Cấu hình nguồn danh tính thư mục và đồng bộ người dùng

Nguồn danh tính đồng bộ người dùng, nhóm và quan hệ thành viên từ thư mục vào thư mục danh tính hợp nhất. Lưu cấu hình, kiểm tra kết nối, xem trước và chạy đồng bộ là các bước riêng; một bước thành công không tự chứng minh người dùng đã đồng bộ xong hoặc được cấp quyền ứng dụng.

Hướng dẫn này đề cập thư mục miền AD và LDAP. Nguồn danh tính và cấu hình thư mục trong quản lý miền AD là các mục quản lý khác nhau. Ngay cả khi dùng cùng thư mục, cần kiểm tra riêng mục đích, kết nối và phạm vi; không giả định cấu hình một mục sẽ hoàn tất mục kia.

Các nhãn tiếng Anh dưới đây là tên giao diện đã đối chiếu, kèm giải thích tiếng Việt.

Chuẩn bị

• Xác nhận quản trị viên có quyền xem, cấu hình, xem trước và đồng bộ nguồn danh tính. Đồng bộ và xóa có thể cần thêm quyền.
• Xác nhận với quản trị viên thư mục máy chủ, cổng, chứng chỉ, tài khoản bind, gốc đồng bộ, phạm vi người dùng và nhóm cùng bộ lọc. Tài khoản bind cần quyền đọc thư mục phù hợp; bảo vệ mật khẩu theo quy định tổ chức.
• Đảm bảo nền tảng kết nối được thư mục và xác minh được chuỗi chứng chỉ, tên máy chủ theo phương thức kết nối an toàn đã chọn. Chuẩn bị phạm vi thử nhỏ, tài khoản thử và phương án khôi phục thay đổi.
• Phối hợp với các bên khác trước khi thay đổi kết nối dùng chung. Thu hẹp phạm vi hoặc đổi bộ lọc có thể khiến người dùng hoặc nhóm đã đồng bộ không còn khớp, ảnh hưởng trạng thái và truy cập nghiệp vụ. Đánh giá trước, không thử ngay trên toàn bộ thư mục.

Cấu hình và kiểm tra nguồn

1. IAM > Identity Directory > Identity Sources: Trong thư mục danh tính hợp nhất, mở nguồn danh tính, chọn Add Identity Source (thêm nguồn danh tính), rồi chọn thư mục AD hoặc LDAP. Không thể trực tiếp đổi loại nguồn đã tạo khi sửa. Các lựa chọn trên giao diện là AD Domain Directory và LDAP Directory.
2. Tại Configure connection (cấu hình kết nối), nhập tên và chọn tạo hoặc quản lý kết nối thư mục, hoặc dùng nguồn hiện có. Cách đầu tạo hoặc cập nhật kết nối khi lưu nguồn; cách sau dùng cấu hình kết nối của nguồn đã chọn. Phối hợp trước khi dùng hoặc đổi kết nối chung. Các tùy chọn tương ứng là Create or Manage a Directory Connection và Use an Existing Directory Source.
3. Nếu tự quản lý kết nối, chọn LDAPS hoặc StartTLS, nhập máy chủ, cổng, tài khoản bind và mật khẩu, rồi kiểm tra xác minh chứng chỉ. Khi sửa kết nối hiện có, để trống mật khẩu sẽ giữ mật khẩu cũ; nhập mật khẩu mới nếu cần đổi. Nếu dùng nguồn hiện có, kiểm tra kết nối đã chọn và trách nhiệm quản lý.
4. Tại Sync scope (phạm vi đồng bộ), kiểm tra gốc, phạm vi người dùng và nhóm, bộ lọc. Quyết định bật Business User Delegated Auth (xác thực ủy quyền người dùng nghiệp vụ) theo thiết kế xác thực của tổ chức; không giả định chỉ đồng bộ thì bắt buộc bật.
5. Chọn Test Config (kiểm tra cấu hình), xem từng kết quả; sửa lỗi và thử lại nếu cần. Kiểm tra tóm tắt ở bước xác nhận rồi lưu. Kiểm tra thành công không có nghĩa đối tượng đã đồng bộ hay đăng nhập nghiệp vụ hoạt động.

Xem trước và đồng bộ

1. Trở lại danh sách, mở lại nguồn đã lưu và chọn Preview Sync (xem trước đồng bộ) ở bước xác nhận. Nguồn mới phải được lưu trước; xem trước dùng cấu hình đã lưu, không phản ánh thay đổi chưa lưu.
2. Kiểm tra trạng thái bộ kết nối, số mục mới, xung đột và kết quả khác. Trang yêu cầu xem trước tối đa 200 đối tượng, không phải kiểm tra từng mục của toàn bộ thư mục. Nếu có xung đột, quản trị viên cần xác nhận tương ứng và cách xử lý trước.
3. Sau khi kiểm tra phạm vi thử, chọn Sync (đồng bộ) trong menu thao tác của nguồn. Thông báo đã kích hoạt nghĩa là tác vụ được gửi, không phải đã hoàn tất. Nếu tác vụ đang chạy, chờ và kiểm tra trạng thái. Các thông báo trên giao diện là Sync triggered và A sync task is already running.
4. Xem trạng thái và thời gian đồng bộ cuối. Sau khi xong, kiểm tra người dùng và nhóm dự kiến trong quản lý người dùng, cùng lỗi hoặc xung đột. Nếu thiếu đối tượng, kiểm tra phạm vi, bộ lọc, quyền đọc của tài khoản bind và kết quả tác vụ trước khi điều chỉnh và chạy lại.
5. Người dùng đồng bộ cần truy cập ứng dụng vẫn phải có phạm vi truy cập ứng dụng đích và tích hợp xác thực được kiểm tra. Dùng tài khoản người dùng và truy cập ứng dụng để kiểm tra người dùng hoặc nhóm thực tế, trạng thái ứng dụng và đăng nhập thử có kiểm soát. Đồng bộ không tự cấp quyền cho mọi ứng dụng.

