Interaction de XenMobile® sur site avec Active Directory

Interactions en ligne

1. Configuration LDAP. La configuration d'Active Directory elle-même entraîne une interaction avec Active Directory. XenMobile Server tente de valider les informations en les authentifiant auprès d'Active Directory. Le serveur le fait en utilisant le protocole Internet, le port et les informations d'identification du compte de service fournis. Une liaison réussie indique que la connexion est correctement configurée.
2. Interactions basées sur les groupes.
   1. Recherche d'un ou plusieurs groupes lors de la création de la définition du contrôle d'accès basé sur les rôles (RBAC) et du groupe de livraison. L'administrateur de XenMobile Server saisit une chaîne de texte de recherche dans la console XenMobile. XenMobile Server recherche dans le domaine sélectionné tous les groupes qui contiennent la sous-chaîne fournie. Ensuite, XenMobile Server récupère les attributs objectGUID, sAMAccountName et Distinguished Name des groupes identifiés dans la recherche.
      Remarque :
      Ces informations ne sont pas stockées dans la base de données XenMobile Server.

   2. Ajout ou mise à jour de la définition du groupe de déploiement et du RBAC. L'administrateur de XenMobile Server sélectionne les groupes Active Directory pertinents en fonction de la recherche précédente et les inclut dans la définition du groupe de déploiement. XenMobile Server recherche le groupe spécifique un par un dans Active Directory. XenMobile Server recherche l'attribut objectGUID et récupère les attributs sélectionnés, y compris les informations d'appartenance. Les informations d'appartenance au groupe aident à déterminer l'appartenance entre le groupe récupéré et les utilisateurs ou groupes existants dans la base de données XenMobile Server. Les modifications de l'appartenance au groupe entraînent la dérivation du RBAC et du groupe de déploiement pour les membres utilisateurs affectés, ce qui se traduit par des droits d'utilisateur.
      Remarque :
      Les modifications apportées à la définition du groupe de déploiement peuvent entraîner une modification des droits d'application ou de stratégie pour les utilisateurs affectés.

   3. Invitations par code PIN à usage unique (OTP). L'administrateur de XenMobile Server sélectionne un groupe dans la liste des groupes Active Directory présents dans la base de données XenMobile Server. Pour ce groupe, tous les utilisateurs, directs et indirects, sont récupérés d'Active Directory. Les invitations OTP sont envoyées aux utilisateurs identifiés à l'étape précédente.
      Remarque :
      Les trois interactions précédentes impliquent que les interactions basées sur les groupes sont déclenchées en fonction des modifications de configuration de XenMobile Server. Lorsqu'il n'y a pas de modifications de la configuration, les interactions impliquent qu'il n'y a pas d'interactions avec Active Directory. Elles impliquent également qu'il n'est pas nécessaire d'exécuter des tâches en arrière-plan pour capturer les modifications côté groupe de manière périodique.

3. Interaction basée sur l'utilisateur
   1. Authentification de l'utilisateur : Le flux de travail d'authentification de l'utilisateur entraîne deux interactions avec Active Directory :
      • Utilisé pour authentifier l'utilisateur avec les informations d'identification fournies.
      • Ajouter ou mettre à jour certains attributs utilisateur dans la base de données XenMobile Server, y compris objectGUID, Distinguished Name, sAMAccountName et l'appartenance directe aux groupes. Les modifications de l'appartenance aux groupes entraînent une réévaluation des droits d'application, de stratégie et d'accès.
      L'utilisateur peut s'authentifier soit depuis l'appareil, soit depuis la console XenMobile Server. Dans les deux scénarios, l'interaction avec Active Directory respecte le même comportement.
   2. Accès et actualisation de l'App Store : Une actualisation du magasin entraîne une actualisation des attributs utilisateur, y compris les appartenances directes aux groupes. Cette action permet une réévaluation des droits de l'utilisateur.
   3. Enregistrements d'appareils : Les administrateurs peuvent configurer dans la console XenMobile les enregistrements d'appareils sur une base périodique. Chaque fois qu'un appareil est enregistré, les attributs utilisateur correspondants sont actualisés, y compris les appartenances directes aux groupes. Ces enregistrements permettent une réévaluation des droits de l'utilisateur.
   4. Invitations OTP par groupe : L'administrateur XenMobile Server sélectionne un groupe dans la liste des groupes Active Directory présents dans la base de données XenMobile Server. Les membres utilisateurs directs et indirects (en raison de l'imbrication) sont récupérés d'Active Directory et enregistrés dans la base de données XenMobile Server. Les invitations OTP sont envoyées aux membres utilisateurs identifiés à l'étape précédente.
   5. Invitations OTP par utilisateur : L'administrateur saisit une chaîne de texte de recherche dans la console XenMobile. XenMobile Server interroge Active Directory et renvoie les enregistrements utilisateur qui correspondent à la chaîne de texte saisie. L'administrateur sélectionne ensuite l'utilisateur auquel envoyer l'invitation OTP. XenMobile Server récupère les détails de l'utilisateur d'Active Directory et met à jour ces mêmes détails dans la base de données avant d'envoyer l'invitation à l'utilisateur.

