Integración del servicio de directorio a través de Webex Common Identity para Dedicated Instance

Descripción general

Sincronice los usuarios del directorio basado en la nube, como Azure AD, a aplicaciones de Dedicated Instance, como Unified CM y Cisco Unity Connection con el servicio de directorio en la nube. Durante la sincronización, el sistema importa una lista de usuarios y datos de usuarios asociados en Azure Active Directory (o un servicio similar de directorio en la nube) que se sincroniza en el servicio de identidad de Webex. Seleccione el clúster de Unified CM en Control Hub para la sincronización, elija la asignación del campo correspondiente al ID de usuario de Unified CM y, a continuación, seleccione el acuerdo de sincronización necesario para completar la sincronización.

Requisitos previos

Si está utilizando Azure Active Directory como su directorio en la nube, consulte Configurar la aplicación del asistente de Azure AD en Control Hub para obtener más información.
Si está utilizando Microsoft Active Directory como su directorio, consulte Implementar el Conector de directorios para obtener más información.
Notas de la versión del Conector de directorios
Asegúrese de que los sistemas de Active Directory existentes integrados con Unified CM también estén integrados con Webex Common Identity.

Ver detalles del grupo

En la página Administrar en Control Hub, elija el clúster con el que desee sincronizar los datos de los usuarios.

Esta selección también proporciona los detalles del grupo, como el nombre del grupo, el estado de la sincronización del grupo, el estado de la última sincronización y el producto asociado.

Detalles del grupo	Descripción
Nombre del grupo	El nombre del grupo
Estado	Estado de la sincronización
Última sincronización	Fecha de la última sincronización
Producto	Detalles del producto

Sincronización de directorios

Según sus requisitos, puede sincronizar usuarios de Active Directory en las instalaciones a Control Hub mediante el Conector de directorios o directamente desde Azure Directory a Control Hub, y luego sincronizarlos con Unified CM.

Realice una de las siguientes acciones:

Para sincronizar usuarios directamente de Azure Directory con Control Hub, siga el procedimiento Sincronizar usuarios desde Azure Directory .
Para sincronizar usuarios de Active Directory en las instalaciones con Control Hub mediante el Conector de directorios, siga el procedimiento Sincronizar usuarios desde Active Directory en las instalaciones .

Realice la sincronización durante el horario no comercial para minimizar el impacto en los servicios de llamadas.

Sincronizar usuarios desde Azure Directory

La sincronización del servicio de directorio de Dedicated Instance le permite importar datos de usuarios finales en el directorio de Azure a la base de datos de Unified CM, de modo que se muestran en la ventana Configuración de usuario final.

Para sincronizar usuarios con Azure Directory:

Debe sincronizar los usuarios de Azure Active Directory en Control Hub.
Siga el procedimiento Configurar la sincronización de directorios para sincronizar usuarios en Control Hub con Cisco Unified CM.

Sincronizar usuarios desde Active Directory en las instalaciones

Los usuarios de Active Directory en las instalaciones pueden sincronizarse con Common Identity (CI) mediante el Conector de directorios.

Solo se proporciona soporte para la implementación de SSO en el servicio de directorio. Consulte Integración de inicio de sesión único en Control Hub y Solución de SSO basada en SAML para obtener más información.

Para sincronizar usuarios desde Active Directory en las instalaciones:

Sincronice los usuarios de Active Directory con Common Identity (CI) mediante el Conector de directorios. Puede descargar el software del conector desde Control Hub e instalarlo en su máquina local. Consulte la Guía de implementación para el Conector de directorios para obtener más información.
Siga el procedimiento que se indica en Configurar la sincronización de directorios y sincronice usuarios en Control Hub con Unified CM.

Configurar la sincronización de directorios

En ocasiones, es posible que experimente demoras adicionales en el aprovisionamiento de un grupo. En tales situaciones, el aprovisionamiento seguirá teniendo lugar aunque esta actividad lleve un tiempo considerable.

