- ホーム
- /
- 投稿記事
コメントありがとうございます。
この記事の内容
フィードバックがある場合クラウドディレクトリ (Microsoft Azure AD) またはオンプレミスディレクトリ (MS AD ) から専用インスタンスクラスター (Unified CM) にユーザーを同期します。 & Cisco Unity Connection) を Webex Common Identity Service を介してコントロールハブインターフェイスを使用して接続します。
概要
クラウドディレクトリサービスを使用して、Azure ADなどのクラウドベースのディレクトリから、Unified CMやCisco Unity Connectionなどの専用インスタンスアプリケーションにユーザーを同期します。同期処理中、システムはAzure Active Directory（または同様のクラウドディレクトリサービス）からユーザーリストと関連するユーザーデータをインポートし、Webex Identity Serviceに同期します。同期するUnified CMクラスタをControl Hubから選択し、適切なUnified CMユーザーIDフィールドマッピングを選択してから、必要な同期契約を選択して同期を完了します。
前提条件
-
クラウド ディレクトリとして Azure Active Directory を使用している場合は、詳細については Control Hub で Azure AD ウィザード アプリを設定する を参照してください。
-
ディレクトリとして Microsoft Active Directory を使用している場合は、詳細については ディレクトリ コネクタの展開 を参照してください。
-
Unified CMと統合されている既存のActive Directoryシステムが、Webex Common Identityとも統合されていることを確認してください。
クラスターの詳細を表示する
コントロールハブの「管理」ページで、ユーザーデータを同期するクラスターを選択します。
この選択によりクラスタの名前、クラスタ同期のステータス、最後の同期状態、関連する製品など、クラスタの詳細も提供されます。
|
クラスタの詳細 |
説明 |
|---|---|
|
クラスタ名 |
クラスタの名前 |
|
ステータス |
同期のステータス |
|
最後の同期: |
前回の同期日 |
|
製品 |
製品の詳細 |
ディレクトリ同期
要件に応じて、Directory Connector を使用してオンプレミスの Active Directory から Control Hub にユーザーを同期するか、Azure Directory から Control Hub に直接ユーザーを同期してから、Unified CM に同期することができます。
次のいずれかを実行します。
-
Azure Directory から Control Hub へユーザーを直接同期するには、 Azure Directory からユーザーを同期する の手順に従ってください。
-
ディレクトリコネクタを使用してオンプレミスの Active Directory からコントロール ハブにユーザーを同期するには、 オンプレミスの Active Directory からユーザーを同期する 手順に従ってください。
通話サービスへの影響を最小限に抑えるため、同期処理は営業時間外に行ってください。
Azure Directory からユーザーを同期する
専用インスタンスディレクトリサービスの同期機能を使用すると、Azure ディレクトリ内のエンドユーザーデータを統合構成管理（Unified CM）データベースにインポートして、エンドユーザー構成ウィンドウに表示させることができます。
Azure Directory を使用してユーザーを同期するには:
-
Azure Active Directory ユーザー をコントロールハブに同期する必要があります。
-
ディレクトリ同期の設定 の手順に従って、Control Hub のユーザーを Cisco Unified CM に同期します。
オンプレミスのActive Directoryからユーザーを同期する
オンプレミス Active Directory の場合、ユーザーは Common Identity (CI) ディレクトリ コネクタに同期できます。
ディレクトリサービスでは、SSO（シングルサインオン）の導入のみがサポートされています。詳細については、 コントロールハブにおけるシングルサインオン統合 および SAMLベースのSSOソリューション を参照してください。
オンプレミス Active Directory からユーザーを同期するには:
-
Directory Connectorを使用して、Active Directoryユーザーを共通ID（CI）に同期します。コネクタソフトウェアはControl Hubからダウンロードして、ローカルマシンにインストールできます。詳細については、「ディレクトリ コネクタの導入ガイド」を参照してください。
-
ディレクトリ同期の設定 コントロールハブのユーザーを統合CMに同期する手順に従ってください。
ディレクトリ同期を設定する
クラスタのプロビジョニングでさらなる遅延が発生することがあります。このようなシナリオでは、このアクティビティにかなりの時間がかかりますが、プロビジョニングは引き続き行われます。
-
https://admin.webex.com/loginからコントロールハブにサインインしてください。
-