Lưu ý quan trọng khi đổi phạm vi: Bản xem trước dựa trên các đối tượng đọc được tại thời điểm đó và không liệt kê đầy đủ người dùng, nhóm đã đồng bộ nhưng bị loại bởi phạm vi hoặc bộ lọc mới. Không có mục bị vô hiệu hóa trong bản xem trước không chứng minh lần đồng bộ thực tế sẽ không vô hiệu hóa đối tượng. Đồng bộ có thể vô hiệu hóa người dùng hoặc nhóm đã đồng bộ và ảnh hưởng phiên hiện có cùng quyền truy cập ứng dụng. Trước khi thay đổi, đối chiếu danh sách hiện có, phạm vi dự kiến và tài khoản quan trọng với quản trị viên thư mục, đồng thời chuẩn bị phương án khôi phục được phê duyệt. Thử với phạm vi nhỏ rồi kiểm tra riêng người dùng, nhóm và truy cập nghiệp vụ sau khi đồng bộ.

Xung đột và kết quả rỗng: Trang xem trước chỉ hiển thị thông tin tổng hợp như trạng thái, số đối tượng mới và số xung đột; trang không cung cấp chi tiết đối tượng xung đột hoặc thao tác liên kết. Nếu tên người dùng hoặc email trùng người dùng hiện có, hoặc tên nhóm xung đột với nhóm hiện có, lần đồng bộ thực tế sẽ bỏ qua đối tượng đó thay vì tự động liên kết. Ngay cả khi tác vụ hoàn tất, hãy kiểm tra người dùng, nhóm và quan hệ thành viên quan trọng. Khi có xung đột, hãy xác nhận cách xử lý với quản trị viên thư mục và bộ phận hỗ trợ kỹ thuật; không xác định hai đối tượng là một chỉ theo tên. Nếu đồng bộ không đọc được đối tượng nào, lần đó không cập nhật đối tượng hay vô hiệu hóa đối tượng thiếu. Vì vậy tác vụ hoàn tất không có nghĩa là người dùng hiện có đã được dọn dẹp. Hãy kiểm tra phạm vi, bộ lọc, quyền đọc và dữ liệu dự kiến trước khi đồng bộ lại.

Nhóm thư mục và quyền truy cập ứng dụng: Với ứng dụng dùng OIDC, cấp quyền theo nhóm kiểm tra nhóm quản lý của người dùng trong hệ thống quản lý danh tính; cơ chế này không trực tiếp dùng quan hệ thành viên nhóm được đồng bộ từ thư mục. Người dùng mới được tạo qua đồng bộ ban đầu chưa có nhóm quản lý. Chỉ đồng bộ nhóm thư mục và chọn nhóm đó trong ứng dụng không đảm bảo các thành viên được truy cập. Để cấp quyền theo nhóm, trước tiên hãy kiểm tra và đặt nhóm quản lý của người dùng trong mục quản lý người dùng theo quy định của tổ chức, sau đó lưu phạm vi truy cập được chỉ định của ứng dụng. Cũng có thể chọn trực tiếp người dùng được phép trong ứng dụng khi cần. Đánh giá tác động trước khi thay đổi và kiểm tra bằng cả tài khoản được phép lẫn không được phép sau đó.

Thay đổi và khắc phục sự cố

• Đổi kết nối hoặc phạm vi: Xác định kết nối có dùng chung không, đánh giá ảnh hưởng đến người dùng, nhóm và truy cập hiện có; sau khi lưu hãy thử lại, xem trước và kiểm tra kết quả đồng bộ.
• Kiểm tra kết nối thất bại: Kiểm tra địa chỉ, cổng, mạng, chuỗi chứng chỉ và tên máy chủ, tài khoản bind và mật khẩu. Không bỏ qua lỗi chứng chỉ để vượt kiểm tra.
• Xung đột khi xem trước: Không mở rộng phạm vi chỉ dựa trên xem trước; kiểm tra quan hệ đối tượng thư mục với người dùng hiện có và thống nhất cách xử lý.
• Tác vụ đã kích hoạt nhưng thiếu đối tượng: Kiểm tra hoàn tất tác vụ, phạm vi, bộ lọc và quyền đọc. Gửi thành công không đồng nghĩa đồng bộ hoàn tất.
• Người dùng đồng bộ không truy cập được ứng dụng: Kiểm tra riêng trạng thái người dùng, phạm vi ứng dụng, tích hợp xác thực và đăng nhập thực tế. Đồng bộ hoặc xác thực ủy quyền không thay thế quyền ứng dụng.