Inicie sesión en Control Hub en https://admin.webex.com/login.
Vaya a Servicios > Llamadas > Dedicated Instance > Administrar.
Seleccione la aplicación UC y haga clic en Configurar en Activar sincronización de directorios en el panel derecho.
En la ventana de configuración de asignación de campos, asegúrese de que la asignación elegida para el campo ID de usuario de Unified CM identifique al usuario en forma exclusiva dentro del grupo después de iniciar el aprovisionamiento.

Elija la asignación del campo ID de usuario de Unified CM para sincronizar el usuario desde Webex:

El campo ID de usuario en Unified CM se asigna al ID de correo electrónico del usuario en Webex.
El campo ID de correo electrónico en Unified CM se asigna al ID de correo electrónico del usuario en Webex.
El campo ID de usuario en Unified CM se asigna al ID de correo electrónico sin la parte del dominio del usuario en Webex.

Se crea una nueva cuenta de usuario si no se puede realizar la asignación correctamente para una cuenta de usuario existente en Unified CM. El ID de correo electrónico del usuario se utiliza como el identificador único para la cuenta de usuario creada recientemente. Esta nota es aplicable a las opciones 1 y 2.

Opciones

Unified CM

Control Hub

Opción 1

El campo ID de usuario en Unified CM se asigna al ID de correo electrónico del usuario en Webex

Opción 2

El campo ID de correo electrónico en Unified CM se asigna al ID de correo electrónico del usuario en Webex

Opción 3

El campo ID de usuario en Unified CM se asigna al ID de correo electrónico sin la parte del dominio del usuario en Webex

Haga clic en Siguiente.
Seleccione un acuerdo en la lista desplegable para crear un nuevo acuerdo de sincronización. Una vez creado el nuevo acuerdo de sincronización, se eliminarán todos los acuerdos de sincronización existentes que apunten al directorio local. Puede cambiar el nuevo acuerdo de sincronización después de que se haya creado.
En la sección Vista previa del acuerdo, revise la lista de usuarios y los detalles de contacto (detalles existentes del directorio de LDAP externo disponibles en Unified Communications Manager) antes de iniciar la sincronización. Puede ver los siguientes detalles:
- Información del grupo
  
  De manera predeterminada, todos los usuarios se sincronizan con la categoría de usuario 5. Esto se puede verificar en la ventana Información del grupo.
- Plantilla del grupo de características aplicada con plantillas de dispositivos y líneas universales
- Detalles de líneas y máscaras para números de teléfono sincronizados para usuarios insertados
- Usuarios recientemente aprovisionados y sus extensiones
- Sección Campos de usuario estándar que se sincronizarán.
- Nombre de host o dirección IP del servidor de directorio
Haga clic en Siguiente para seleccionar el filtro de grupo.

La sección Información del grupo no se aplica a Cisco Unity Connection y, por lo tanto, no está visible en la sección Vista preliminar del acuerdo.
En la lista desplegable Seleccionar grupos , seleccione uno o más grupos específicos que desee sincronizar. Haga clic en la casilla de verificación Seleccionar todos los grupos si desea seleccionar todos los grupos de usuarios.

De forma predeterminada, todos los usuarios se sincronizan. Si no selecciona ningún grupo, todos los usuarios y los datos de usuarios asociados se sincronizarán automáticamente.

En el caso de grupos anidados en un directorio, los usuarios deben seleccionar el grupo del subconjunto de usuarios específicamente durante el aprovisionamiento, ya que no se incluyen de manera predeterminada con el grupo principal. Debe verificar si hay una anidación repetitiva (si la hay) para asegurarse de que solo se incluyan los usuarios requeridos durante el aprovisionamiento.

Las modificaciones en el acuerdo de sincronización, por ejemplo, la eliminación de un usuario o grupo de destino, no se propagarán durante la sincronización periódica. Es necesario restablecer el servicio de directorio para ese grupo y luego volver a aprovisionar el grupo con un acuerdo de sincronización nuevo o modificado. Comuníquese con el soporte del TAC de Cisco para restablecer el servicio de directorio para el grupo requerido.
Haga clic en Siguiente para preparar el proceso de sincronización.
En la ventana Habilitar sincronización , habilite la sincronización una vez que el sistema copie correctamente los datos del usuario en un espacio de almacenamiento temporal en Unified CM y se cree un nuevo acuerdo de sincronización (después de los pasos 1 y 2, como se ve en la siguiente captura de pantalla).
La opción Descargar informe le permite ver los resultados parcialmente. Para obtener los informes completos correspondientes al clúster de Unified CM, ejecute el siguiente comando CLI: archivo obtener activelog /cm/trace/CIService/log4j/DryRunResults.csv

En caso de que no tenga acceso, comuníquese con el soporte del TAC de Cisco para descargar el informe.

