CISCO LDAP-Synchronisierung konfigurieren

LDAP-Synchronisierung beendetview

Die LDAP-Synchronisierung (Lightweight Directory Access Protocol) hilft Ihnen, Endbenutzer für Ihr System bereitzustellen und zu konfigurieren. Während der LDAP-Synchronisierung importiert das System eine Liste von Benutzern und zugehörigen Benutzerdaten aus einem externen LDAP-Verzeichnis in die Unified Communications Manager-Datenbank. Sie können auch Ihre Endbenutzer konfigurieren, während der Import stattfindet.

Notiz Unified Communications Manager unterstützt LDAPS (LDAP mit SSL), aber nicht LDAP mit StartTLS. Stellen Sie sicher, dass Sie das LDAP-Serverzertifikat als Tomcat-Trust in Unified Communications Manager hochladen.

Informationen zu den unterstützten LDAP-Verzeichnissen finden Sie in der Kompatibilitätsmatrix für Cisco Unified Communications Manager und den IM- und Anwesenheitsdienst.

Die LDAP-Synchronisierung bewirbt die folgenden Funktionalitäten:

• Importieren von Endbenutzern – Sie können die LDAP-Synchronisierung während der Ersteinrichtung des Systems verwenden, um Ihre Benutzerliste aus einem LDAP-Verzeichnis des Unternehmens in die Unified Communications Manager-Datenbank zu importieren. Wenn Sie Elemente vorkonfiguriert haben, wie z. B. Funktionsgruppenvorlagen, Benutzer profiles, Dienstprofifiles, universelle Geräte- und Leitungsvorlagen können Sie Konfigurationen auf Ihre Benutzer anwenden und konfigurierte Verzeichnisnummern und Verzeichnis-URIs während des Synchronisierungsvorgangs zuweisen. Der LDAP-Synchronisierungsprozess importiert die Liste der Benutzer und benutzerspezifischen Daten und wendet die von Ihnen eingerichteten Konfigurationsvorlagen an.
  Notiz Sie können eine LDAP-Synchronisation nicht bearbeiten, wenn die anfängliche Synchronisation bereits stattgefunden hat.
• Geplante Updates – Sie kann Unified Communications Manager für die Synchronisierung mit mehreren LDAP-Verzeichnissen in geplanten Intervallen konfigurieren, um sicherzustellen, dass die Datenbank regelmäßig aktualisiert wird und die Benutzerdaten auf dem neuesten Stand sind.
• Authentifizieren Sie Endbenutzer – Sie können Ihr System so konfigurieren, dass Endbenutzerkennwörter anhand des LDAP-Verzeichnisses und nicht der Cisco Unified Communications Manager-Datenbank authentifiziert werden. Die LDAP-Authentifizierung bietet Unternehmen die Möglichkeit, Endbenutzern für alle Unternehmensanwendungen ein einziges Passwort zuzuweisen. Diese Funktion gilt nicht für PINs oder Anwendungsbenutzerkennwörter.
• Directory Server User Suchen nach Cisco Mobile and Remote Access Clients and Endpoints—You kann einen Unternehmensverzeichnisserver auch dann durchsuchen, wenn er außerhalb der Unternehmensfirewall betrieben wird. Wenn diese Funktion aktiviert ist, fungiert der Benutzerdatendienst (UDS) als Proxy und sendet die Benutzersuchanforderung an das Unternehmensverzeichnis, anstatt sie an die Unified Communications Manager-Datenbank zu senden.

Voraussetzungen für die LDAP-Synchronisierung

Vorausgesetzte Aufgaben
Führen Sie die folgenden Aufgaben aus, bevor Sie Endbenutzer aus einem LDAP-Verzeichnis importieren:

• Konfigurieren Sie den Benutzerzugriff. Entscheiden Sie, welche Zugriffskontrollgruppen Sie Ihren Benutzern zuweisen möchten. Für viele Bereitstellungen sind die Standardgruppen ausreichend. Wenn Sie Ihre Rollen und Gruppen anpassen müssen, lesen Sie das Kapitel „Benutzerzugriff verwalten“ im Administrationshandbuch.
• Konfigurieren Sie Standardanmeldeinformationen für eine Anmeldeinformationsrichtlinie, die standardmäßig auf neu bereitgestellte Benutzer angewendet wird.
• Wenn Sie Benutzer aus einem LDAP-Verzeichnis synchronisieren, stellen Sie sicher, dass Sie eine Funktionsgruppenvorlage eingerichtet haben, die den Benutzer Pro enthältfiles, Dienstprofifiles sowie Einstellungen für universelle Leitungen und Gerätevorlagen, die Sie den Telefonen und Nebenstellen Ihrer Benutzer zuweisen möchten.

