Integracja usług katalogowych za pośrednictwem Webex Common Identity dla dedykowanej instancji

Omówienie

Synchronizuj użytkowników z katalogu w chmurze, takiego jak Azure AD, z aplikacjami Dedicated Instance, takimi jak Unified CM i Cisco Unity Connection, za pomocą usługi Cloud Directory Service. Podczas synchronizacji system importuje listę użytkowników i skojarzone dane użytkowników z usługi Azure Active Directory (lub podobnej usługi Cloud Directory), które są synchronizowane z usługą Webex Identity Service. Wybierz klaster Unified CM z Control Hub do synchronizacji, wybierz odpowiednie mapowanie pola identyfikatora użytkownika Unified CM, a następnie wybierz wymaganą umowę synchronizacji, aby dokończyć synchronizację.

Wymagania wstępne

Jeśli używasz usługi Azure Active Directory jako katalogu w chmurze, zapoznaj się z tematem Konfigurowanie aplikacji Azure AD Wizard w Control Hub, aby uzyskać więcej informacji.
Jeśli używasz usługi Microsoft Active Directory jako katalogu, zapoznaj się z tematem Wdrażanie łącznika katalogu, aby uzyskać więcej informacji.
Łącznik usług katalogowych — uwagi dotyczące wydania
Upewnij się, że istniejące systemy Active Directory zintegrowane z Unified CM zostaną również zintegrowane z Webex Common Identity.

Wyświetlanie szczegółów klastra

Na stronie Zarządzaj w Control Hub wybierz klaster, z którym chcesz synchronizować dane użytkownika.

Ten wybór powoduje również dostarczenie szczegółów klastra, takich jak nazwa klastra, stan synchronizacji klastra, stan ostatniej synchronizacji i powiązany produkt.

Szczegóły klastra	Opis
Nazwa klastra	Nazwa klastra
Stan	Stan synchronizacji
Ostatnia synchronizacja	Data ostatniej synchronizacji
Produkt	Szczegóły produktu

Synchronizacja książki telefonicznej

W zależności od potrzeb możesz synchronizować użytkowników z lokalnej usługi Active Directory do usługi Control Hub przy użyciu narzędzia Directory Connector lub bezpośrednio z usługi Azure Directory do usługi Control Hub, a następnie synchronizować ich z usługą Unified CM.

Wykonaj jedną z następujących czynności:

Aby bezpośrednio synchronizować użytkowników z usługi Azure Directory z usługą Control Hub, wykonaj procedurę Synchronizuj użytkowników z usługi Azure Directory.
Aby zsynchronizować użytkowników z lokalnej usługi Active Directory z usługą Control Hub przy użyciu narzędzia Directory Connector, wykonaj procedurę Synchronizuj użytkowników z lokalnej usługi Active Directory.

Synchronizację należy przeprowadzać poza godzinami pracy firmy, aby zminimalizować jej wpływ na jakość połączeń telefonicznych.

Synchronizacja użytkowników z usługi Azure Directory

Synchronizacja usługi Dedicated Instance Directory Service umożliwia importowanie danych użytkowników końcowych z katalogu Azure do bazy danych Unified CM w taki sposób, aby były wyświetlane w oknie konfiguracji użytkownika końcowego.

Aby zsynchronizować użytkowników przy użyciu usługi Azure Directory:

Musisz zsynchronizować użytkowników usługi Azure Active Directory z usługą Control Hub.
Wykonaj procedurę Konfiguruj synchronizację katalogów, aby zsynchronizować użytkowników w Control Hub z Cisco Unified CM.

Synchronizuj użytkowników z lokalnej usługi Active Directory

Użytkownicy usługi Active Directory w siedzibie mogą być synchronizowani z usługą Common Identity (CI) przy użyciu łącznika usług katalogowych.

W przypadku usługi katalogowej obsługiwana jest wyłącznie obsługa logowania jednokrotnego (SSO). Więcej informacji można znaleźć w artykułach Integracja logowania jednokrotnego w Control Hub i Rozwiązanie logowania jednokrotnego oparte na SAML.

