Komplexe Windows Umgebungen mit Active Directory lassen sich im One Identity Manager abbilden und synchronisieren. Im One Identity Manager ist die Verwaltung der Objekte des Active Directory wie beispielsweise Benutzerkonten, Kontakte, Gruppen, Computer und organisatorische Einheiten, in hierarchischen Domänenstrukturen möglich.
Im One Identity Manager werden die Personen eines Unternehmens mit den benötigten Benutzerkonten versorgt. Dabei können Sie unterschiedliche Mechanismen für die Verbindung der Personen mit ihren Benutzerkonten nutzen. Ebenso können Sie die Benutzerkonten getrennt von Personen verwalten und somit administrative Benutzerkonten einrichten.
Um den Benutzerkonten die benötigten Berechtigungen zur Verfügung zu stellen, werden im One Identity Manager die Gruppen administriert. Im One Identity Manager können Sie organisatorische Einheiten in einer hierarchischen Containerstruktur einrichten. Organisatorische Einheiten (Geschäftsstellen oder Abteilungen) werden dazu genutzt, Objekte wie Benutzerkonten, Gruppen und Computer logisch zu organisieren und somit die Verwaltung der Objekte zu erleichtern.
Für die Verwaltung einer Active Directory-Umgebung spielen im One Identity Manager folgende Server eine Rolle:
- Active Directory Domänen-Controller
Domänen-Controller, gegen den die Synchronisation der Active Directory Objekte läuft. Der Synchronisationsserver verbindet sich gegen diesen Server, um auf die Active Directory Objekte zuzugreifen.
- Synchronisationsserver
Synchronisationsserver für den Abgleich zwischen der One Identity Manager-Datenbank und der Active Directory-Umgebung. Auf diesem Server ist der One Identity Manager Service mit dem Active Directory Konnektor installiert. Der Synchronisationsserver verbindet sich gegen den Active Directory Domänen-Controller.
Der Active Directory Konnektor des One Identity Manager verwendet das ADSI Interface für die Kommunikation mit einem Domänen-Controller. Der Active Directory Konnektor wird für die Synchronisation und Provisionierung der Active Directory-Umgebung eingesetzt. Der Active Directory Konnektor kommuniziert direkt mit einem Domänen-Controller.
Abbildung 1: Architektur für die Synchronisation
In die Verwaltung einer Active Directory-Umgebung sind folgende Benutzer eingebunden.
Tabelle 1: Benutzer
| Zielsystemadministratoren |
Die Zielsystemadministratoren müssen der Anwendungsrolle Zielsysteme | Administratoren zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
-
Administrieren die Anwendungsrollen für die einzelnen Zielsystemtypen.
-
Legen die Zielsystemverantwortlichen fest.
-
Richten bei Bedarf weitere Anwendungsrollen für Zielsystemverantwortliche ein.
-
Legen fest, welche Anwendungsrollen für Zielsystemverantwortliche sich ausschließen.
-
Berechtigen weitere Personen als Zielsystemadministratoren.
-
Übernehmen keine administrativen Aufgaben innerhalb der Zielsysteme. |
| Zielsystemverantwortliche |
Die Zielsystemverantwortlichen müssen der Anwendungsrolle Zielsysteme | Active Directory oder einer untergeordneten Anwendungsrolle zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
-
Übernehmen die administrativen Aufgaben für das Zielsystem.
-
Erzeugen, ändern oder löschen die Zielsystemobjekte, wie beispielsweise Benutzerkonten oder Gruppen.
-
Bearbeiten Kennwortrichtlinien für das Zielsystem.
-
Bereiten Gruppen zur Aufnahme in den IT Shop vor.
-
Können Personen anlegen, die eine andere Identität haben als den Identitätstyp Primäre Identität.
-
Konfigurieren im Synchronization Editor die Synchronisation und definieren das Mapping für den Abgleich von Zielsystem und One Identity Manager.
-
Bearbeiten Zielsystemtypen sowie die ausstehenden Objekte einer Synchronisation.
-
Berechtigen innerhalb ihres Verantwortungsbereiches weitere Personen als Zielsystemverantwortliche und erstellen bei Bedarf weitere untergeordnete Anwendungsrollen. |
| One Identity Manager Administratoren |
-
Erstellen bei Bedarf im Designer kundenspezifische Rechtegruppen für Anwendungsrollen für die rollenbasierte Anmeldung an den Administrationswerkzeugen.
-
Erstellen bei Bedarf im Designer Systembenutzer und Rechtegruppen für die nicht-rollenbasierte Anmeldung an den Administrationswerkzeugen.
-
Aktivieren oder deaktivieren im Designer bei Bedarf zusätzliche Konfigurationsparameter.
-
Erstellen im Designer bei Bedarf unternehmensspezifische Prozesse.
-
Erstellen und konfigurieren bei Bedarf Zeitpläne.
-
Erstellen und konfigurieren bei Bedarf Kennwortrichtlinien. |
| Administratoren für den IT Shop |
Die Administratoren müssen der Anwendungsrolle Request & Fulfillment | IT Shop | Administratoren zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
|
|
Produkteigner für den IT Shop |
Die Produkteigner müssen der Anwendungsrolle Request & Fulfillment | IT Shop | Produkteigner oder einer untergeordneten Anwendungsrolle zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
- Entscheiden über Bestellungen.
- Bearbeiten die Leistungspositionen und Servicekategorien, für die sie verantwortlich sind.
|
| Administratoren für Organisationen |
Die Administratoren müssen der Anwendungsrolle Identity Management | Organisationen | Administratoren zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
|
| Administratoren für Geschäftsrollen |
Die Administratoren müssen der Anwendungsrolle Identity Management | Geschäftsrollen | Administratoren zugewiesen sein.
Benutzer mit dieser Anwendungsrolle:
|
Der One Identity Manager unterstützt die Synchronisation mit einem Active Directory, welches mit Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 und Windows Server 2019 ausgeliefert wird.
Um die Objekte einer Active Directory-Umgebung initial in die One Identity Manager-Datenbank einzulesen
- Stellen Sie im Active Directory ein Benutzerkonto für die Synchronisation mit ausreichenden Berechtigungen bereit.
-
Die One Identity Manager Bestandteile für die Verwaltung von Active Directory-Umgebungen sind verfügbar, wenn der Konfigurationsparameter TargetSystem | ADS aktiviert ist.
- Installieren und konfigurieren Sie einen Synchronisationsserver und geben Sie den Server im One Identity Manager als Jobserver bekannt.
- Erstellen Sie mit dem Synchronization Editor ein Synchronisationsprojekt.
Detaillierte Informationen zum Thema
