KACE Systems Management Appliance 7.1 - Administratorhandbuch

Importieren von Benutzern aus einem LDAP-Server

Importieren von Benutzern aus einem LDAP-Server

Sie können Benutzerinformationen von LDAP-Servern importieren, um Benutzerkonten auf der K1000 zu erstellen. Dadurch können Administratoren, beispielsweise Service Desk-Mitarbeiter, bei der Arbeit mit Benutzern auf umfassendere Daten zurückgreifen.

Es gibt zwei Möglichkeiten, Benutzerinformationen zu importieren:

HINWEIS: Bei jedem Import von Benutzern in die Appliance werden Benutzerinformationen überschrieben. Kennwortinformationen werden jedoch nicht importiert. Benutzer müssen bei jeder Anmeldung an der Administratorkonsole oder Benutzerkonsole ihre Kennwörter eingeben.

Benutzerinformationen manuell importieren

Benutzerinformationen manuell importieren

Sie können Benutzerinformationen manuell importieren, indem Sie die zu importierenden Benutzer mithilfe von Kriterien angeben.

HINWEIS: Geben Sie im LDAP-Browser den Suchbasis-DN und den Suchfilter an. Siehe LDAP-Browser verwenden.

Option	Beschreibung
Server	Die IP-Adresse oder der Hostname des LDAP-Servers. Wenn die IP-Adresse ungültig ist, wartet die Appliance auf einen Timeout, sodass bei der Verwendung der LDAP-Authentifizierung Verzögerungen bei der Anmeldung entstehen.   HINWEIS: Wenn die Verbindung über SSL hergestellt wird, verwenden Sie die IP-Adresse oder den Hostnamen. Beispiel: ldaps://hostname. Wenn auf Ihrem LDAP-Server ein nicht standardmäßiges SSL-Zertifikat installiert ist, beispielsweise ein intern signiertes Zertifikat oder ein Kettenzertifikat, das nicht von einem größeren Zertifikatanbieter wie VeriSign stammt, wenden Sie sich an Quest Support unter https://support.quest.com/de-de/contact-support.
Port	Die LDAP-Port-Nummer, in der Regel 389 (LDAP) oder 636 (sicheres LDAP).
Basis-DN	Die Kriterien für die Suche nach Konten. Diese Kriterien legen einen Standort oder Container in der LDAP- oder Active Directory-Struktur fest und sollten alle Benutzer umfassen, die authentifiziert werden sollen. Geben Sie eine genaue Kombination aus OUs, DCs oder CNs an, die Ihren Kriterien entsprechen, die von links (sehr genau) bis rechts (sehr allgemein) reichen. Dieser Pfad führt beispielsweise zum Container mit den Benutzern, die Sie authentifizieren müssen: OU=end_users,DC=company,DC=com.   HINWEIS: Geben Sie im LDAP-Browser den Suchbasis-DN und den Suchfilter an. LDAP-Browser verwenden.
Erweiterte Suche	Der Suchfilter. Beispiel: (&(sAMAccountName=KBOX_USERNAME)(memberOf=CN=financial,DC=example,DC=com))
Anmeldung	Die Anmeldeinformationen, die erforderlich sind, damit die K1000 sich beim LDAP-Server anmelden und Konten lesen kann. Beispiel: LDAP Login:CN=service_account,CN=Users, DC=Unternehmen, DC=com. Ohne Angabe eines Benutzernamens erfolgt ein anonymer Zugriffsversuch. Jedes LDAP-Label kann eine Verbindung zu einem anderen LDAP- oder Active Directory-Server herstellen.
Kennwort	Das Kennwort des Kontos, mit dem sich die K1000 beim LDAP-Server anmeldet.