Aby zsynchronizować użytkowników z usługi Active Directory w siedzibie:

Synchronizuj użytkowników usługi Active Directory ze wspólną tożsamością (CI) przy użyciu narzędzia Directory Connector. Oprogramowanie łącznika można pobrać z Control Hub i zainstalować na komputerze lokalnym. Więcej informacji można znaleźć w Przewodniku wdrażania łącznika usług katalogowych.
Wykonaj procedurę opisaną w sekcji Konfigurowanie synchronizacji katalogów, aby zsynchronizować użytkowników w Control Hub z Unified CM.

Konfigurowanie synchronizacji katalogu

Czasami mogą wystąpić dodatkowe opóźnienia w aprowizacji klastra. W takich scenariuszach aprowizacja będzie nadal wykonywana, chociaż to działanie wymaga określonego czasu.

Zaloguj się do Centrum sterowania pod adresem https://admin.webex.com/login.
Wybierz kolejno pozycje Usługi > Calling > Dedykowane wystąpienie > Zarządzaj.
Wybierz aplikację UC i kliknij pozycję Konfiguracja w obszarze Aktywuj synchronizację katalogu w prawym panelu.
W oknie konfiguracji mapowania pól upewnij się, że mapowanie wybrane dla pola identyfikatora użytkownika w usłudze Unified CM jednoznacznie identyfikuje użytkownika w klastrze po rozpoczęciu aprowizacji.

Wybierz odpowiednie mapowanie pola identyfikatora użytkownika w usłudze Unified CM, aby zsynchronizować użytkownika z usługi Webex:

Pole identyfikatora użytkownika w Unified CM jest odwzorowywane na identyfikator e-mail użytkownika w Webex.
Pole identyfikatora e-mail w Unified CM jest odwzorowywane na identyfikator e-mail użytkownika w Webex.
Pole identyfikatora użytkownika w Unified CM jest odwzorowywane na identyfikator e-mail użytkownika bez domeny w Webex.

Jeśli mapowania nie uda się pomyślnie wykonać dla istniejącego konta użytkownika w Unified CM, zostanie utworzone nowe konto użytkownika. Adres e-mail użytkownika jest używany jako unikalny identyfikator nowo utworzonego konta użytkownika. Ta uwaga dotyczy opcji 1 i 2.

Opcje

Unified CM

Control Hub

Opcja 1

Pole identyfikatora użytkownika w Unified CM jest mapowane na identyfikator e-mail użytkownika w Webex

Wariant 2

Pole identyfikatora e-mail w Unified CM jest mapowane na identyfikator e-mail użytkownika w Webex

Opcja 3

Pole identyfikatora użytkownika w Unified CM jest mapowane na identyfikator e-mail bez części domeny użytkownika w Webex

Kliknij przycisk Dalej.
Wybierz umowę z listy rozwijanej, aby utworzyć nową umowę synchronizacyjną. Po utworzeniu nowej umowy synchronizacyjnej wszystkie istniejące umowy synchronizacyjne wskazujące na katalog lokalny zostaną usunięte. Możesz zmienić nową umowę synchronizacyjną po jej utworzeniu.
Przed rozpoczęciem synchronizacji przejrzyj (w sekcji Podgląd uzgodnienia) listę użytkowników i dane kontaktowe (szczegóły istniejącego zewnętrznego katalogu LDAP dostępne w usłudze Unified Communications Manager). Można wyświetlić następujące szczegółowe informacje:
- Informacje o grupie
  
  Domyślnie wszyscy użytkownicy są synchronizowani z rangą użytkownika 5. Można to sprawdzić w oknie Informacje o grupie.
- Zastosowany szablon grupy funkcji z uniwersalnymi szablonami linii i urządzeń
- Szczegóły linii i masek dotyczących synchronizowanych numerów telefonów dla wstawianych użytkowników
- Nowo aprowizowani użytkownicy i ich numery wewnętrzne
- Sekcja Standardowe pola użytkownika przeznaczone do synchronizacji.
- Nazwa hosta lub adres IP serwera usługi katalogowej
Kliknij Dalej, aby wybrać filtr grupy.

