配置 Active Directory (AD) 用户目录收集器
建议更改
PDF
在 ONTAP SVM 数据收集器之前配置用户目录收集器。
Workload Security 使用目录数据来解析文件访问活动中的标识。用户目录收集器不提供测试连接功能。
| 选择 | 在以下情况下使用 |
|---|---|
Active Directory |
用户存储在 Active Directory 中，监视的活动是 SMB；或者 Unix 用户存储在 Active Directory 中，具有 uidNumber 值并执行 NFS 活动。 |
LDAP 目录服务器 |
Unix 用户主要存储在 LDAP 目录中，受监控的活动是 NFS。 |
两者 |
身份在 Active Directory 和 LDAP 之间拆分。为每个权威目录添加一个收集器，以便可以解析所有受监控的身份。 |
此页面涵盖 Active Directory 将此收集器用于 SMB 标识和在 Active Directory 中维护 Unix ID 的 NFS 标识。 |
开始之前
-
以 Data Infrastructure Insights 管理员或帐户所有者身份登录。
-
部署并连接可以访问目录服务器的 Workload Security Agent。
-
收集 Active Directory 服务器 IP 地址或 FQDN、林名称、绑定 DN 和绑定密码。
-
允许 Agent 访问目录服务。LDAP 或 StartTLS 的典型端口为 389，LDAPS 的典型端口为 636；请使用服务器上配置的端口。
-
使用可以搜索所需目录范围并读取收集器中映射的每个属性的绑定 DN 帐户。
添加 Active Directory 收集器
*1.*转到 Workload Security > Collectors > User Directory Collectors，然后选择 + User Directory Collector。
*2.*选择 Active Directory 并选择继续。
*3.*完成下面所述的连接字段和属性映射。
*4.*如果必须解析计算机或服务帐户，请查看高级配置。
*5.*使用 AD Explorer 或 ldapsearch 验证配置，然后选择保存收集器。
Active Directory 收集器字段和默认属性映射。
连接字段
| 字段 | 要求 | 输入内容 |
|---|---|---|
名称* |
必填 |
唯一的收集器名称。 |
代理人 |
必填 |
可以到达此 AD 服务器的已连接代理。 |
服务器 IP/域名* |
必填 |
AD 服务器 IP 地址或 FQDN。 |
森林名称* |
必填 |
DNS 域（如 hq.example.com）；DN（如 DC=hq,DC=example,DC=com）；或更窄的 OU/CN DN（当仅应搜索该范围时）。支持受信任的 AD 域。 |
绑定 DN* |
必填 |
允许搜索范围的帐户，例如 ws-reader@example.com。仅授予映射属性所需的目录读取权限。 |
绑定密码* |
必填 |
绑定 DN 帐户的密码。 |
协议 |
默认 |
LDAP、LDAPS 或带有 StartTLS 的 LDAP。选择服务器使用的协议。 |
端口* |
必填 |
数字目录端口；通常为 389 或 636。 |
必选属性映射
标有星号的字段必须具有有效的映射。保留默认值，除非您的 AD 架构使用不同的属性名称。
| Workload Security 字段 | 默认 AD 属性 | 必要时 |
|---|---|---|
显示名称* |
name |
始终 |
SID* |
对象标识符 |
始终；解析 SMB 安全标识符 |
用户名* |
sAM账户名称 |
始终 |
UNIXID |
uid 号 |
必须为存储在 AD 中的 Unix 用户解析 NFS 活动时为必需 |
可选属性映射
仅为要导入的配置文件数据选择包含可选属性。每个映射必须与实际的 AD 架构匹配。空或不正确的映射不会阻止标识解析，但不会填充配置文件值。
| 配置文件值 | 默认 AD 属性 |
|---|---|
电子邮件地址 |
邮件 |
电话号码 |
电话号码 |
角色 |
标题 |
状态 |
第 |
国家/地区 |
公司 |
部门 |
部门 |
照片 |
缩略图 |
管理员 DN |