Notiz Stellen Sie für Benutzer, deren Daten Sie mit Ihrem System synchronisieren möchten, sicher, dass ihre E-Mail-ID-Felder auf dem Active Directory-Server eindeutige Einträge sind oder leer bleiben.

Taskflow für die Konfiguration der LDAP-Synchronisierung

Verwenden Sie die folgenden Aufgaben, um eine Benutzerliste aus dem externen LDAP-Verzeichnis abzurufen und in die Unified Communications Manager-Datenbank zu importieren.

Notiz Wenn Sie das LDAP-Verzeichnis bereits einmal synchronisiert haben, können Sie immer noch neue Elemente aus Ihrem externen LDAP-Verzeichnis synchronisieren, aber Sie können keine neuen Konfigurationen von Unified Communications Manager zur LDAP-Verzeichnissynchronisierung hinzufügen. In diesem Fall können Sie das Massenverwaltungstool und Menüs wie Benutzer aktualisieren oder Benutzer einfügen verwenden.
Weitere Informationen finden Sie im Bulk Administration Guide für Cisco Unified Communications Manager.

Verfahren

	Befehl oder Aktion	Zweck
Schritt 1	Aktivieren Sie den Cisco DirSync-Dienst, auf Seite 3	Melden Sie sich bei Cisco Unified Serviceability an und aktivieren Sie den Cisco DirSync-Dienst.
Schritt 2	LDAP-Verzeichnissynchronisierung aktivieren, an Seite 4	Aktivieren Sie die LDAP-Verzeichnissynchronisierung in Unified Communications Manager.
Schritt 3	Erstellen Sie einen LDAP-Filter, auf Seite 4	Optional. Erstellen Sie einen LDAP-Filter, wenn Unified Communications Manager nur eine Teilmenge von Benutzern aus Ihrem LDAP-Unternehmensverzeichnis synchronisieren soll.
Schritt 4	LDAP-Verzeichnissynchronisierung konfigurieren, auf Seite 5	Konfigurieren Sie Einstellungen für die LDAP-Verzeichnissynchronisierung, z. B. Feldeinstellungen, LDAP-Serverstandorte, Synchronisierungszeitpläne und Zuweisungen für Zugriffssteuerungsgruppen, Funktionsgruppenvorlagen und primäre Nebenstellen.
Schritt 5	Enterprise Directory-Benutzersuche konfigurieren, auf Seite 7	Optional. Konfigurieren Sie das System für die Benutzersuche auf dem Enterprise-Verzeichnisserver. Gehen Sie wie folgt vor, um Telefone und Clients in Ihrem System so zu konfigurieren, dass Benutzersuchen auf einem Unternehmensverzeichnisserver statt auf der Datenbank durchgeführt werden.
Schritt 6	LDAP-Authentifizierung konfigurieren, auf Seite 7	Optional. Wenn Sie das LDAP-Verzeichnis für die Kennwortauthentifizierung des Endbenutzers verwenden möchten, konfigurieren Sie die LDAP-Authentifizierungseinstellungen.
Schritt 7	Passen Sie den LDAP-Vereinbarungsdienst an Parameter, auf Seite 8	Optional. Konfigurieren Sie die Parameter des optionalen LDAP-Synchronisierungsdiensts. Für die meisten Bereitstellungen sind die Standardwerte ausreichend.

Aktivieren Sie den Cisco DirSync-Dienst

Führen Sie dieses Verfahren durch, um den Cisco DirSync-Dienst in Cisco Unified Serviceability zu aktivieren. Sie müssen diesen Dienst aktivieren, wenn Sie Endbenutzereinstellungen aus einem unternehmenseigenen LDAP-Verzeichnis synchronisieren möchten.