[サービス] > [Calling] > [専用インスタンス] > [管理] の順に進みます。
-
UC アプリケーションを選択し、右側のパネルにある [ディレクトリ同期を有効にする] で [設定] をクリックします。
-
フィールド マッピング設定ウィンドウで、Unified CM ユーザーの ID フィールドに選択したマッピングが、プロビジョニングを開始した後でクラスタ内のユーザーを一意に識別していることを確認します。
-
Webex からユーザーを同期させるために適切な [Unified CM ユーザー ID] フィールド マッピングを選択します。
-
Unified CMのユーザーIDフィールドは、WebexにおけるユーザーのメールアドレスIDに対応しています。
-
Unified CMのメールIDフィールドは、WebexのユーザーのメールIDに対応しています。
-
Unified CMのユーザーIDフィールドは、Webexにおけるユーザーのドメイン部分を除いたメールアドレスに対応します。
Unified CM 内の既存のユーザーアカウントに対してマッピングが正常に実行できない場合、新しいユーザーアカウントが作成されます。ユーザーのメールアドレスは、新しく作成されたユーザーアカウントの一意の識別子として使用されます。この注記はオプションに適用されます1と2。
オプション
Unified CM
Control Hub
オプション1
Unified CM のユーザー ID フィールドは、Webex のユーザーのメールアドレスにマッピングされます。
オプション 2
Unified CM のメール ID フィールドは、Webex のユーザーのメール ID にマッピングされます。
オプション3
Unified CM のユーザー ID フィールドは、Webex のユーザーのドメイン部分を除いたメールアドレス ID にマッピングされます。
-
-
[次へ] をクリックします。
-
新しい同期契約を作成するには、ドロップダウンリストから契約を選択してください。新しい同期契約が作成されると、オンプレミスディレクトリを指している既存の同期契約はすべて削除されます。新しい同期契約は作成後でも変更できます。
-
同期を開始する前に、[同意プレビュー] セクションでユーザーのリストと連絡先の詳細 (Unified Communications Manager で利用可能な既存の外部 LDAP ディレクトリの詳細) を確認します。次の詳細を表示できます。
-
グループ情報
デフォルトでは、すべてのユーザーはユーザーランク5と同期されます。これはグループ情報ウィンドウで確認できます。
-
ユニバーサル回線とデバイス テンプレートを使用して適用した機能グループ テンプレート
-
挿入されたユーザーの同期された電話番号への回線とマスクの詳細
-
新しくプロビジョニングされたユーザーと内線
-
同期する標準ユーザーフィールドのセクション。
-
ディレクトリ サーバーのホスト名または IP アドレス
次へ をクリックしてグループフィルターを選択します。
グループ情報セクションはCisco Unity Connectionには適用されないため、契約プレビューセクションには表示されません。
-
-
グループを選択 ドロップダウンリストで、同期する特定のグループを 1 つ以上選択します。すべてのユーザー グループを選択するには、[すべてのグループを選択する] チェックボックスをオンにします。
デフォルトでは、すべてのユーザーが同期されます。グループを選択しない場合、すべてのユーザーと関連するユーザー データは自動的に同期されます。
ディレクトリ内のネストされたグループの場合、ユーザーは、デフォルトで親グループに含まれていないため、特にプロビジョニング中にサブセット ユーザー グループを選択する必要があります。プロビジョニング時に必要なユーザーのみが含まれるように、重複したネスト構造（存在する場合）がないことを確認する必要があります。
同期合意への変更 (ターゲット ユーザーまたはグループの削除など) は、定期的な同期中には反映されません。そのクラスターのディレクトリサービスをリセットし、その後、新しいまたは変更された同期契約を使用してクラスターを再プロビジョニングする必要があります。Cisco TAC サポートに連絡して、必要なクラスタのディレクトリ サービスをリセットしてください。
-
[次へ] をクリックして、同期プロセスの準備をします。
-
同期を有効にする ウィンドウで、システムがユーザーデータをUnified CMの一時ストレージスペースに正常にコピーし、新しい同期契約が作成されたら（次のスクリーンショットに示す手順1と2の後）、同期を有効にします。
-
[レポートをダウンロード] オプションを使用すると、結果の一部を表示できます。Unified CM クラスタの完全なレポートを取得するには、次の CLI コマンドを実行します。file get activelog /cm/trace/CIService/log4j/DryRunResults.csv
アクセス権がない場合は、Cisco TACサポートに連絡してレポートをダウンロードしてください。
ここで、ドライランの結果は以下のとおりです。
-
新規ユーザー— ユーザーは Unified CM には存在しませんが、Webex Identity Service には存在します。ユーザーは同期を有効にした後、Unified CM で作成されます。
-