Aquí, el resultado de la simulación muestra lo siguiente:
- Usuarios nuevos: los usuarios no están presentes en Unified CM, pero sí en el servicio de identidad de Webex. Los usuarios se crean en Unified CM después de habilitar la sincronización.
- Usuarios coincidentes: los usuarios están presentes en Unified CM y en el servicio de identidad de Webex. Estos usuarios seguirán activos en Unified CM después de que se complete la sincronización.
- Usuarios no coincidentes: los usuarios están presentes en Unified CM y en el servicio de identidad de Webex. Los usuarios no coincidentes se marcan como inactivos en Unified CM después de que se completa la sincronización y se enviarán a la papelera después de 24 horas de inactividad.
Puede comprobar el informe y decidir si desea conservar la misma lista de usuarios y agregar o eliminar usuarios. En función de la decisión, haga clic en Abandonar para detener el proceso y revertir los cambios de aprovisionamiento.
Después de la verificación del acuerdo de sincronización, haga clic en Vista preliminar en Unified CM para iniciar sesión en su infraestructura y cambiar el acuerdo de sincronización nuevo.

Solo puede editar la información del grupo. No puede cambiar el nombre del acuerdo ni modificar ninguno de los detalles.
Haga clic en Habilitar sincronización para continuar con la sincronización.

Durante la sincronización, no podrá realizar ninguna acción hasta que se complete. Una vez que se completa la sincronización para un clúster en particular, la página de Servicio de directorio enumera este clúster con el estado Aprovisionado. En este punto, ha autorizado correctamente a Azure AD para aprovisionar y sincronizar a los usuarios de Webex en la infraestructura de UC y ha completado los pasos para configurar la sincronización.

Debe habilitar la sincronización en el plazo de 18 horas desde la creación del nuevo acuerdo. Los usuarios sincronizados de LDAP se vuelven inactivos y se eliminan después de 24 horas de inactividad. Los usuarios no podrán conectarse ni utilizar los servicios de Unified CM.

Una vez completado el aprovisionamiento de Azure AD para un clúster determinado, no puede crear ningún acuerdo de sincronización nuevo ni modificar ningún ajuste de configuración para el mismo clúster, excepto para la configuración del grupo. Comuníquese con el soporte del TAC de Cisco para restablecer el servicio de directorio. Luego podrá crear un nuevo acuerdo para el aprovisionamiento.

Si está utilizando Azure IdP durante la autenticación de SSO después de un aprovisionamiento correcto, asegúrese de configurar los reclamos correctos en el IdP de Azure. Por ejemplo, durante el aprovisionamiento, si se selecciona la opción 1 para la asignación de ID de usuario, asegúrese de que user.userprincipalname se establezca como el UID en la sección Reclamos adicionales .

Sincronización periódica

Una vez que un grupo se aprovisione correctamente, la sincronización periódica se ejecuta a diario, lo que se encarga de sincronizar cualquier modificación de los datos del usuario de Webex Common Identity con Unified CM y Cisco Unity Connection. Su intervención no es necesaria para la sincronización periódica. Sin embargo, puede verificar si se ha producido una sincronización periódica durante el día al observar la columna Última sincronización en en la página Detalles del grupo en Control Hub. La marca de hora se actualiza para reflejar la hora a la que se produjo la sincronización periódica para el clúster.

Unified CM

Cisco Unity Connection

Directorio de LDAP en Unified CM o Cisco Unity Connection

El proceso de sincronización crea un directorio LDAP predeterminado.