Option	Beschreibung
Abzurufende Attribute	Geben Sie die LDAP-Attribute an, die abgerufen werden sollen. Beispiel: sAMAccountName, objectguid, mail, memberof, displayname, sn, cn, userPrincipalName, name, description, manager Die LDAP-Attribute in diesem Feld können den K1000 Benutzerattributen auf der nächsten Seite zugewiesen werden. Wenn dieses Feld leer ist, ruft die Appliance alle LDAP-Attribute ab. Es wird nicht empfohlen, dieses Feld leer zu lassen, da ansonsten das Importieren von Attributen länger dauert.   WICHTIG: Um das Manager-Objekt abzurufen, das dem Benutzer zugewiesen wurde, müssen Sie das Attribut manager der Liste hinzufügen und diese Zuordnung später angeben.
Labelattribut	Geben Sie ein Labelattribut ein. Beispiel: memberof. Diese Einstellung gibt eine Liste von Gruppen zurück, in denen dieser Benutzer Mitglied ist. Alle Labelattribute zusammen bilden die Labelliste, die Sie importieren können. Wenn der Suchfilter sowohl die Labelnamen als auch die Benutzernamen enthält, ist das Labelattribut nicht erforderlich.
Labelpräfix	Geben Sie das Labelpräfix ein. Beispiel: ldap_ Das Labelpräfix ist eine Zeichenfolge, die allen Labels vorangestellt wird.
Binäre Attribute	Geben Sie die binären Attribute ein. Beispiel: objectsid. Hiermit wird angegeben, welche Attribute zu Speicherzwecken binär verarbeitet werden sollten.
Maximale Zeilenanzahl	Geben Sie die maximale Anzahl der abzurufenden Zeilen an. Hierdurch werden die im nächsten Schritt zurückgegeben Ergebnisse begrenzt.
Debug-Ausgabe	Aktivieren Sie das Kontrollkästchen, um die Debug-Ausgabe anzuzeigen.

Option	Beschreibung
LDAP-UID	Der Bezeichner für den Benutzer. Empfohlener Wert: objectguid.
Benutzername	Der Name des Benutzers. Empfohlener Wert: name.
E-Mail	Die E-Mail-Adresse des Benutzers. Empfohlener Wert: mail.
Manager	Der Manager des Benutzers. Diese Zuordnung ist nur obligatorisch, wenn Sie Manager-Informationen abrufen möchten. Empfohlener Wert: manager.   WICHTIG: Um das Manager-Objekt abzurufen, das dem Benutzer zugewiesen wurde, müssen Sie das Attribut manager auch dem Feld Abzurufende Attribute zuordnen.

Die Seite Benutzer wird mit den importierten Benutzern in der Liste angezeigt. Die importierten Benutzer können je nach zugewiesener Rolle auf die Funktionen der Administratorkonsole und Benutzerkonsole zugreifen.

Benutzerinformationen nach einem Zeitplan importieren

Benutzerinformationen nach einem Zeitplan importieren

Damit die Benutzerdaten stets aktuell sind, sollten Sie diese regelmäßig von Ihrem LDAP-Server importieren.

2.	Wählen Sie LDAP-Authentifizierung aus und klicken Sie dann auf die Schaltfläche Zeitplan neben dem Servernamen in der Serverliste, um einen Benutzerimport zu planen: .

Die folgenden schreibgeschützten Serverdetails für Administratoren werden angezeigt:

Option	Beschreibung
Server	Die IP-Adresse oder der Hostname des LDAP-Servers. Wenn die IP-Adresse ungültig ist, wartet die Appliance auf einen Timeout, sodass bei der Verwendung der LDAP-Authentifizierung Verzögerungen bei der Anmeldung entstehen.   HINWEIS: Wenn die Verbindung über SSL hergestellt wird, verwenden Sie die IP-Adresse oder den Hostnamen. Beispiel: ldaps://hostname. Wenn auf Ihrem LDAP-Server ein nicht standardmäßiges SSL-Zertifikat installiert ist, beispielsweise ein intern signiertes Zertifikat oder ein Kettenzertifikat, das nicht von einem größeren Zertifikatanbieter wie VeriSign stammt, wenden Sie sich an Quest Support unter https://support.quest.com/de-de/contact-support.
Port	Die LDAP-Port-Nummer, in der Regel 389 (LDAP) oder 636 (sicheres LDAP).
Basis-DN	Die Kriterien für die Suche nach Konten. Diese Kriterien legen einen Standort oder Container in der LDAP- oder Active Directory-Struktur fest und sollten alle Benutzer umfassen, die authentifiziert werden sollen. Geben Sie eine genaue Kombination aus OUs, DCs oder CNs an, die Ihren Kriterien entsprechen, die von links (sehr genau) bis rechts (sehr allgemein) reichen. Dieser Pfad führt beispielsweise zum Container mit den Benutzern, die Sie authentifizieren müssen: OU=end_users,DC=company,DC=com.   HINWEIS: Geben Sie im LDAP-Browser den Suchbasis-DN und den Suchfilter an. LDAP-Browser verwenden.
Erweiterte Suche	Der Suchfilter. Beispiel: (&(sAMAccountName=KBOX_USERNAME)(memberOf=CN=financial,DC=example,DC=com))
Anmeldung	Die Anmeldeinformationen, die erforderlich sind, damit die K1000 sich beim LDAP-Server anmelden und Konten lesen kann. Beispiel: LDAP Login:CN=service_account,CN=Users, DC=Unternehmen, DC=com. Ohne Angabe eines Benutzernamens erfolgt ein anonymer Zugriffsversuch. Jedes LDAP-Label kann eine Verbindung zu einem anderen LDAP- oder Active Directory-Server herstellen.
Kennwort	Das Kennwort des Kontos, mit dem sich die K1000 beim LDAP-Server anmeldet.