Interactions en arrière-plan

1. Tâche de synchronisation de groupe. Le but de cette tâche est d'interroger l'Active Directory, groupe par groupe, sur les groupes d'intérêt pour détecter les modifications des attributs de nom unique (distinguished name) ou de sAMAccountName. La requête de recherche vers l'Active Directory utilise l'objectGUID du groupe d'intérêt pour obtenir les valeurs actuelles des attributs de nom unique (distinguished name) et de sAMAccountName. Les modifications des valeurs de nom unique (distinguished name) ou de sAMAccountName pour les groupes d'intérêt sont mises à jour dans la base de données.
   Remarque :
   Cette tâche ne met pas à jour les informations d'appartenance des utilisateurs aux groupes.

2. Tâche de synchronisation de groupes imbriqués. Cette tâche met à jour les modifications dans la hiérarchie d'imbrication des groupes d'intérêt. XenMobile Server permet aux membres directs et indirects d'un groupe d'intérêt d'obtenir des droits. L'appartenance directe des utilisateurs est mise à jour lors des interactions en ligne basées sur l'utilisateur. Exécutée en arrière-plan, cette tâche suit les appartenances indirectes. Les appartenances indirectes se produisent lorsqu'un utilisateur est membre d'un groupe qui est lui-même membre d'un groupe d'intérêt.
   Cette tâche collecte la liste des groupes Active Directory à partir de la base de données XenMobile Server. Ces groupes font partie soit du groupe de déploiement, soit de la définition RBAC. Pour chaque groupe de cette liste, XenMobile Server obtient les membres du groupe. Les membres d'un groupe sont une liste de noms uniques (distinguished names) qui représentent à la fois des utilisateurs et des groupes.
   XenMobile Server effectue une autre requête vers Active Directory pour obtenir uniquement les membres utilisateurs du groupe d'intérêt. La différence entre les deux listes ne donne que les membres du groupe pour le groupe d'intérêt. Les modifications dans les groupes membres sont mises à jour dans la base de données. Le même processus est répété pour tous les groupes de la hiérarchie.
   Les modifications d'imbrication entraînent le traitement des utilisateurs affectés pour les changements de droits.
3. Vérification des utilisateurs désactivés. Cette tâche s'exécute uniquement lorsque l'administrateur XenMobile crée une action pour vérifier les utilisateurs désactivés. La tâche s'exécute dans le cadre d'une tâche de synchronisation de groupe. La tâche interroge Active Directory pour vérifier le statut désactivé des utilisateurs d'intérêt, un utilisateur à la fois.

FAQ

• Les tâches de synchronisation de groupe s'exécutent toutes les cinq heures à partir de 02h00, heure locale.
• Les tâches de synchronisation de groupes imbriqués s'exécutent une fois par jour à minuit, heure locale.

• L'attribut memberOf d'un enregistrement utilisateur dans l'Active Directory fournit la liste des groupes dont l'utilisateur est un membre direct. Si un groupe est déplacé d'une unité d'organisation (OU) à une autre, l'attribut memberOf reflète la dernière valeur du nom unique (distinguished name). La base de données XenMobile Server contient également la dernière valeur actualisée. Toute non-concordance dans les noms uniques (distinguished names) du groupe peut entraîner la perte d'accès de l'utilisateur au groupe de déploiement. L'utilisateur peut également perdre les applications et les stratégies associées à ce groupe de déploiement.
• La tâche en arrière-plan maintient l'attribut de nom unique (distinguished name) du groupe à jour dans la base de données XenMobile Server pour garantir que les utilisateurs ont accès à leurs droits.
• Les tâches de synchronisation sont planifiées toutes les cinq heures car il est supposé que les modifications de groupe au sein de l'Active Directory sont rares.

• Vous pouvez désactiver les tâches lorsque vous savez que les groupes concernés ne changent pas d'une unité d'organisation à une autre.

• Les modifications d'imbrication de groupes dans l'Active Directory ne sont pas quotidiennes. Les modifications de la hiérarchie d'imbrication des groupes concernés entraînent des modifications des droits des utilisateurs affectés. Lorsqu'un groupe est ajouté à la hiérarchie, ses utilisateurs membres obtiennent les rôles respectifs. Lorsqu'un groupe sort de l'imbrication, les utilisateurs membres du groupe peuvent perdre l'accès aux droits basés sur les rôles.
• Les modifications d'imbrication ne sont pas capturées lors de l'actualisation des utilisateurs. Étant donné que les modifications d'imbrication ne peuvent pas être à la demande, elles sont capturées via une tâche d'arrière-plan.
• Les modifications d'imbrication sont supposées être rares et, par conséquent, la tâche d'arrière-plan s'exécute une fois par jour pour vérifier les modifications.

• Vous pouvez désactiver les tâches lorsque vous savez que les modifications d'imbrication ne se produisent pas pour les groupes concernés.