Verfahren

• Schritt 1 Wählen Sie in Cisco Unified Serviceability Tools > Service Activation aus.
• Schritt 2 Wählen Sie in der Dropdown-Liste Server den Publisher-Knoten aus.
• Schritt 3 Klicken Sie unter Verzeichnisdienste auf das Optionsfeld Cisco DirSync.
• Schritt 4 Klicken Sie auf Speichern.

Aktivieren Sie die LDAP-Verzeichnissynchronisierung

Führen Sie dieses Verfahren durch, wenn Sie Unified Communications Manager so konfigurieren möchten, dass Endbenutzereinstellungen aus einem LDAP-Verzeichnis des Unternehmens synchronisiert werden.

Notiz Wenn Sie das LDAP-Verzeichnis bereits einmal synchronisiert haben, können Sie immer noch neue Benutzer aus Ihrem externen LDAP-Verzeichnis synchronisieren, aber Sie können keine neuen Konfigurationen in Unified Communications Manager zur LDAP-Verzeichnissynchronisierung hinzufügen. Sie können auch keine Änderungen an zugrunde liegenden Konfigurationselementen wie der Funktionsgruppenvorlage oder dem Benutzer pro hinzufügenfile. Wenn Sie bereits eine LDAP-Synchronisierung abgeschlossen haben und Benutzer mit anderen Einstellungen hinzufügen möchten, können Sie Massenverwaltungsmenüs wie Benutzer aktualisieren oder Benutzer einfügen verwenden.

Verfahren

• Schritt 1 Wählen Sie in der Cisco Unified CM-Verwaltung System > LDAP > LDAP-System aus.
• Schritt 2 Wenn Sie möchten, dass Unified Communications Manager Benutzer aus Ihrem LDAP-Verzeichnis importiert, aktivieren Sie das Kontrollkästchen Synchronisierung vom LDAP-Server aktivieren.
• Schritt 3 Wählen Sie aus der Dropdown-Liste LDAP-Servertyp den Typ des LDAP-Verzeichnisservers aus, den Ihr Unternehmen verwendet.
• Schritt 4 Wählen Sie aus der Dropdown-Liste LDAP-Attribut für Benutzer-ID das Attribut aus Ihrem Unternehmens-LDAP-Verzeichnis aus, mit dem Sie Unified Communications Manager für das Feld Benutzer-ID im Fenster Endbenutzerkonfiguration synchronisieren möchten.
• Schritt 5 Klicken Sie auf Speichern.

Erstellen Sie einen LDAP-Filter

Sie können einen LDAP-Filter erstellen, um Ihre LDAP-Synchronisierung auf eine Untergruppe von Benutzern aus Ihrem LDAP-Verzeichnis zu beschränken. Wenn Sie den LDAP-Filter auf Ihr LDAP-Verzeichnis anwenden, importiert Unified Communications Manager nur die Benutzer aus dem LDAP-Verzeichnis, die dem Filter entsprechen.

Notiz Jeder von Ihnen konfigurierte LDAP-Filter muss den in RFC4515 angegebenen LDAP-Suchfilterstandards entsprechen.

Verfahren

• Schritt 1 Wählen Sie in der Cisco Unified CM-Verwaltung System > LDAP > LDAP-Filter aus.
• Schritt 2 Klicken Sie auf Neu hinzufügen, um einen neuen LDAP-Filter zu erstellen.
• Schritt 3 Geben Sie im Textfeld Filtername einen Namen für Ihren LDAP-Filter ein.
• Schritt 4 Geben Sie im Textfeld Filter einen Filter ein. Der Filter kann maximal 1024 UTF-8-Zeichen enthalten und muss in Klammern () eingeschlossen werden.
• Schritt 5 Klicken Sie auf Speichern.

Konfigurieren Sie die LDAP-Verzeichnissynchronisierung

Verwenden Sie dieses Verfahren, um Unified Communications Manager für die Synchronisierung mit einem LDAP-Verzeichnis zu konfigurieren.

