您可以将 Workspace ONE Access 与 Active Directory 部署相集成,以便将用户和组从 Active Directory 同步到 Workspace ONE Access 服务。您拥有的 Active Directory 环境类型决定了在 Workspace ONE Access 服务中创建的目录类型。
您可以将 Workspace ONE Access 服务与 Active Directory 环境相集成,该环境可以包含单个 Active Directory 域、单个 Active Directory 林中的多个域或跨多个 Active Directory 林的多个域。
对于单个 Active Directory 域部署,您可以同步单个 Active Directory 域中的用户和组。
在多域单林 Active Directory 部署中,您可以同步单个林内的多个 Active Directory 域中的用户和组。
对于此环境,可在 Workspace ONE Access 服务中创建一个通过集成 Windows 身份验证访问的 Active Directory 目录,或者一个配置了全局目录选项的通过 LDAP 访问的 Active Directory 目录。
建议的选项是创建一个通过集成 Windows 身份验证访问的 Active Directory 目录。
在为此环境添加目录时,请选择“通过集成 Windows 身份验证访问的 Active Directory”选项。确保在目录中的域和目录绑定用户所属的域之间建立直接(非传递)双向信任。
如果您的 Active Directory 环境中无法使用集成 Windows 身份验证,可创建通过 LDAP 访问的 Active Directory 目录并选择全局目录选项。
选择全局目录选项具有以下几条限制:
复制到全局目录中的 Active Directory 对象属性在 Active Directory 架构中被标识为局部属性集 (PAS)。服务仅可使用这些属性进行属性映射。如有必要,可编辑架构以添加或移除在全局目录中存储的属性。
全局目录可存储唯一通用组的组成员身份(成员属性)。只有通用组会同步到服务。如有必要,可将组的范围从本地域或全局域更改为通用域。
用户可以直接或通过组成员资格从多个 Active Directory 域同步到 Workspace ONE Access“全局目录”目录。您必须确保 Workspace ONE Access 租户中的任何其他目录都不会同步同一域中的用户,否则,冲突可能会导致同步失败。
在具有信任关系的多林 Active Directory 部署中,您可以在林之间同步多个 Active Directory 域(在域之间具有双向信任关系)中的用户和组。对于此 Active Directory 环境,可在 Workspace ONE Access 服务中创建一个通过集成 Windows 身份验证访问的 Active Directory 目录。
在没有信任关系的多林 Active Directory 部署中,您可以在林之间同步多个 Active Directory 域(在域之间没有信任关系)中的用户和组。对于此环境,可在 Workspace ONE Access 服务中创建多个目录,每个林使用一个目录。
通过在 Workspace ONE Access 中配置相应设置,您可以为用户提供从 Workspace ONE Intelligent Hub 应用程序或门户中随时更改其 Active Directory 密码的功能。如果用户的 Active Directory 密码已过期或 Active Directory 管理员重置了该密码(以强制用户在下次登录时更改密码),用户也可以从登录页面中重置该密码。