสอบการเชื่อมต่อล้มเหลว: ตรวจที่อยู่ พอร์ต เครือข่าย สายใบรับรองและชื่อโฮสต์ บัญชี bind และรหัสผ่าน อย่าละเลยปัญหาใบรับรองเพื่อให้ผ่านการทดสอบ
- ตัวอย่างมีข้อขัดแย้ง: อย่าขยายขอบเขตจากตัวอย่างเพียงอย่างเดียว ตรวจความสัมพันธ์ระหว่างออบเจ็กต์ไดเรกทอรีกับผู้ใช้เดิมและตกลงวิธีจัดการ
- เริ่มงานแล้วแต่ไม่พบออบเจ็กต์: ตรวจว่างานเสร็จหรือยัง รวมถึงขอบเขต ตัวกรอง และสิทธิ์อ่าน การส่งงานสำเร็จไม่เท่ากับซิงโครไนซ์เสร็จ
- ผู้ใช้ที่ซิงโครไนซ์เข้าแอปไม่ได้: ตรวจสถานะผู้ใช้ ขอบเขตแอป การยืนยันตัวตน และผลเข้าสู่ระบบจริงแยกกัน การซิงโครไนซ์หรือยืนยันตัวตนแบบมอบหมายไม่เท่ากับสิทธิ์แอป
วันที่อัปเดต