Mit der LDAP-Verzeichnissynchronisierung können Sie Endbenutzerdaten aus einem externen LDAP-Verzeichnis in die Unified Communications Manager-Datenbank importieren, sodass sie im Fenster „Endbenutzerkonfiguration“ angezeigt werden. Wenn Sie Funktionsgruppenvorlagen mit universellen Leitungs- und Gerätevorlagen eingerichtet haben, können Sie neu bereitgestellten Benutzern und ihren Nebenstellen automatisch Einstellungen zuweisen

Tipp Wenn Sie Zugriffssteuerungsgruppen oder Funktionsgruppenvorlagen zuweisen, können Sie einen LDAP-Filter verwenden, um den Import auf die Gruppe von Benutzern mit denselben Konfigurationsanforderungen zu beschränken.

Verfahren

• Schritt 1 Wählen Sie in der Cisco Unified CM-Verwaltung System > LDAP > LDAP-Verzeichnis aus.
• Schritt 2 Führen Sie einen der folgenden Schritte aus:
  • Klicken Sie auf Suchen und wählen Sie ein vorhandenes LDAP-Verzeichnis aus.
  • Klicken Sie auf Neu hinzufügen, um ein neues LDAP-Verzeichnis zu erstellen.
• Schritt 3 Geben Sie im Fenster „LDAP-Verzeichniskonfiguration“ Folgendes ein:
  a) Weisen Sie im Feld LDAP-Konfigurationsname dem LDAP-Verzeichnis einen eindeutigen Namen zu.
  b) Geben Sie im Feld LDAP Manager Distinguished Name eine Benutzer-ID mit Zugriff auf den LDAP-Verzeichnisserver ein.
  c) Geben Sie die Passwortdetails ein und bestätigen Sie sie.
  d) Geben Sie im Feld Suchbereich für LDAP-Benutzer die Suchbereichsdetails ein.
  e) Wählen Sie im Feld Benutzerdefinierter LDAP-Filter für UsersSynchronize entweder Nur Benutzer oder Benutzer und Gruppen aus.
  f) (Optional). Wenn Sie den Import auf nur eine Teilmenge von Benutzern beschränken möchten, die einen bestimmten Profi treffenfile, wählen Sie aus der Dropdown-Liste Benutzerdefinierter LDAP-Filter für Gruppen einen LDAP-Filter aus.
• Schritt 4 Erstellen Sie in den Feldern Zeitplan für die Synchronisierung des LDAP-Verzeichnisses einen Zeitplan, den Unified Communications Manager verwendet, um Daten mit dem externen LDAP-Verzeichnis zu synchronisieren.
• Schritt 5 Füllen Sie den Abschnitt Zu synchronisierende Standardbenutzerfelder aus. Wählen Sie für jedes Endbenutzerfeld ein LDAP-Attribut aus. Der Synchronisierungsprozess weist den Wert des LDAP-Attributs dem Endbenutzerfeld in Unified Communications Manager zu.
• Schritt 6 Wenn Sie die URI-Wahl bereitstellen, stellen Sie sicher, dass Sie das LDAP-Attribut zuweisen, das für die URI-Adresse des primären Verzeichnisses des Benutzers verwendet wird.
• Schritt 7 Geben Sie im Abschnitt Zu synchronisierende benutzerdefinierte Benutzerfelder den benutzerdefinierten Benutzerfeldnamen mit dem erforderlichen LDAP-Attribut ein.
• Schritt 8 Um die importierten Endbenutzer einer Zugriffskontrollgruppe zuzuweisen, die allen importierten Endbenutzern gemeinsam ist, gehen Sie wie folgt vor
  a) Klicken Sie auf Zu Zugriffskontrollgruppe hinzufügen.
  b) Klicken Sie im Popup-Fenster auf das entsprechende Kontrollkästchen für jede gewünschte Zugriffskontrollgruppe
  den importierten Endbenutzern zuweisen.
  c) Klicken Sie auf Ausgewählte hinzufügen.
• Schritt 9 Wenn Sie eine Funktionsgruppenvorlage zuweisen möchten, wählen Sie die Vorlage aus der Dropdown-Liste Funktionsgruppenvorlage aus.
  Notiz Die Endbenutzer werden nur zum ersten Mal mit der zugewiesenen Funktionsgruppenvorlage synchronisiert, wenn die Benutzer nicht anwesend sind. Wenn eine vorhandene Funktionsgruppenvorlage geändert und eine vollständige Synchronisierung für das zugehörige LDAP durchgeführt wird, werden die Änderungen nicht aktualisiert.
• Schritt 10 Wenn Sie eine primäre Nebenstelle zuweisen möchten, indem Sie eine Maske auf importierte Telefonnummern anwenden, gehen Sie wie folgt vor:
  a) Aktivieren Sie das Kontrollkästchen Maske auf synchronisierte Telefonnummern anwenden, um eine neue Leitung für eingefügte Benutzer zu erstellen.
  b) Geben Sie eine Maske einample, eine Maske von 11XX erstellt eine primäre Nebenstelle von 1145, wenn die importierte Telefonnummer 8889945 ist.
• Schritt 11 Wenn Sie primäre Nebenstellen aus einem Pool von Verzeichnisnummern zuweisen möchten, gehen Sie wie folgt vor:
  a) Aktivieren Sie das Kontrollkästchen Neue Leitung aus der Poolliste zuweisen, wenn keine basierend auf einer synchronisierten LDAP-Telefonnummer erstellt wurde.
  b) Geben Sie in die Textfelder DN-Pool-Start und DN-Pool-Ende den Verzeichnisnummernbereich ein, aus dem primäre Nebenstellen ausgewählt werden sollen.
• Schritt 12 Geben Sie im Abschnitt LDAP-Serverinformationen den Hostnamen oder die IP-Adresse des LDAP-Servers ein.
• Schritt 13 Wenn Sie TLS verwenden möchten, um eine sichere Verbindung zum LDAP-Server herzustellen, aktivieren Sie das Kontrollkästchen TLS verwenden.
• Schritt 14 Klicken Sie auf Speichern.
• Schritt 15 Um eine LDAP-Synchronisierung abzuschließen, klicken Sie auf Vollständige Synchronisierung jetzt durchführen. Andernfalls können Sie auf die geplante Synchronisierung warten.

