当前位置：文档之家 › AD LDAP同步

AD LDAP同步

  • 格式：pdf
  • 大小：789.10 KB
  • 文档页数：19
Password resync AD SSL
Service Listener LDAP connector
SSL
LDAP (SHA1)
Password Plugin
14
成功案例 中国工商银行开发中心
集团AD中有30万用户，开发中心有约5000人。 开发中心有一套LDAP。 实现AD->LDAP用户数据、用户组权限同步； 实现AD->密码实时同步，仅同步开发中心员工
2
Tivoli Directory Integrator特性
纯Java产品，支持多种平台 配置文件基于XML文件，易于移植 提供超过70种的数据连接器
• • • • • • • • • • • • • • • Active Directory LDAP Active Directory Changelog Command Line DSML v2 Domino Change Detection Domino R5 & R6 Domino Users FTP Client Connector File System Connector HTTP Client HTTP Server TDS/iPlanet/… LDAP TDS/iPlanet/… Changelog Domino LDAP Domino Changelog • • • • • • • • • • • • • • • IBM Tivoli Access Manager “Sub” AssemblyLine Caller IBM Tivoli Identity Mgr. Agent JDBC JMS Pub/Sub JNDI (Generic) LDAP Server MQe Password Store Mailbox IBM MemQ Memory Stream XML/XSL Handlers CSV & Fixed Format Parsers “In-Flight” Data Transformers Cronjob/Timer • • • • • • • • • • • • • • • Lotus Notes HTTP Client Old HTTP Server PeopleSoft Persistent Entry Store (PES) RDBMS Changelog SAP R/3 Siebel 7.5.3 SNMP Script TCP Timer URL Web Service Client Web Service Server
No
Yes
Delete Mode Connector Update Mode Connector
LDAP
10
建立LDAP -> AD流水线 检测LDAP中的操作 如果操作是“修改”，则修改AD条目 如果变更是“删除”，则删除AD相应条目
11
AD -> LDAP流水线
Change Detection Connector
6
准备 TDI的系统存储甚至为网络模式，提高可靠 性
当一次意外同步服务进程中断，再次启动可以 自动从上次同步点启动
7
设置连接器 LDAP
LDAP Connector LDAP Changelog Connector
ActiveDirectory
LDAP Connector AD Changelog v2 Connector
Tivoli Directory Integrator
AD-LDAP双向复制
上海派拉软件有限公司
IBM Tivoli Directory Integrator 数据同步工具
‘Any-Any’数据同步工具 可非常便捷的从一个数据来源同步数据到另一数据源 内部采用流水线机制处理 灵活定义输入输出 支持JavaScript和VBScript等脚本语言
8
建立AD -> LDAP流水线 检测AD中的操作（Changelog） 如果操作是“添加”或者“修改”，则修改 LDAP 如果操作是“删除”则删除LDAP中对应的 条目
9
AD -> LDAP流水线
Change Detection Connector
Active Directory
If delete
2012/3/16
16
上海派拉软件有限公司简介 (2)
主要优势
IAM为公司主营业务和发展方向 丰富的IAM项目经验 从产品研发、安全咨询到项目实施的综合实力 众多成功案例
2012/3/16
17
公司主要客户
2012/3/16
18
AD Password resync Password Plugin
Service Listener LDห้องสมุดไป่ตู้P connector
LDAP
Sync change AD
LDAP
connector
LDAP change connector
4
避免同步死循环 TDI具有很好的变更检测操作，当需要修改 的条目与目标条目一致时，自动取消操作
2008年实施
15
上海派拉软件有限公司简介
由前IBM资深技术人员团队创建，风险投资公司共同投资 2008成立于上海，在北京、南京、广州设有分支机构 核心管理团队和技术团队拥有10年以上经验，并具备国际 IT厂商工作经验 IBM软件合作伙伴 ISO 9001认证 国家认定软件企业
提供对商业逻辑的处理机制 多种的驱动机制 错误处理HOOK机制 基于Java/Java Script的扩展 服务器模式提供长期运行监控
3
AD – LDAP双向复制
TDI
应用 Sync adds/mods/deletes to LDAP
AD changlog
connector
应用
LDAP connector
LDAP->AD->LDAP，第二次同步自动取消
指定同步条件，如邮件属性以LDAP为准， 其他属性以AD为准，避免循环
5
同步流水线
Change Detection Connector
If delete
No
Yes
Delete Mode Connector Update Mode Connector
LDAP
If modify
No
Yes
Update Mode Connector Handle this Error
12
Active Director y
链接条件 员工号 UID 身份证号码 手机号码 …
13
密码同步 在AD上安装密码同步插件，用户修改密码 时截获密码，并同步到LDAP中 传输通道加密，存储加密（任意加密算法 ），确保安全