一致するユーザー— ユーザーはUnified CMとWebex Identity Serviceに存在します。これらのユーザーは、同期が完了した後も Unified CM でアクティブのままになります。
-
不一致ユーザー— ユーザーが Unified CM と Webex Identity Service の両方に存在します。同期が完了した後、Unified CMでは不一致のユーザーは非アクティブとしてマークされ、24時間操作がないと削除されます。
レポートをチェックして、同じユーザー リストを保持するか、ユーザーを追加または削除するか決定できます。決定に基づいて、[放棄] をクリックしてプロセスを停止し、プロビジョニングの変更を元に戻します。
-
-
同期契約の確認後、 Unified CM の [] プレビューをクリックしてインフラストラクチャにサインインし、新しく作成された同期契約を変更します。
グループ情報の編集のみできます。合意の名前を変更したり、詳細を変更したりすることはできません。
-
[同期を有効にする] をクリックして同期を続行します。
同期中は、完了するまでアクションを実行できません。特定のクラスタに対する同期が完了すると、ディレクトリ サービス ページではプロビジョニング状態のこのクラスタを一覧表示します。この時点で、Webex ユーザーを UC インフラストラクチャにプロビジョニングおよび同期する権限を Azure AD に与え、同期のセットアップ手順が完了しました。
新しい契約が作成されてから18時間以内に同期を有効にする必要があります。LDAP 同期ユーザーは非アクティブになり、非アクティブ状態が 24 時間続いた後に削除されます。ユーザーは Unified CM サービスにログインして使用することはできません。
特定のクラスタに対する Azure AD プロビジョニングが完了した後は、新しい同期合意を作成したり、同じクラスタの構成設定を変更したりすることはできません (グループ設定を除く)。Cisco TAC サポートに連絡してディレクトリ サービスをリセットしてください。その後、プロビジョニングのための新しい合意を作成できます。
プロビジョニング完了後、SSO 認証中に Azure IdP を使用している場合は、Azure IdP で正しいクレームを設定するようにしてください。たとえば、プロビジョニング中にユーザー ID マッピングにオプション 1 が選択されている場合、user.userprincipalname が [追加クレーム] セクションで UID として設定されていることを確認します。
周期的な同期
クラスターが正常にプロビジョニングされると、Webex Common Identity から Unified CM および Cisco Unity Connection へのユーザーデータの変更を同期する定期的な同期が毎日実行されます。定期的な同期には、お客様の介入は必要ありません。ただし、Control Hub のクラスタ詳細ページの 最終同期日時 列を確認することで、その日の定期同期が行われたかどうかを確認できます。タイムスタンプは、クラスターの定期同期が行われた時刻を反映するように更新されます。
Unified CM
Cisco Unity Connection
Unified CMまたはCisco Unity ConnectionのLDAPディレクトリ
同期処理によって、デフォルトのLDAPディレクトリが作成されます。
設定では同期が1回と表示されますが、Control HubはCommon IdentityからUnified CMまたはCisco Unity Connectionへの変更が24時間周期で行われるたびに同期します。
同期のステータスを表示する
[ディレクトリ同期ステータス] 列に同期のステータスを表示します。UC アプリケーションをクリックし、プロビジョニングのステータス、最後に同期した状態、失敗の理由 (ある場合) を示す右側パネルを表示します。ローカル タイムゾーンも選択できます。デフォルトのブラウザ タイムゾーンは選択されています。
プロビジョニングのステータス
|
プロビジョニングのステータス |
説明 |
|---|---|
|
処理中です |
プロビジョニング中です |
|
求められるアクション |
特定のクラスタで手動による介入が必要な場合は、必要な手順を実行します。
|
|
エラー |
同期の有効化ウィザードでアクションが必要な場合、必要なアクションを確認し、必要に応じて実行してください。 |
|
アクティブ |
クラスタのプロビジョニングが完了しました。 |
|
プロビジョニングされていません |
クラスタのプロビジョニングはまだ開始されていません。 |
Unity Connection のためにユーザーをインポートする
Control Hub からクラスタをプロビジョニングした後、Cisco Unity Connection の [ユーザーをインポート] から Azure AD ユーザーを手動でインポートできます。
ユーザーのインポート方法は 2 つあります。
| 1 |
Cisco Unity Connection の管理画面で、 ユーザー を展開し、 ユーザーのインポートを選択します。 |
| 2 |
[ユーザーをインポート] ページで、LDAP ディレクトリ ユーザー アカウントをインポートし、Unity Connection ユーザーを作成します。 |
| 1 |
Cisco Unity Connection の管理で、[ツール] を展開し、[一括管理ツール] を選択します。 |
| 2 |