Option	Beschreibung
Abzurufende Attribute	Geben Sie die LDAP-Attribute an, die abgerufen werden sollen. Beispiel: sAMAccountName, objectguid, mail, memberof, displayname, sn, cn, userPrincipalName, name, description, manager Die LDAP-Attribute in diesem Feld können den K1000 Benutzerattributen auf der nächsten Seite zugewiesen werden. Wenn dieses Feld leer ist, ruft die Appliance alle LDAP-Attribute ab. Es wird nicht empfohlen, dieses Feld leer zu lassen, da ansonsten das Importieren von Attributen länger dauert.   WICHTIG: Um das Manager-Objekt abzurufen, das dem Benutzer zugewiesen wurde, müssen Sie das Attribut manager der Liste hinzufügen und diese Zuordnung später angeben.
Labelattribut	Geben Sie ein Labelattribut ein. Beispiel: memberof. Diese Einstellung gibt eine Liste von Gruppen zurück, in denen dieser Benutzer Mitglied ist. Alle Labelattribute zusammen bilden die Labelliste, die Sie importieren können. Wenn der Suchfilter sowohl die Labelnamen als auch die Benutzernamen enthält, ist das Labelattribut nicht erforderlich.
Labelpräfix	Geben Sie das Labelpräfix ein. Beispiel: ldap_ Das Labelpräfix ist eine Zeichenfolge, die allen Labels vorangestellt wird.
Binäre Attribute	Geben Sie die binären Attribute ein. Beispiel: objectsid. Hiermit wird angegeben, welche Attribute zu Speicherzwecken binär verarbeitet werden sollten.
Maximale Zeilenanzahl	Geben Sie die maximale Anzahl der abzurufenden Zeilen an. Hierdurch werden die im nächsten Schritt zurückgegeben Ergebnisse begrenzt.
Debug-Ausgabe	Aktivieren Sie das Kontrollkästchen, um die Debug-Ausgabe anzuzeigen.

4.	Klicken Sie im Abschnitt E-Mail-Empfänger auf die Schaltfläche Bearbeiten, um die E-Mail-Adresse der Empfänger einzugeben .

Option	Beschreibung
LDAP-UID	Der Bezeichner für den Benutzer. Empfohlener Wert: objectguid.
Benutzername	Der Name des Benutzers. Empfohlener Wert: name.
E-Mail	Die E-Mail-Adresse des Benutzers. Empfohlener Wert: mail.
Manager	Der Manager des Benutzers. Diese Zuordnung ist nur obligatorisch, wenn Sie Manager-Informationen abrufen möchten. Empfohlener Wert: manager.   WICHTIG: Um das Manager-Objekt abzurufen, das dem Benutzer zugewiesen wurde, müssen Sie das Attribut manager auch dem Feld Abzurufende Attribute zuordnen.

Informationen zur einmaligen Anmeldung (SSO)

Informationen zur einmaligen Anmeldung (SSO)

Dank der einmaligen Anmeldung können Benutzer, die sich bei der Domäne angemeldet haben oder über einen Drittanbieter authentifiziert sind, auf die Administratorkonsole und die Benutzerkonsole der K1000 zugreifen, ohne die Anmeldeinformationen erneut auf der Anmeldeseite der K1000 eingeben zu müssen.

Sie können entweder Active Directory oder den Quest Identitätsbroker für die einmalige Anmeldung verwenden. Sie können nicht beide Methoden zur einmaligen Anmeldung auf derselben Appliance aktivieren.

Die einmalige Anmeldung ist verfügbar für:

HINWEIS: Quest empfiehlt den Zugriff auf die Administratorkonsole über den Webserver statt mit der IP-Adresse. Den Webservernamen finden Sie auf der Seite Netzwerkeinstellungen. Siehe Netzwerkeinstellungen der Appliance ändern.