Sekcja Informacje o grupie nie dotyczy Cisco Unity Connection i dlatego nie jest widoczna w sekcji Podgląd umowy.
Z listy rozwijanej Wybierz grupy wybierz jedną lub więcej konkretnych grup, które chcesz zsynchronizować. Jeśli chcesz wybrać wszystkie grupy użytkowników, kliknij pole wyboru Zaznacz wszystkie grupy.

Domyślnie synchronizowani są wszyscy użytkownicy. Jeśli nie wybierzesz żadnej grupy, zostaną automatycznie zsynchronizowani wszyscy użytkownicy i ich powiązane dane.

W przypadku grup zagnieżdżonych w katalogu użytkownicy muszą specjalnie wybrać grupę użytkowników podzbioru podczas aprowizacji, ponieważ nie są oni domyślnie dołączani do grupy nadrzędnej. Należy sprawdzić, czy nie występuje powtarzające się zagnieżdżenie (jeśli takie występuje), aby mieć pewność, że podczas provisionowania uwzględnieni zostaną tylko wymagani użytkownicy.

Wszelkie modyfikacje uzgodnienia synchronizacji, na przykład usunięcie użytkownika docelowego lub grupy docelowej, nie będą propagowane podczas synchronizacji okresowej. Konieczne jest zresetowanie usługi katalogowej dla danego klastra, a następnie ponowne dostarczenie klastrowi nowej lub zmodyfikowanej umowy synchronizacji. Aby zresetować usługę katalogową dla wymaganego klastra, skontaktuj się z pomocą techniczną Cisco TAC.
Kliknij przycisk Dalej, aby przygotować proces synchronizacji.
W oknie Włącz synchronizację włącz synchronizację po pomyślnym skopiowaniu danych użytkownika do tymczasowej przestrzeni dyskowej w Unified CM i utworzeniu nowej umowy synchronizacyjnej (po wykonaniu kroków 1 i 2, jak pokazano na poniższym zrzucie ekranu).
Opcja Pobierz raport umożliwia częściowe przeglądanie wyników. Aby pobrać pełne raporty dotyczące klastra Unified CM, wykonaj następujące polecenie CLI: file get activelog /cm/trace/CIService/log4j/DryRunResults.csv

Jeśli nie masz dostępu, skontaktuj się z pomocą techniczną Cisco TAC, aby pobrać raport.

Oto wynik próby na sucho:
- Nowi użytkownicy— użytkownicy nie są obecni w Unified CM, ale są obecni w usłudze Webex Identity Service. Ci użytkownicy są tworzeni w usłudze Unified CM po włączeniu synchronizacji.
- Dopasowani użytkownicy— użytkownicy są obecni w Unified CM i Webex Identity Service. Ci użytkownicy będą nadal aktywni w usłudze Unified CM po zakończeniu synchronizacji.
- Niezgodni użytkownicy— Użytkownicy są obecni w Unified CM i Webex Identity Service. Niezgodni użytkownicy zostaną oznaczeni jako nieaktywni w Unified CM po zakończeniu synchronizacji i usunięci po 24 godzinach braku aktywności.
Możesz sprawdzić raport i zdecydować, czy chcesz zachować tę samą listę użytkowników oraz czy dodać lub usunąć użytkowników. W zależności od decyzji kliknij przycisk Porzuć, aby zatrzymać proces i cofnąć zmiany aprowizacji.
Po sprawdzeniu umowy synchronizacyjnej kliknij Podgląd w Unified CM, aby zalogować się do infrastruktury i zmienić nowo utworzoną umowę synchronizacyjną.

Możesz edytować tylko informacje o grupie. Nie możesz zmienić nazwy uzgodnienia ani zmodyfikować żadnych szczegółów.
Kliknij pozycję Włącz synchronizację, aby kontynuować synchronizację.