Unity Connection ユーザーを追加するには、一括管理ツール ページで以下の手順を実行します。 |
| 3 |
インポートが完了したら、[失敗したオブジェクトのファイル名] フィールドで指定したファイルを確認し、すべてのユーザーが正常に作成されたことを確認します。 |
同期の問題のトラブルシューティング
このセクションでは、Control Hub から Unified Communications Manager データベースへのユーザーの同期のさまざまな段階で直面する可能性がある一般的な問題を解決するために必要な情報とソリューションについて説明します。
一致しないユーザー
新しい契約が作成されてから18時間以内に同期を有効にしてください。既存のユーザーは非アクティブとして表示され、非アクティブ状態が 24 時間続いた後、Unified CM から削除されます。
エラー ‐ データのコピーに失敗しました。再試行してください
-
専用インスタンスと Webex クラウド間の通信が中断したか、Webex クラウドからユーザー データを取得できません。
-
専用インスタンスと Unified CM の間の通信が中断したか、ユーザー データを Unified CM データベースにプッシュできません。
-
ユーザー データは一時ストレージの場所にコピーされません。
エラー ‐ 同期合意の作成に失敗しました。再試行してください
-
専用インスタンスと Unified CM の間の通信が中断したか、同期合意データを Unified CM データベースにプッシュできません。
-
同期契約が正常に作成されませんでした。
同期合意の詳細を取得できません。しばらくしてからお試しください。
専用インスタンスと Unified CM の間の通信が中断しています。
既知の問題と制限事項
この機能に問題がある場合、既知の問題や推奨される回避策があるかを確認します。
-
Webex Calling - 専用インスタンスのディレクトリサービスプロビジョニングは、LDAP認証では機能しません。これは、Unified CMサーバーのユーザーデータのみが同期され、パスワードは同期されないため、LDAP認証が機能しないためです。
回避策: ログインにはシングルサインオン（SSO）を使用する必要があります。本書はシングル サインオン(SSO)統合のみを取り上げています。
ユーザーが企業のIDプロバイダー経由で認証を行うようにするには、シングルサインオン（SSO）を設定してください。詳細については、 コントロールハブにおけるシングルサインオン統合 および SAMLベースのSSOソリューション を参照してください。
-
Cisco TAC サポートに連絡してディレクトリ サービスを無効にします。1分ほど待ってから、ディレクトリサービスの設定を再度開始してください。
-
削除後、同じ統合CMクラスタを組織に再度導入する場合は、まずディレクトリサービスを無効にしてから、同じクラスタを再プロビジョニングする必要があります。
Cisco TAC サポートに連絡してディレクトリ サービスを無効にします。
-
同期合意ページで、[同期を実行する間隔] と [次回の再同期時間] フィールドがアクティブと表示されますが、[同期を 1 回のみ実行] オプションが有効になっていると、Unified CM サーバーでこれらのフィールドはグレー表示されます。現在、これはWebex Callingの専用インスタンスディレクトリサービスプロビジョニング機能における制限事項であり、今後のリリースで修正される予定です。
-
Azureポータルで削除されたユーザーは、Webex Identity Serviceでは非アクティブになりますが、Unified CMではアクティブな状態として表示されます。
回避策:[管理] > [ユーザー] の順に移動して、Control Hub からユーザーを削除します。Unified CM では、ユーザーは 非アクティブ とマークされています。
-
現在、大規模な組織（ユーザー数が8万人を超える場合）向けに新しいクラスターをプロビジョニングする際に、タイムアウトが発生します。この問題はまもなく解決されます。
-
プロビジョニング中に、 [同期を有効にする] ページで 破棄、 続行、 同期を有効にする ボタンをクリックしても、ユーザー インターフェイスのクラスターの状態はすぐには変わりません。バックエンドでアクションが実行されるため、この制限は混乱を招きます。
回避策: ボタンを二度クリックしないように注意し、数秒後にクラスタの状態を確認してください。クラスターの状態が アクションが必要 から 処理中に変わることがわかります。この問題はまもなく解決されます。
-
現在、 同期を有効にする 機能は、Unified Communications Managerネットワークがダウンすると応答しなくなります。
回避策: Cisco TAC サポートに連絡してディレクトリ サービスを無効にします。1分ほど待ってから、ディレクトリサービスの設定を再度開始してください。この問題は今後のリリースで修正される予定です。
-
プロビジョニング中、Webex Common Identity サービスの同期に関する問題のためグループ詳細リストに情報が入力されません。ユーザーはプロビジョニングを中止し、しばらくしてから再度試みることをお勧めします。
-
プロビジョニング済みのクラスタでディレクトリ同期を再度設定する場合は、Webex Calling - Dedicated Instance ビジネスユニットにそのプロセスへの参加を依頼することをお勧めします。