合集下载

在AD中配置CA、SSL,证书绑定keystore

在AD中配置CA、SSL,证书绑定keystore

配置AD、CA、SSL，绑定keystore在这就简单的介绍一下配置过程，未提到的设置基本就都采用默认即可。

1）安装AD:开始 -> 运行 -> dcpromote域名: NT域名: ldap即 Fully Qualified Domain Name (FQDN) 为 注意，一定要先安装 IIS , 再安装 CA.2）安装 IIS:开始-> 程序 -> 管理工具 -> 配置您的服务器向导 -> 应用服务器 (IIS, )进入 http:// /iisstart.htm 表示安装成功.3）安装CA:开始-> 设置 -> 控制面板-> 添加或删除程序 ->添加/删除Windows组件 -> 证书服务选择企业根CA共用名称 CA: testca进入 http:// /CertSrv 表示安装成功.4）生成证书请求:开始->程序->管理工具-> Internet 信息服务 (IIS) 管理器 -> Internet信息服务-> (本地计算机) -> 网站-> 右键点选默认网站 -> 属性 ->选择 "目录安全性" -> 服务器证书->新建证书 -> 准备证书，但稍后发送公共名称最好设置为 , 这是给使用者连ssl 的站点. 最后产生证书请求文件 , 默认为c:\certreq.txt5）在CA上请求证书:进入 http:// /CertSrv按申请一个证书 -> 高级证书申请-> 使用 base64 编码的 CMC 或 PKCS #10 文件提交一个证书申请，或使用base64 编码的 PKCS #7 文件续订证书申请。

使用记事本打开 c:\certreq.txt , copy c:\certreq.txt 内容贴至保存的申请:证书模板选择 Web 服务器, 按提交然后点选下载证书 , 将 certnew.cer 储存至 c:\certnew.cer6）安装证书:开始->程序->管理工具-> Internet 信息服务 (IIS) 管理器 -> Internet信息服务-> (本地计算机) -> 网站-> 右键点选默认网站->属性 -> 选择 "目录安全性" ->服务器证书->处理挂起的请求，安装证书 -> 路径和文件名: c:\certnew.cer网站SSL 端口: 4437）将 CA 证书加入至keystore 里:进入 http:// /CertSrv点选下载一个 CA 证书，证书链或 CRL点选下载 CA 证书, 然后下载并改名为 c:\ca_cert.cer安装CA后LDAP服务器C盘根目录会生成一文件_testca.crt然后执行命令:keytool -import -keystore "c:/testca.keystore" -file"_testca.crt" -storepass "changeit"keytool -import -keystore "c:/testca.keystore" -alias mkey -file "c:/ca_cert.cer" -storepass "changeit"出现 Trusted this certificate? 按 "y" 即新增成功.但经过个人的测试，其实只需使用_testca.crt这个证书就可以连接上SSL AD 636。

WindowsServer安装及AD部署

WindowsServer安装及AD部署

W i n d o w s S e r v e r2008安装A D部署一、AD安装说明：服务器上已安装LDAP后不能再安装AD域服务器;应为两者用的端口都是相同的在运行里输入”dcpromo”;启动AD域安装引导选择在“新林中新建域”输入你想要的域名选择域功能级别默认的2003即可选择“windowsserver2008”进行下一步安装在弹出的窗口中;系统会自动把DNS勾选;因为是域中的第一台域控制器;所以默认为全局录服务器..单击“下一步”这里我们选择“是”进行下一步安装选择数据库文件存放的位置;单击“下一步”这里要求软入还原模式密码;与2003不同;在2003中此步骤可跳过;不输入任务密码;但是在2008中这样是不可以的..这时系统会生成一个配置信息;我们可以选择导出;以用于在CORE模式的2008中部署DC..单机下一步;进行安装;安装完成后;会提示计算机进行重新启动..根据提示重启机器后;打开服务器管理-角色;给大家看看AD管理器吧：二、AD域证书安装可选说明：本步骤为可选项;如果在使用SSL加密连接AD域时必须在服务器上先安装AD域证书打开服务器管理界面;选中“角色”后;点击右侧界面中的“添加角色”在弹出的角色向导框中;将“ActiveDirectory证书服务”勾选上;并点击下一步继续点下一步继续点下一步默认只选择“证书颁发机构”即可继续点下一步默认选择“企业”在界面中选择“根证书”;继续点下一步继续点下一步默认选择“新建私钥”继续点下一步默认算法选择“SHA1”;长度为“2048”继续点下一步默认继续点下一步默认继续点下一步默认最后点击安装;开始安装证书安装完成后点击关闭;最后重启机器注意如果不重启机器证书不会生效;使用SSL 连接AD域时会连接失败重启后可以在服务器管理-角色下看到三、创建组织和用户并赋权限1.创建组织单位在服务器管理-角色-ActiveDirectory域服务下;选择域名test右键选择新建-组织单位；输入组织机构名称“111”点击确定后;创建组织机构名称2.在组织机构下创建用户组在弹出的组信息框中填写对应的组名称点确定后生成组3.在组织机构下创建用户在弹出的用户信息框中填写对应的用户名称点击下一步后;在弹出的密码框中输入用户密码点击下一步后再点击完成;创建用户成功4.给用户授权管理员权限选择中要授权的用户如：yuchen选择当前组织结构名称如：111右键选择“委派控制”在弹出的向导界面中点击下一步在弹出的用户或组中;将要赋予管理权限的用户添加进来;然后点击下一步在列表中勾选所有的管理员权限;点击下一步点击下一步后再点击完成;授权完成四、在控制台配置AD域在控制台中添加创建的AD域;具体配置如下：1.在系统配置-认证管理-LDAP认证源中添加配置的AD域说明：不加密端口为389加密端口为636需要AD证书管理用户和密码为之前创建并赋予权限的用户列如：yuchenAD域前要加@1.在系统配置-认证管理-LDAP认证源信息对应中配置AD域源的字段关系对应；注意：对应的名称大小写是区分的;必须按照图中的关系一一对应说明：配置好后同步用户试试;如果正常图0735李震16:12:26默认情况下：LDAP过滤条件中填写objectClass=user则只同步一级目录项目上使用基线版本进行域同步时;如果域的组织有多层;在LDAP过滤条件中增加：域用户同步如果同步一级用户：LDAP过滤条件为：objectClass=user域用户同步如果同步多级用户：。