Podczas synchronizacji nie będzie można wykonywać żadnych czynności, dopóki się ona nie zakończy. Kiedy synchronizacja określonego klastra zostanie zakończona, na stronie Usługa katalogowa klaster ten będzie wyświetlony na liście ze stanem Aprowizowano. W tym momencie usługa Azure AD została pomyślnie autoryzowana do aprowizacji i synchronizacji użytkowników Webex w infrastrukturze UC, a kroki konfigurowania synchronizacji zostały ukończone.

Synchronizację należy włączyć w ciągu 18 godzin od utworzenia nowej umowy. Zsynchronizowani użytkownicy LDAP stają się nieaktywni i są usuwani po 24 godzinach braku aktywności. Użytkownicy nie będą mogli się zalogować ani korzystać z usług Unified CM.

Po ukończeniu aprowizacji usługi Azure AD dla określonego klastra nie można tworzyć żadnych nowych uzgodnień synchronizacji ani modyfikować żadnych ustawień konfiguracji dla tego samego klastra, z wyjątkiem ustawień grupy. Aby zresetować usługę katalogową, skontaktuj się z pomocą techniczną Cisco TAC. Wtedy będzie możliwe utworzenie nowego uzgodnienia na potrzeby aprowizacji.

Jeśli używasz dostawcy tożsamości Azure (Azure IdP) podczas uwierzytelniania SSO po pomyślnej aprowizacji, upewnij się, że skonfigurowano odpowiednie oświadczenia w usłudze Azure IdP. Na przykład podczas aprowizacji, jeśli dla mapowania identyfikatorów użytkowników wybrano opcję 1, upewnij się, że w sekcji Dodatkowe oświadczenia jako identyfikator UID ustawiono user.userprincipalname.

Synchronizacja okresowa

Po pomyślnym skonfigurowaniu klastra codziennie wykonywana jest okresowa synchronizacja, która ma na celu zsynchronizowanie wszelkich zmian w danych użytkownika z Webex Common Identity do Unified CM i Cisco Unity Connection. Do okresowej synchronizacji nie jest wymagana Twoja interwencja. Można jednak sprawdzić, czy w danym dniu miała miejsce okresowa synchronizacja, obserwując kolumnę Ostatnia synchronizacja o na stronie Szczegóły klastra w Centrum sterowania. Znak czasu jest aktualizowany, aby odzwierciedlać czas, w którym nastąpiła okresowa synchronizacja klastra.

Unified CM

Cisco Unity Connection

Katalog LDAP w Unified CM lub Cisco Unity Connection

Domyślny katalog LDAP jest tworzony w procesie synchronizacji.

Mimo że ustawienia pokazują synchronizację raz, Control Hub synchronizuje się po zmianach cyklu 24-godzinnego między Common Identity a Unified CM lub Cisco Unity Connection.

Wyświetl status synchronizacji

Stan synchronizacji jest widoczny w kolumnie stanu synchronizacji katalogu. Kliknij aplikację UC, aby wyświetlić panel po prawej stronie, który pokazuje stan aprowizacji, stan ostatniej synchronizacji oraz przyczynę niepowodzenia, jeśli miało miejsce. Możesz także wybrać lokalną strefę czasową. Wybrano domyślną strefę czasową przeglądarki.

Stan aprowizacji

Stan aprowizacji	Opis
Przetwarzanie	Trwa aprowizacja
Wymagana czynność	Podejmij niezbędne kroki, jeśli dla konkretnego klastra wymagana jest jakakolwiek ręczna interwencja. Jeśli chcesz kontynuować lub porzucić synchronizację po przebiegu próbnym. Po utworzeniu nowego uzgodnienia sprawdź, czy pojawiły się jakieś powiadomienia, i w razie potrzeby wykonaj niezbędne czynności.
Błąd	Jeśli w kreatorze Włącz synchronizację występuje jakaś wymagana czynność, sprawdź ją i w razie potrzeby podejmij konieczne działania.
Aktywny	Aprowizacja klastra została zakończona.
Niewdrożone	Aprowizacja klastra jeszcze się nie rozpoczęła.

Importowanie użytkowników dla Unity Connection

Użytkowników usługi Azure AD można importować ręcznie przy użyciu opcji Importuj użytkowników w Cisco Unity Connection po dokonaniu aprowizacji klastra w Control Hub.

