Udostępnij za pośrednictwem

Konfigurowanie domeny

  • Artykuł

Windows Server »

Program Microsoft Identity Manager (MIM) współpracuje z Twoją domeną usługi Active Directory (AD). Usługa AD powinna już być zainstalowana, a w środowisku musi istnieć kontroler dla domeny, którą możesz administrować.

Ten artykuł zawiera szczegółowy opis czynności, które należy wykonać w celu przygotowania domeny do pracy obok programu MIM.

Tworzenie grup i kont użytkowników

Wszystkie składniki wdrożenia programu MIM muszą mieć własną tożsamość w domenie. Dotyczy to między innymi składników programu MIM, takich jak Service i Sync, a także SharePoint i SQL.

Uwaga

W tym przewodniku zastosowano przykładowe nazwy i wartości dotyczące firmy o nazwie Contoso. Należy je zastąpić własnymi danymi. Przykład:

  • Nazwa kontrolera domeny — corpdc
  • Nazwa domeny — contoso
  • Nazwa serwera usługi PROGRAMU MIM — corpservice
  • Nazwa serwera synchronizacji programu MIM — corpsync
  • nazwa SQL Server — corpsql
  • Hasło — Has@lo1

  1. Zaloguj się do kontrolera domeny jako administrator domeny (np. Contoso\Administrator).

  2. Utwórz następujące konta użytkowników dla usług programu MIM. Uruchom program PowerShell i wpisz poniższy skrypt PowerShell w celu zaktualizowania domeny.

    import-module activedirectory
$sp = ConvertTo-SecureString "Pass@word1" –asplaintext –force
New-ADUser –SamAccountName MIMINSTALL –name MIMINSTALL
Set-ADAccountPassword –identity MIMINSTALL –NewPassword $sp
Set-ADUser –identity MIMINSTALL –Enabled 1 –PasswordNeverExpires 1
New-ADUser –SamAccountName MIMMA –name MIMMA
Set-ADAccountPassword –identity MIMMA –NewPassword $sp
Set-ADUser –identity MIMMA –Enabled 1 –PasswordNeverExpires 1
New-ADUser –SamAccountName MIMSync –name MIMSync
Set-ADAccountPassword –identity MIMSync –NewPassword $sp
Set-ADUser –identity MIMSync –Enabled 1 –PasswordNeverExpires 1
New-ADUser –SamAccountName MIMService –name MIMService
Set-ADAccountPassword –identity MIMService –NewPassword $sp
Set-ADUser –identity MIMService –Enabled 1 –PasswordNeverExpires 1
New-ADUser –SamAccountName MIMSSPR –name MIMSSPR
Set-ADAccountPassword –identity MIMSSPR –NewPassword $sp
Set-ADUser –identity MIMSSPR –Enabled 1 –PasswordNeverExpires 1
New-ADUser –SamAccountName SharePoint –name SharePoint
Set-ADAccountPassword –identity SharePoint –NewPassword $sp
Set-ADUser –identity SharePoint –Enabled 1 –PasswordNeverExpires 1
New-ADUser –SamAccountName SqlServer –name SqlServer
Set-ADAccountPassword –identity SqlServer –NewPassword $sp
Set-ADUser –identity SqlServer –Enabled 1 –PasswordNeverExpires 1
New-ADUser –SamAccountName BackupAdmin –name BackupAdmin
Set-ADAccountPassword –identity BackupAdmin –NewPassword $sp
Set-ADUser –identity BackupAdmin –Enabled 1 -PasswordNeverExpires 1
New-ADUser –SamAccountName MIMpool –name MIMpool
Set-ADAccountPassword –identity MIMPool –NewPassword $sp
Set-ADUser –identity MIMPool –Enabled 1 -PasswordNeverExpires 1

  3. Utwórz grupy zabezpieczeń dla wszystkich grup.

    New-ADGroup –name MIMSyncAdmins –GroupCategory Security –GroupScope Global –SamAccountName MIMSyncAdmins
New-ADGroup –name MIMSyncOperators –GroupCategory Security –GroupScope Global –SamAccountName MIMSyncOperators
New-ADGroup –name MIMSyncJoiners –GroupCategory Security –GroupScope Global –SamAccountName MIMSyncJoiners
New-ADGroup –name MIMSyncBrowse –GroupCategory Security –GroupScope Global –SamAccountName MIMSyncBrowse
New-ADGroup –name MIMSyncPasswordSet –GroupCategory Security –GroupScope Global –SamAccountName MIMSyncPasswordSet
Add-ADGroupMember -identity MIMSyncAdmins -Members Administrator
Add-ADGroupmember -identity MIMSyncAdmins -Members MIMService
Add-ADGroupmember -identity MIMSyncAdmins -Members MIMInstall

  4. Dodaj nazwy SPN, aby włączyć uwierzytelnianie Kerberos dla kont usług.

    setspn -S http/mim.contoso.com Contoso\mimpool
setspn -S http/mim Contoso\mimpool
setspn -S http/passwordreset.contoso.com Contoso\mimsspr
setspn -S http/passwordregistration.contoso.com Contoso\mimsspr
setspn -S FIMService/mim.contoso.com Contoso\MIMService
setspn -S FIMService/corpservice.contoso.com Contoso\MIMService

  5. Podczas instalacji musimy dodać następujące rekordy DNS "A" do prawidłowego rozpoznawania nazw

  • mim.contoso.com punkt-corpservice fizyczny adres IP
  • passwordreset.contoso.com adres IP fizyczny usługi corpservice
  • passwordregistration.contoso.com punkt-corpservice fizyczny adres IP

Windows Server »