AD_01_概念

AD_01_概念

Ntds.dit 数据库文件 Edb.* 事务日志与检验点文件
Res*.log 保留日志文件 检查日志
SYSTEM LOG
DIRECTOTY SERVICE DNS SERVER
4.
FILE REPLICATION SERVICE
31
wuhan
Relative Distinguished Name
Sales
mary
CN=mary,OU=Sales,OU=wuhan,DC=yinhe,DC=com
15
操作主机
林范围内的操作主机角色
– 架构主机 – 域命名主机
域范围内的操作主机角色 – RID 主机 – PDC 仿真主机 – 结构主机
DNS
SYSVOL 数据库 和日志 文件
29
校验活动目录安装

1. 2. 3. 4.
DNS中SRV 资源记录是否注册
_msdcs _sites _tcp _udp 检测：NSLOOKUP >>LS –T SRV DOMAIN 注：ipconfig /registerdns netlogon

SYSVOL
Users
User2 Printers Printer1
活动目录:
– 可以使一个管理员集中管理网络资源 – 可以使管理员容易的确定对象的信息 – 可以使管理员把相似的对象组织到 OU 中 – 可以使管理员给站点、域或 OU 指定具体的组策略设置
20
管理用户环境
12
3
Domain OU1 OU2 OU3
建立AD同时配置DNS服务器
建立域中的额外域控器
活动目录安装后的工作
26
活动目录的安装
NAC(CCA)4.x使用IDAP的某些角色的映射用户配置示例

NAC(CCA)4.x使用IDAP的某些角色的映射用户配置示例

NAC(CCA) 4.x ：使用IDAP的某些角色的映射用户配置示例目录简介先决条件要求使用的组件规则后端活动目录的验证AD/LDAP配置示例角色的地图用户使用属性或VLAN ID配置映射规则编辑映射规则故障排除相关信息简介本文描述映射功能的轻量级目录访问协议(LDAP)为了映射用户到在网络准入控制(NAC)设备或思科Clean Access (CCA)的某些角色。

Cisco NAC设备(以前思科Clean Access)是使用网络基础设施强制执行在所有设备的安全策略标准寻求访问网络计算资源的一种容易地配置的美洲台产品。

使用NAC设备，网络管理员能验证，授权，评估和在网络访问前配线的，无线和远程用户和他们的机器修正。

它识别网络设备例如膝上型计算机、IP电话或者游戏控制台是否与您的网络的安全策略是兼容的并且在允许对网络的访问前修改所有漏洞。

先决条件要求本文假设， CCA管理器、CCA服务器和LDAP服务器适当地安装并且工作。

使用的组件本文档中的信息基于以下软件和硬件版本：3300系列的Cisco NAC设备- Clean Access管理器4.0q3300系列的Cisco NAC设备- Clean Access服务器4.0q本文档中的信息都是基于特定实验室环境中的设备编写的。

本文档中使用的所有设备最初均采用原始（默认）配置。

如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

规则有关文档规则的详细信息，请参阅 Cisco 技术提示规则。

后端活动目录的验证验证供应商的几种类型在Clean Access管理器的可以用于利用激活目录(AD)服务器验证用户，Microsoft的所有权目录服务。

这些包括Windows NT(NTLM)、Kerberos和LDAP (首选)。

如果使用LDAP连接到AD， Search(Admin)全双工特有名(DN)必须典型地设置为一个帐户的DN与管理权限或基本用户权限的。