Istnieją dwie następujące metody importowania użytkowników:

Utwórz użytkowników Unity Connection z danych katalogu LDAP za pomocą narzędzia Importuj użytkowników

W administracji Cisco Unity Connection rozwiń Użytkownicy i wybierz Importuj użytkowników.

Na stronie Importuj użytkowników zaimportuj konta użytkowników Katalogu LDAP, aby utworzyć użytkowników usługi Unity Connection.

Wybierz Katalog LDAP w polu Znajdź użytkowników końcowych w.
Wybierz szablon, na którym bazuje nowy użytkownik.
Określ Alias, Imię lub Nazwisko kont użytkowników Katalogu LDAP, które chcesz zaimportować.
Zaznacz pola wyboru obok kont użytkowników, które chcesz zaimportować, i wybierz pozycję Importuj wybrane.

Utwórz użytkowników Unity Connection z danych katalogu LDAP za pomocą narzędzia do administrowania zbiorczego

W sekcji administrowania Cisco Unity Connection rozwiń menu Narzędzia i wybierz pozycję Narzędzie administracji zbiorczej.

Aby dodać użytkowników Unity Connection, wykonaj następujące kroki na stronie Narzędzie administracji zbiorczej:

W obszarze „Wybierz operację” wybierz pozycję Eksportuj.
W obszarze „Wybierz typ obiektu” wybierz pozycję Użytkownicy z Katalogu LDAP.
Wprowadź wartości we wszystkich wymaganych polach.
Wybierz przycisk Przekaż.

Spowoduje to utworzenie pliku CSV z danymi użytkowników Katalogu LDAP. Otwórz plik CSV w aplikacji arkusza kalkulacyjnego lub edytorze tekstu i edytuj dane zgodnie z potrzebami. Następnie należy zaimportować te dane z pliku CSV.
W obszarze „Wybierz operację” wybierz pozycję Utwórz.
W obszarze „Wybierz typ obiektu” wybierz pozycję Użytkownicy ze skrzynką pocztową.
Wprowadź wartości we wszystkich wymaganych polach.
Wybierz przycisk Przekaż.

Po zakończeniu importowania przejrzyj plik określony w polu Nazwa pliku obiektów zakończonych niepowodzeniem, aby sprawdzić, czy wszyscy użytkownicy zostali utworzeni pomyślnie.

Rozwiązywanie problemów z synchronizacją

W tej sekcji przedstawiono informacje i wskazówki pomocne przy rozwiązywaniu niektórych typowych problemów, które mogą wystąpić podczas różnych etapów synchronizacji użytkowników z Control Hub do bazy danych Unified Communications Manager.

Niedopasowani użytkownicy

Włącz synchronizację w ciągu 18 godzin od utworzenia nowej umowy. Istniejący użytkownicy są oznaczani jako nieaktywni i są usuwani z usługi Unified CM po 24 godzinach braku aktywności.

Błąd: kopiowanie danych nie powiodło się. Spróbuj ponownie

Komunikacja między dedykowanym wystąpieniem a chmurą Webex jest zakłócona lub nie można pobrać danych użytkowników z chmury Webex.
Komunikacja między dedykowanym wystąpieniem a usługą Unified CM jest zakłócona lub nie można wypchnąć danych użytkowników do bazy danych Unified CM.
Dane użytkowników nie są kopiowane do tymczasowego miejsca do przechowywania.

Błąd: nie udało się utworzyć uzgodnienia synchronizacji. Spróbuj ponownie

Komunikacja między dedykowanym wystąpieniem a usługą Unified CM jest zakłócona lub nie można wypchnąć danych uzgodnienia synchronizacji do bazy danych Unified CM.
Umowa synchronizacyjna nie została pomyślnie utworzona.

Nie można pobrać szczegółów uzgodnienia synchronizacji. Spróbuj ponownie za jakiś czas.

Komunikacja między dedykowanym wystąpieniem a usługą Unified CM jest zakłócona.