Aunque la configuración se muestra sincronizada una vez, Control Hub se sincroniza a las 24 horas de los cambios de ciclo de Common Identity con Unified CM o Cisco Unity Connection.

Ver el estado de la sincronización

Vea el estado de la sincronización en la columna de estado de la sincronización de directorios. Haga clic en la aplicación UC para obtener el panel derecho que muestra el estado del aprovisionamiento, el último estado sincronizado y el motivo de la falla, si la hubiera. También puede seleccionar la zona horaria local. Se selecciona la zona horaria predeterminada del navegador.

Estado del aprovisionamiento

Estado del aprovisionamiento	Descripción
Procesando	El aprovisionamiento está en curso
Acción requerida	Tome los pasos necesarios si se requiere alguna intervención manual para un clúster en particular. Si desea continuar o abandonar la sincronización después de la simulación. Una vez creado el nuevo acuerdo, compruebe si hay notificaciones y tome las medidas necesarias según sea necesario.
Error	Si hay alguna acción requerida en el asistente para Habilitar sincronización , márquela y, si es necesario, realice las acciones necesarias.
Activo	El aprovisionamiento del grupo está completo.
No aprovisionado	El aprovisionamiento del grupo aún no se ha iniciado.

Importar usuarios para Unity Connection

Puede importar usuarios de Azure AD manualmente desde Importar usuarios en Cisco Unity Connection después de que se haya realizado el aprovisionamiento del grupo desde Control Hub.

Las dos formas de importar usuarios son las siguientes:

Cree usuarios de Unity Connection a partir de datos del directorio LDAP con la herramienta Importar usuarios

En la administración de Cisco Unity Connection, expanda Usuarios y seleccione Importar usuarios.

En la página Importar usuarios, importe las cuentas de usuario del directorio LDAP para crear usuarios de Unity Connection.

Seleccione Directorio LDAP en el campo Buscar usuarios finales en .
Seleccione la plantilla en la que se basa el usuario nuevo.
Especifique el Alias, Nombre o Apellido de las cuentas de usuario del directorio LDAP que desea importar.
Marque las casillas de verificación con las cuentas de usuario que desea importar y seleccione Importar seleccionada.

Cree usuarios de Unity Connection a partir de datos del directorio LDAP con la herramienta de administración masiva

En la administración de Cisco Unity Connection, expanda Herramientas y seleccione Herramienta de administración masiva.

Para agregar usuarios de Unity Connection, realice los siguientes pasos en la página Herramienta de administración masiva:

En Seleccionar operación, seleccione Exportar.
En Seleccionar tipo de objeto, seleccione Usuarios del directorio LDAP.
Introduzca los valores en todos los campos obligatorios.
Seleccione Enviar.

Esto crea un archivo CSV con los datos de usuario del directorio LDAP. Abra el archivo CSV en una aplicación de hoja de cálculo o en un editor de texto y edite los datos según corresponda. Ahora, importe los datos desde el archivo CSV.
En Seleccionar operación, seleccione Crear.
En Seleccionar tipo de objeto, seleccione Usuarios con buzón.
Introduzca los valores en todos los campos obligatorios.
Seleccione Enviar.

Cuando la importación haya finalizado, revise el archivo que especificó en el campo Nombre de archivo de objetos con errores para verificar que todos los usuarios se hayan creado correctamente.

Resolución de problemas de sincronización

En esta sección se proporciona la información y las soluciones necesarias para resolver algunos de los problemas comunes a los que puede enfrentarse durante las diversas etapas de la sincronización de usuarios de Control Hub a la base de datos de Unified Communications Manager.

Usuarios no coincidentes

Habilite la sincronización en el plazo de 18 horas después de la creación del nuevo acuerdo. Los usuarios existentes se marcan como inactivos y se eliminan de Unified CM después de 24 horas de inactividad.

Error: error en la copia de datos. Vuelva a intentarlo

La comunicación entre Dedicated Instance y la nube de Webex se interrumpió o no se pudieron recuperar los datos de los usuarios de la nube de Webex.
La comunicación entre Dedicated Instance y Unified CM se interrumpió o no se pueden enviar los datos de los usuarios a la base de datos de Unified CM.
Los datos del usuario no se copian en la ubicación de almacenamiento temporal.

