Active Directory-Synchronisierung - Forschungs- und Ingenieurstudio
Laufzeit-KonfigurationWie starte oder stoppe ich die Synchronisierung manuell (Version 2025.03 und höher)Wie führe ich die Synchronisierung manuell aus (Version 2024.12 und 2024.12.01)SSO-Konfiguration

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Active Directory-Synchronisierung

Laufzeit-Konfiguration

Alle CFN-Parameter, die sich auf Active Directory (AD) beziehen, sind während der Installation optional.

Form for optional Active Directory configuration details with multiple input fields.

Stellen Sie für jeden geheimen ARN, der zur Laufzeit bereitgestellt wird (z. B. ServiceAccountCredentialsSecretArn oderDomainTLSCertificateSecretArn), sicher, dass Sie dem Secret die folgenden Tags hinzufügen, damit RES die Berechtigungen zum Lesen des geheimen Werts erhält:

  • Schlüssel:res:EnvironmentName, Wert: <your RES environment name>

  • Schlüssel:res:ModuleName, Wert: directoryservice

Alle AD-Konfigurationsaktualisierungen im Webportal werden bei der nächsten geplanten AD-Synchronisierung (stündlich) automatisch übernommen. Benutzer müssen SSO möglicherweise neu konfigurieren, nachdem sie die AD-Konfiguration geändert haben (z. B. wenn sie zu einem anderen AD wechseln).

Nach der Erstinstallation können Administratoren die AD-Konfiguration im RES-Webportal auf der Identitätsverwaltungsseite einsehen oder bearbeiten:

Active Directory domain configuration settings with fields for domain details and synchronization options.
Active Directory Synchronization form with fields for configuration settings.

Zusätzliche Einstellungen

Filter

Administratoren können die zu synchronisierenden Benutzer oder Gruppen mithilfe der Optionen Benutzerfilter und Gruppenfilter filtern. Die Filter müssen der LDAP-Filtersyntax folgen. Ein Beispielfilter ist:

(sAMAccountname=<user>)

Benutzerdefinierte SSSD-Parameter

Administratoren können ein Wörterbuch mit Schlüssel-Wert-Paaren bereitstellen, das SSSD-Parameter und Werte enthält, um sie in den [domain_type/DOMAIN_NAME] Abschnitt der SSSD-Konfigurationsdatei auf Cluster-Instances zu schreiben. RES wendet die SSSD-Updates automatisch an — es startet den SSSD-Dienst auf Clusterinstanzen neu und löst den AD-Synchronisierungsprozess aus. Eine vollständige Beschreibung der SSSD-Konfigurationsdatei finden Sie in den Linux-Manpages für. SSSD

SSSD configuration interface with options for ldap_id_mapping and join_active_directory.

Die SSSD-Parameter und -Werte müssen mit der RES-SSSD-Konfiguration kompatibel sein, wie hier beschrieben:

  • id_providerwird intern von RES festgelegt und darf nicht geändert werden.

  • AD-bezogene Konfigurationenldap_uri, einschließlich, ldap_default_bind_dn undldap_search_base, ldap_default_authtok werden auf der Grundlage der anderen bereitgestellten AD-Konfigurationen festgelegt und dürfen nicht geändert werden.

Im folgenden Beispiel wird die Debug-Ebene für SSSD-Protokolle aktiviert:

SSSD configuration form with ldap_id_mapping and join_active_directory set to true.

Wie starte oder stoppe ich die Synchronisierung manuell (Version 2025.03 und höher)

Navigieren Sie zur Identitätsverwaltungsseite und klicken Sie im Active Directory-Domänencontainer auf die Schaltfläche AD-Synchronisierung starten, um bei Bedarf eine AD-Synchronisierung auszulösen.

Active Directory Domain configuration settings with domain details and synchronization options.

Um eine laufende AD-Synchronisierung zu beenden, klicken Sie im Active Directory-Domänencontainer auf die Schaltfläche AD-Synchronisierung beenden.

Active Directory Domain configuration interface with synchronization in progress and domain details.

Sie können auch den AD-Synchronisierungsstatus und die letzte Synchronisierungszeit im Active Directory-Domänencontainer überprüfen.

Active Directory Domain configuration settings with domain details and synchronization options.

Wie führe ich die Synchronisierung manuell aus (Version 2024.12 und 2024.12.01)

Der Active Directory-Synchronisierungsprozess wurde vom Cluster Manager-Infrastrukturhost auf eine einmalige Amazon Elastic Container Service (ECS) -Aufgabe im Hintergrund verschoben. Der Prozess ist so geplant, dass er stündlich ausgeführt wird, und Sie können eine laufende ECS-Aufgabe in der Amazon ECS-Konsole unter dem <res-environment-name>-ad-sync-cluster Cluster finden, während sie in Bearbeitung ist.

Um ihn manuell zu starten:

  1. Navigieren Sie zur Lambda-Konsole und suchen Sie nach dem aufgerufenen Lambda. <res-environment>-scheduled-ad-sync

  2. Öffnen Sie die Lambda-Funktion und gehen Sie zu Test

  3. Geben Sie im Event-JSON Folgendes ein:

    {
    "detail-type": "Scheduled Event"
}

  4. Wählen Sie Test aus.

  5. Beachten Sie die Protokolle der laufenden AD Sync-Aufgabe unter CloudWatch→ Protokollgruppen →<environment-name>/ad-sync. Sie sehen die Protokolle aller laufenden ECS-Aufgaben. Wählen Sie die neueste Version aus, um die Protokolle anzuzeigen.

Anmerkung

  • Wenn Sie die AD-Parameter ändern oder AD-Filter hinzufügen, fügt RES die neuen Benutzer anhand der neu angegebenen Parameter hinzu und entfernt Benutzer, die zuvor synchronisiert wurden und nicht mehr im LDAP-Suchbereich enthalten sind.

  • RES kann keine Dateien entfernen user/group , die aktiv einem Projekt zugewiesen sind. Sie müssen Benutzer aus Projekten entfernen, damit RES sie aus der Umgebung entfernt.

SSO-Konfiguration

Nach der Bereitstellung der AD-Konfiguration müssen Benutzer Single Sign-On (SSO) einrichten, um sich als AD-Benutzer beim RES-Webportal anmelden zu können. Die SSO-Konfiguration wurde von der Seite „Allgemeine Einstellungen“ auf die neue Seite „Identitätsverwaltung“ verschoben. Weitere Informationen zur Einrichtung von SSO finden Sie unterIdentitätsverwaltung.