Znane problemy i ograniczenia

Jeśli masz problem z tą funkcją, sprawdź, czy jest to coś, o czym już wiemy i czy istnieje zalecane obejście.

Usługa katalogowa Webex Calling - Dedicated Instance nie współpracuje z uwierzytelnianiem LDAP, ponieważ synchronizowane są tylko dane użytkownika, a nie hasła dla serwera Unified CM. W związku z tym uwierzytelnianie LDAP nie działa.

Obejście problemu: Do logowania należy używać funkcji logowania jednokrotnego (SSO). Ten dokument dotyczy tylko integracji z jednokrotnym logowaniem (SSO).

Skonfiguruj logowanie jednokrotne (SSO), jeśli chcesz, aby użytkownicy uwierzytelniali się za pośrednictwem dostawcy tożsamości przedsiębiorstwa. Więcej informacji można znaleźć w artykułach Integracja logowania jednokrotnego w Control Hub i Rozwiązanie logowania jednokrotnego oparte na SAML.
Skontaktuj się z pomocą techniczną Cisco TAC, aby wyłączyć usługę katalogową. Poczekaj minutę, a następnie ponownie rozpocznij konfigurację usługi katalogowej.
Po usunięciu, w przypadku gdy zechcesz ponownie włączyć ten sam klaster Unified CM do organizacji, musisz najpierw wyłączyć usługę katalogową, a następnie ponownie skonfigurować ten sam klaster.

Skontaktuj się z pomocą techniczną Cisco TAC, aby wyłączyć usługę katalogową.
Na stronie uzgodnienia synchronizacji pola Wykonuj synchronizację co i Następna ponowna synchronizacja wyglądają na aktywne. Jednak pola te są wyszarzone na serwerze Unified CM, gdy jest włączona opcja Przeprowadź synchronizację tylko raz. Obecnie jest to ograniczenie funkcji udostępniania usługi Webex Calling - Dedicated Instance Directory Service, które zostanie naprawione w kolejnej wersji.
Użytkownicy usunięci w portalu Azure stają się nieaktywni w usłudze Webex Identity Service, ale wydają się być aktywni w usłudze Unified CM.

Obejście problemu: Wybierz kolejno pozycje Zarządzanie > Użytkownicy i usuń użytkownika w Control Hub. Użytkownik jest oznaczony jako Nieaktywny w Unified CM.
Podczas tworzenia nowych klastrów dla większych organizacji (powyżej 80 000 użytkowników) występuje obecnie problem przekroczenia limitu czasu. Ten problem zostanie wkrótce rozwiązany.
Podczas inicjowania, po kliknięciu przycisków Porzuć, Kontynuuji Włącz synchronizację na stronie Włącz synchronizację, stan klastra nie zmienia się natychmiast w interfejsie użytkownika. To ograniczenie jest mylące, ponieważ te działania odbywają się na zapleczu.

Obejście problemu: Unikaj dwukrotnego klikania przycisków i po kilku sekundach sprawdź stan klastra. Zobaczysz, że status klastra zmieni się z Wymagane działanie na Przetwarzanie. Ten problem zostanie wkrótce rozwiązany.
Obecnie funkcjonalność Włącz synchronizację przestaje odpowiadać, gdy sieć Unified Communications Manager jest wyłączona.

Obejście: Skontaktuj się z pomocą techniczną Cisco TAC, aby wyłączyć usługę katalogową. Poczekaj minutę, a następnie ponownie rozpocznij konfigurację usługi katalogowej. Ten problem zostanie rozwiązany w nadchodzącej wersji.
Podczas aprowizacji lista szczegółów grupy nie jest wypełniana z powodu problemów z synchronizacją z usługą Webex Common Identity. Użytkownikom zaleca się porzucenie provisioningu i ponowienie próby po pewnym czasie.
Jeśli ponownie konfigurujesz synchronizację katalogów w klastrze z obsługą aprowizacji, zaleca się zaangażowanie w ten proces jednostki biznesowej Webex Calling - Dedicated Instance.

Dziękujemy za opinię.