集成 Microsoft Active Directory 应用程序

将用户从 Verify 迁移至本地部署的 Active Directory。

准备工作

在 Verify 中配置身份代理程序以进行认证。请参阅 “通过 Verify 用户界面进行配置 ”。
部署并配置 IBM® Security Verify 中的 Identity Brokerage 本地组件。

过程

Verify请以管理员身份登录。
选择 “应用程序 ”> “应用程序 ”，然后单击 “添加应用程序”。
在 “选择应用程序类型 ”弹出窗口中，搜索“Microsoft™ Active Directory ”，然后选择创建“Microsoft Active Directory ”类型的应用程序。
在弹出窗口中点击 “添加应用程序 ”。
在 “添加应用程序 ”页面中，选择 “常规 ”选项卡并填写所需信息。

注意： “登录 ”选项卡不可用，因为它不适用于 Active Directory 类型的应用程序。
选择 “账户生命周期 ”选项卡。

指定供应和取消供应策略。


参数	描述
供应帐户	IBM Verify默认情况下，预留账户功能处于禁用状态，这意味着账户的创建是在. 之外进行的。选中已启用选项，以便在为用户分配权利时自动供应帐户。 IBM Verify使用...创建的账户支持密码生成和电子邮件通知功能。
取消供应帐户	IBM Verify“注销账户”功能默认处于禁用状态，这意味着账户删除操作将在系统外部进行。选中已启用选项，以便在移除用户的权利时自动撤销帐户。
帐户密码	同步用户的 Cloud Directory 密码此选项在 Cloud Directory 上启用了“密码同步”时可用。它在向应用程序供应常规用户时使用 Cloud Directory 密码。联合用户在供应到应用程序时收到生成的密码。生成密码此选项为供应的帐户生成随机密码。密码基于 Cloud Directory 密码策略。无此选项供应不带密码的帐户。
发送电子邮件通知	选择生成密码选项之后，此选项可供使用。如果选择发送电子邮件通知选项，那么在成功供应帐户后向您的电子邮件地址发送包含自动生成的密码的电子邮件通知。
宽限期（天）	设置在永久删除取消供应的帐户前保留其为已暂挂的宽限期（天）。
取消供应操作	删除帐户。仅当启用取消供应帐户字段时，此字段才可用。

在 “常规”选项卡中，从下拉菜单中选择 “应用程序配置文件 ”。如果概要文件不存在，那么必须创建一个。如需了解更多信息，请参阅“管理身份适配器应用程序配置文件 ”。
指定 API 认证详细信息。
- URL：随 Active Directory 安装的本地适配器代理程序的 URL。例如，http://<Adapter_host>:<adapter_port>
- 用户标识：本地 Active Directory 适配器的用户标识。（代理程序）
- 密码：本地 Active Directory 适配器的密码。（代理程序）
请提供该 Verify 桥梁的详细信息。
将您在 “通过 Verify 用户界面进行配置 ”中创建的身份代理进行 Verify 关联。
可选： 指定目标详细信息。
- Users base Point base DN:
- Groups base Point DN:
注意：请指定 Active Directory 组对象的DN。用户 CSantana 的 DN 示例（其对象存储在名为 Company.com 的域中的容器 cn=Users 内）是 cn=CSantana,cn=Users,dc=Company,dc=com。
将值设置为：
```
User base DN: cn=Users,dc=Company,dc=com
Group base DN: CN=Users,dc=Company,dc=com
```
单击 “测试连接 ”以测试与本地 Active Directory 适配器的连接。
需要成连接才能在 Active Directory 应用程序上供应或协调帐户。
将目标 Active Directory 属性的属性名称映射到 Cloud Directory 的特定属性。
对于需要在目标上进行更新的属性，选择使值保持更新复选框。
选择 “账户同步 ”选项卡。
Verify在 “采用策略 ”部分，添加一个或多个属性对，这些属性对必须匹配，才能使账户同步流程将 Active Directory 账户分配给. 上的相应账户所有者。
在 “整改策略 ”部分，选择一项整改策略，以手动整改不符合要求的账户。
点击 “保存”。
保存应用程序后，请在 “授权 ”选项卡中指定配置选项。
注意：
缺省情况下，协调失败阈值设置为 15%。这样可确保如果在连续帐户同步之间发现删除了超过 15% 的帐户，那么将废弃帐户同步结果，并停止操作。

如果已删除记录的百分比更高（通常是数据量较小的情况，较小的数据更改将导致较高的偏差百分比），请相应调整值。通过将失败阈值设置为 100%，将忽略偏差百分比，并将完成帐户同步操作。

通过在 docker-compose yml 文件中的 identity-brokerage 环境部分下添加环境变量 RECONCILIATION_FAILURETHRESHOLD_VALUE:"100”（值可以在 0 到 100 的范围之内），可以更改失败阈值。完成后，如果容器已经在运行，请将其重新启动。

例如：
```
identity-brokerage:
image: ibmcom/identity-brokerage
container_name: identity-brokerage
depends_on:
- ib-init
- ibdb
environment:
LICENSE_ACCEPT: "yes"
HOSTNAME: "identity-brokerage"
DB_SERVICE_NAME: "ibdb"
TRACE: "enabled"
SCIM_USER: "<>"
SCIM_USER_PASSWORD: "<>"
RECONCILIATION_FAILURETHRESHOLD_VALUE: "75"
```