经理 |
组 |
memberof |
高级配置：包括所需的帐户
搜索查询控制导入哪些目录对象。默认查询包括 POSIX 帐户和标准 AD 用户对象：
（|（objectClass=posixAccount）（&（objectCategory=person）（objectClass=user））） |
不匹配此筛选器的计算机帐户、托管服务帐户或自定义服务帐户对象仍未解析。在 AD Explorer 中检查对象的 objectClass，然后仅针对所需的对象类型扩展查询。例如：
（|（objectClass=posixAccount） + （&（objectCategory=person）（objectClass=user）） + （objectClass=computer） + （objectClass=msDS-ManagedServiceAccount） + （objectClass=msDS-GroupManagedServiceAccount））） |
未经检查结果，请勿扩大查询范围 确认每个添加的分支仅返回 Workload Security 应导入的帐户。更广泛的查询可能会增加同步时间并导入不需要的目录对象。 |
验证配置
测试连接不适用于用户目录收集器 在保存收集器之前，请从具有同等访问权限的主机验证网络访问、绑定凭据、搜索范围、查询结果和映射属性。 |
使用 AD Explorer
使用预期的绑定 DN 帐户连接到 Active Directory 服务器。验证该帐户是否可以浏览已配置的林名称或 OU，并读取 name、objectSid、sAMAccountName、使用时的 uidNumber 以及任何可选属性。
使用 ldapsearch
使用预期的绑定 DN 运行范围搜索。将示例替换为您的目录值，并将收集器的搜索查询添加为 LDAP 筛选器。
ldapsearch -o ldif-wrap=no -LLL -x -H ldap://ad.example.com:389 -D "ws-reader@example.com" -W -b "DC=hq,DC=example,DC=com" '(|(objectClass=posixAccount)(&(objectCategory=person)(objectClass=user)))' name objectSid sAMAccountName uidNumber |
-
使用收集器将使用的确切帐户和密码，绑定成功。
-
搜索返回预期的人员、计算机或服务帐户。
-
每个必需的映射属性都存在，并且在返回的对象上有一个值。
-
Agent 具有到目录服务器的相同 DNS 解析和网络路径。
保存后
-
Active Directory 同步在收集器启动或重新启动时启动。
-
拥有约 300,000 个用户的目录可能需要大约 15 分钟才能同步。
-
用户数据每 12 小时自动刷新一次。
-
如果目录不可用，以前提取的用户详细信息将保留，但在恢复连接之前，无法提取新用户或更改的用户。
-
用户数据保留 13 个月，无需刷新。无法独立于租户删除用户目录数据。
故障排除
| 信息或症状 | 需要检查的内容 |
|---|---|
为 LDAP 服务器提供的凭据无效。 |
请验证绑定 DN 和密码。还请确认帐户可以搜索配置的林名称。 |
无法获取作为林名称提供的 DN=…… 对应的对象。 |
更正林名称。请使用确切的域、DN、OU 或其他支持的范围。 |
无法建立 LDAP 连接。 |
从代理验证 AD 服务器 IP/FQDN、DNS 解析、协议、端口和防火墙路径。 |
无法检索 LDAP 用户……连接为空。 |
重新启动收集器。如果问题再次出现，请从等效的网络位置使用 ldapsearch 验证连接和搜索。 |
收集器正在重试或报告 AGENT008。 |
确认服务器地址和林名称；然后确认 Agent 可以访问目录服务。 |
未显示用户或可选属性。 |
验证搜索查询是否包含该对象，并且映射的属性名称是否与目录架构匹配（包括适用时的大小写）。保存以重新启动并重新同步。 |
AcceptSecurityContext 错误，数据 52e。 |
验证凭据和林名称。在 Active Directory 中，数据 52e 指示无效凭据。 |
ldap-port 的类型为 STRING 而不是 NUMBER。 |
输入数字端口值，例如 389 或 636。 |