Notiz

Wenn Benutzer in LDAP gelöscht werden, werden sie nach 24 Stunden automatisch aus Unified Communications Manager entfernt. Wenn der gelöschte Benutzer außerdem als Mobilitätsbenutzer für eines der folgenden Geräte konfiguriert ist, werden diese inaktiven Geräte ebenfalls automatisch gelöscht:

• Remote-Ziel Profile
• Remote-Ziel Profile Vorlage
• Mobiler Smart-Client
• CTI-Remote-Gerät
• Spark-Remote-Gerät
• Nokia S60
• Cisco Dual-Modus für iPhone
• IMS-integriertes Mobile (Basic)
• Carrier-integriertes Handy
• Cisco Dual-Modus für Android

Konfigurieren Sie die Enterprise Directory-Benutzersuche

Verwenden Sie dieses Verfahren, um Telefone und Clients in Ihrem System so zu konfigurieren, dass Benutzersuchen auf einem Unternehmensverzeichnisserver statt auf der Datenbank durchgeführt werden.

Bevor Sie beginnen

• Stellen Sie sicher, dass die primären, sekundären und tertiären Server, die Sie für die LDAP-Benutzersuche auswählen, für die Unified Communications Manager-Abonnentenknoten über das Netzwerk erreichbar sind.
• Konfigurieren Sie unter System > LDAP > LDAP-System den Typ des LDAP-Servers aus der Dropdown-Liste LDAP-Servertyp im Fenster LDAP-Systemkonfiguration.

Verfahren

• Schritt 1 Wählen Sie in der Cisco Unified CM-Verwaltung System > LDAP > LDAP-Suche aus.
• Schritt 2 Aktivieren Sie das Kontrollkästchen Benutzersuche auf Enterprise-Verzeichnisserver aktivieren, damit Benutzersuchen mithilfe eines Unternehmens-LDAP-Verzeichnisservers durchgeführt werden können.
• Schritt 3 Konfigurieren Sie die Felder im Fenster „LDAP-Suchkonfiguration“. Weitere Informationen zu den Feldern und ihren Konfigurationsoptionen finden Sie in der Online-Hilfe.
• Schritt 4 Klicken Sie auf Speichern.
  Notiz Um Konferenzräume zu durchsuchen, die als Raumobjekte in OpenLDAP Server dargestellt werden, konfigurieren Sie den benutzerdefinierten Filter als (| (objectClass=intOrgPerson)(objectClass=rooms)). Dadurch kann der Cisco Jabber-Client Konferenzräume anhand ihres Namens durchsuchen und die dem Raum zugeordnete Nummer wählen.
  Konferenzräume können durchsucht werden, sofern das Attribut GivenName oder sn oder Mail oder displayName oder Telefonnummer im OpenLDAP-Server für ein Raumobjekt konfiguriert ist.

