本地部署的 XenMobile® 与 Active Directory 的交互

内联交互

1. LDAP 配置。 Active Directory 本身的配置会导致与 Active Directory 的交互。XenMobile Server 尝试通过使用 Active Directory 验证信息来验证信息。服务器通过使用提供的互联网协议、端口和服务帐户凭据来执行此操作。成功的绑定表示连接已正确配置。
2. 基于组的交互。
   1. 在基于角色的访问控制 (RBAC) 和交付组定义创建期间搜索一个或多个组。XenMobile Server 管理员在 XenMobile 控制台中输入搜索文本字符串。XenMobile Server 在选定的域中搜索所有包含所提供子字符串的组。然后，XenMobile Server 检索在搜索中识别的组的 objectGUID、sAMAccountName 和 Distinguished Name 属性。
      注意：
      此信息未存储在 XenMobile Server 数据库中。

   2. RBAC 和部署组定义的添加或更新。XenMobile Server 管理员根据之前的搜索选择感兴趣的 Active Directory 组，并将其包含在部署组定义中。XenMobile Server 在 Active Directory 中逐个搜索特定组。XenMobile Server 搜索 objectGUID 属性并检索选定的属性，包括成员资格信息。组的成员资格信息有助于确定检索到的组与 XenMobile Server 数据库中现有用户或组之间的成员资格。组的成员资格更改会导致受影响用户成员的 RBAC 和部署组派生，从而产生用户权限。
      注意：
      部署组定义的更改可能导致受影响用户的应用程序或策略权限发生更改。

   3. 一次性 PIN (OTP) 邀请。 XenMobile Server 管理员从 XenMobile Server 数据库中存在的 Active Directory 组列表中选择一个组。对于此组，所有直接和间接用户都将从 Active Directory 中检索。OTP 邀请将发送给在上一步中识别的用户。
      注意：
      前面三种交互意味着基于组的交互是根据 XenMobile Server 配置更改触发的。当配置没有更改时，这些交互意味着没有与 Active Directory 的交互。它们还意味着不需要后台作业定期捕获组方面的更改。

3. 基于用户的交互
   1. **用户身份验证：**用户身份验证工作流会产生与 Active Directory 的两次交互：
      • 用于使用提供的凭据对用户进行身份验证。
      • 将选定的用户属性（包括 objectGUID、Distinguished Name、sAMAccountName 和组的直接成员身份）添加或更新到 XenMobile Server 数据库。组员身份的更改会导致重新评估应用程序、策略和访问权限。
      用户可以从设备或 XenMobile Server 控制台进行身份验证。在这两种情况下，与 Active Directory 的交互都遵循相同的行为。
   2. **应用商店访问和刷新：**商店刷新会导致用户属性（包括直接组成员身份）的刷新。此操作允许重新评估用户权限。
   3. **设备签入：**管理员可以在 XenMobile 控制台中配置定期设备签入。每次设备签入时，都会刷新相应的用户属性，包括直接组成员身份。这些签入允许重新评估用户权限。
   4. **按组发送 OTP 邀请：**XenMobile Server 管理员从 XenMobile Server 数据库中存在的 Active Directory 组列表中选择一个组。直接和间接（由于嵌套）的用户成员将从 Active Directory 中检索并保存到 XenMobile Server 数据库中。OTP 邀请将发送给上一步中确定的用户成员。
   5. **按用户发送 OTP 邀请：**管理员在 XenMobile 控制台中输入搜索文本字符串。XenMobile Server 查询 Active Directory 并返回与输入文本字符串匹配的用户记录。然后管理员选择要发送 OTP 邀请的用户。XenMobile Server 从 Active Directory 中检索用户详细信息，并在向用户发送邀请之前更新数据库中的相同详细信息。

后台交互

1. 组同步作业。此作业的目的是一次查询一个 Active Directory 中相关组，以查找 distinguished name 或 sAMAccountName 属性的更改。对 Active Directory 的搜索查询使用相关组的 objectGUID，以获取 distinguished name 和 sAMAccountName 属性的当前值。相关组的 distinguished name 或 sAMAccountName 值的更改将更新到数据库中。
   注意：
   此作业不更新用户到组的成员身份信息。

2. 嵌套组同步作业。此作业更新相关组的嵌套层次结构中的更改。XenMobile Server 允许相关组的直接和间接成员获取授权。用户的直接成员身份在基于用户的内联交互期间更新。此作业在后台运行，跟踪间接成员身份。间接成员身份是指用户是一个组的成员，而该组又是相关组的成员。
   此作业从 XenMobile Server 数据库中收集 Active Directory 组列表。这些组是部署组或 RBAC 定义的一部分。对于此列表中的每个组，XenMobile Server 获取该组的成员。组的成员是表示用户和组的 distinguished name 列表。
   XenMobile Server 再次查询 Active Directory，以仅获取相关组的用户成员。这两个列表之间的差异仅提供相关组的组成员。成员组中的更改将更新到数据库中。对层次结构中的所有组重复相同的过程。
   嵌套的更改导致处理受影响用户的授权更改。
3. 禁用用户检查。此作业仅在 XenMobile 管理员创建检查禁用用户的操作时运行。此作业在组同步作业的范围内运行。此作业查询 Active Directory，一次检查一个相关用户的禁用状态。

常见问题

• 组同步作业从当地时间 02:00 开始，每五小时运行一次。
• 嵌套组同步作业每天在当地时间午夜运行一次。

• Active Directory 中用户记录的 memberOf 属性提供了用户是其直接成员的组列表。如果组从一个 OU 移动到另一个 OU，memberOf 属性会反映 distinguished name 的最新值。XenMobile Server 数据库也具有上次刷新的值。组的 distinguished name 中的任何不匹配都可能导致用户失去对部署组的访问权限。用户还可能失去与该部署组关联的应用程序和策略。
• 后台作业使 XenMobile Server 数据库中的组 distinguished name 属性保持最新，以确保用户可以访问其授权。
• 同步作业每五小时调度一次，因为假定 Active Directory 中的组更改不常见。

• 如果您知道相关组不会从一个 OU 更改到另一个 OU，则可以关闭作业。

• Active Directory 中组的嵌套更改并非每天都会发生。相关组的嵌套层次结构更改会导致受影响用户的权限发生更改。当一个组被添加到层次结构中时，其成员用户将获得相应的角色权限。当一个组移出嵌套时，该组的成员用户可能会失去对基于角色的权限的访问。
• 用户刷新期间不会捕获嵌套更改。由于嵌套更改无法按需进行，因此通过后台作业捕获这些更改。
• 嵌套更改被认为不常见，因此后台作业每天运行一次以检查任何更改。

• 如果您知道相关组不会发生嵌套更改，则可以关闭作业。