Error: no se pudo crear el acuerdo de sincronización. Vuelva a intentarlo

La comunicación entre Dedicated Instance y Unified CM se interrumpió o no se pudieron enviar los datos del acuerdo de sincronización a la base de datos de Unified CM.
No se ha creado un acuerdo de sincronización correctamente.

No se pueden obtener los detalles del acuerdo de sincronización. Vuelva a intentarlo más tarde.

Se interrumpió la comunicación entre Dedicated Instance y Unified CM.

Problemas conocidos y limitaciones

Si está teniendo un problema con esta característica, verifique si se trata de algo que ya sepamos y para lo que tengamos una solución alternativa recomendada.

Webex Calling: el aprovisionamiento del servicio de directorio de la instancia dedicada no funciona con la autenticación de LDAP, ya que solo se sincronizan los datos del usuario y no las contraseñas para el servidor de Unified CM y, por lo tanto, la autenticación de LDAP no funciona.

Solución alternativa: Se debe utilizar el inicio de sesión único (SSO) para los inicios de sesión. Este documento solo cubre la integración del inicio de sesión único (SSO).

Configure un inicio de sesión único (SSO) si desea que sus usuarios se autentiquen a través de su proveedor de servicios de identidad empresarial. Consulte Integración de inicio de sesión único en Control Hub y Solución de SSO basada en SAML para obtener más información.
Comuníquese con el soporte del TAC de Cisco para deshabilitar el servicio de directorio. Espere un minuto y vuelva a iniciar la configuración del servicio de directorio.
Después de la eliminación, en caso de que quiera incorporar nuevamente el mismo grupo de Unified CM a la organización, primero debe deshabilitar el servicio de directorio y luego volver a aprovisionar el mismo grupo.

Comuníquese con el soporte del TAC de Cisco para deshabilitar el servicio de directorio.
En la página del acuerdo de sincronización, los campos Realizar una sincronización cada y Hora de la próxima resincronización aparecen activos. Pero estos campos están atenuados en el servidor de Unified CM cuando está habilitada la opción Realizar sincronización solo una vez . Actualmente, se trata de una limitación en la característica de aprovisionamiento del servicio de directorio de Webex Calling - Dedicated Instance que se corregirá en la próxima versión.
Los usuarios que se eliminan en el portal de Azure se vuelven inactivos en el Servicio de identidad de Webex, pero parecen activos en Unified CM.

Solución alternativa: Vaya a Administración > Usuarios y elimine el usuario de Control Hub. El usuario está marcado como Inactivo en Unified CM.
Al aprovisionar nuevos clústeres para organizaciones más grandes (que tienen más de 80 000 usuarios), se agotará el tiempo. Este problema se resolverá pronto.
Durante el aprovisionamiento, cuando hace clic en los botones Abandonar, Continuar y Habilitar sincronización en la página Habilitar sincronización, el estado del grupo no cambia inmediatamente en la interfaz de usuario. Esta limitación es engañosa ya que las acciones se llevan a cabo en el backend.

Solución alternativa: Evite hacer clic dos veces en los botones y compruebe el estado del clúster después de unos segundos. Verá que el estado del grupo cambia de Acción requerida a Procesamiento. Este problema se abordará pronto.
Actualmente, la funcionalidad Habilitar sincronización deja de responder cuando la red de Unified Communications Manager está fuera de servicio.

Solución alternativa: Comuníquese con el soporte del TAC de Cisco para deshabilitar el servicio de directorio. Espere un minuto y vuelva a iniciar la configuración del servicio de directorio. Este problema se solucionará en la próxima versión.
Durante el aprovisionamiento, la lista de detalles del grupo no se completa debido a problemas de sincronización con el Servicio de Identidad común de Webex. Se recomienda que los usuarios abandonen el aprovisionamiento y vuelvan a intentarlo después de un tiempo.
Si está configurando la sincronización de directorios nuevamente en un grupo aprovisionado, es aconsejable que incluya a Webex Calling - Dedicated Instance Business Unit en el proceso.

Gracias por sus comentarios.