Konfigurieren Sie die LDAP-Authentifizierung

Führen Sie dieses Verfahren aus, wenn Sie die LDAP-Authentifizierung aktivieren möchten, damit Endbenutzerkennwörter anhand des Kennworts authentifiziert werden, das im LDAP-Verzeichnis des Unternehmens zugewiesen ist. Diese Konfiguration gilt nur für Endbenutzerkennwörter und gilt nicht für Endbenutzer-PINs oder Anwendungsbenutzerkennwörter.

Verfahren

• Schritt 1 Wählen Sie in der Cisco Unified CM-Verwaltung System > LDAP > LDAP-Authentifizierung aus.
• Schritt 2 Aktivieren Sie das Kontrollkästchen LDAP-Authentifizierung für Endbenutzer verwenden, um Ihr LDAP-Verzeichnis für die Benutzerauthentifizierung zu verwenden.
• Schritt 3 Geben Sie im Feld LDAP Manager Distinguished Name die Benutzer-ID des LDAP-Managers ein, der Zugriffsrechte auf das LDAP-Verzeichnis hat.
• Schritt 4 Geben Sie im Feld Kennwort bestätigen das Kennwort für den LDAP-Manager ein.
• Schritt 5 Geben Sie im Feld Suchbasis für LDAP-Benutzer die Suchkriterien ein.
• Schritt 6 Geben Sie im Abschnitt LDAP-Serverinformationen den Hostnamen oder die IP-Adresse des LDAP-Servers ein.
• Schritt 7 Wenn Sie TLS verwenden möchten, um eine sichere Verbindung zum LDAP-Server herzustellen, aktivieren Sie das Kontrollkästchen TLS verwenden.
• Schritt 8 Klicken Sie auf Speichern.

Nächste Schritte
Parameter des LDAP-Vereinbarungsdienstes anpassen, auf Seite 8

Passen Sie die Parameter des LDAP-Vereinbarungsdienstes an

Führen Sie dieses Verfahren durch, um die optionalen Dienstparameter zu konfigurieren, die die Einstellungen auf Systemebene für LDAP-Vereinbarungen anpassen. Wenn Sie diese Dienstparameter nicht konfigurieren, wendet Unified Communications Manager die Standardeinstellungen für die LDAP-Verzeichnisintegration an. Klicken Sie für Parameterbeschreibungen auf den Parameternamen in der Benutzeroberfläche.

Sie können Dienstparameter verwenden, um die folgenden Einstellungen anzupassen:

• Maximale Anzahl von Vereinbarungen – Der Standardwert ist 20.
• Maximale Anzahl an Hosts: Der Standardwert ist 3.
• Wiederholungsverzögerung bei Hostausfall (Sek.): Der Standardwert für Hostausfall ist 5.
• Wiederholungsverzögerung bei HotList-Fehler (Minuten) – Der Standardwert für Hostlistenfehler ist 10.
• LDAP-Verbindungs-Timeouts (Sek.): Der Standardwert ist 5.
• Verzögerte Synchronisierungsstartzeit (Minuten) – Der Standardwert ist 5.
• Audit-Zeit für Benutzer-Kundenkarte

Verfahren

• Schritt 1 Wählen Sie in der Cisco Unified CM-Verwaltung System > Dienstparameter aus.
• Schritt 2 Wählen Sie im Dropdown-Listenfeld Server den Publisher-Knoten aus.
• Schritt 3 Wählen Sie im Dropdown-Listenfeld Dienst die Option Cisco DirSync aus.
• Schritt 4 Konfigurieren Sie Werte für die Cisco DirSync-Dienstparameter.
• Schritt 5 Klicken Sie auf Speichern.

Dokumente / Ressourcen

CISCO LDAP-Synchronisierung konfigurieren [pdf] Benutzerhandbuch LDAP-Synchronisierung konfigurieren, LDAP-Synchronisierung, Synchronisierung

Verweise

• Bedienungsanleitung