Teknisk oversikt over AD-synkroniseringa

1   Oppførsel

AD oppdaterast av Cerebrum på to ulike måtar:

• Fullsynk: Hent ut all informasjon frå AD, samanlikn denne med Cerebrum, og oppdater AD med det som ikkje stemmer. Denne metoden rydder opp i AD.
• Hurtigsynk: Oppdater AD med dei siste endringane i Cerebrum. Denne metoden venter på bekreftelse på at endringa vart godkjend, men elles sjekker den ikkje status i AD. Det er berre nokre av hendingane i Cerebrum som vert handtert av hurtigsynken, til dømes passordbytter.

Ulike synkroniseringar kan køyre i parallell med kvarandre utan å skape konflikt, så dei treng ikkje vente på kvarandre. Dette vil kunne trekke meir ressursar av Windows-maskina vi kommuniserer med.

2   Funksjonalitet

Synkroniseringa med AD er lik for alle objekt, men med små variasjonar.

3   Identifisering av objekt

Integrasjonen har ei knytting mellom ein entitet i Cerebrum og eit objekt i AD. Denne knyttinga gjerast i dei fleste situasjonar gjennom entitetsnamnet i Cerebrum, som brukarnamn og gruppenamn, og SAMAccountName i AD.

AD har ulike typar identifikatorar:

• SamAccountName: Dette er ein globalt unik id, og er det integrasjonen som oftast bruker som identifikator.

• DistinguishedName: Ein unik id, som består av Name, namnet på OU-et objektet ligg i og alle foreldre-OU av dette. For å kunne bruke dette krever det at integrasjonen veit nøyaktig lokasjon til objektet. Dette er ikkje alltid tilfelle og vil kunne føre til feilsituasjonar.

  Integrasjonen har av og til behov for å bruke denne id-typen som identifikator, til dømes ved handtering av gruppemedlemskap.

• Name: Dette er det lokale namnet, og er ein del av DistinguishedName. Name er lokalt unik, som betyr at det må vere unikt innanfor samme OU i AD, men det kan finnast andre objekt med samme Name i andre OU.

  For brukarar legg vi brukarnamn i Name, og ikkje personen sitt fulle namn, sidan dette ikkje er unikt nok. Dette for å unngå namnekollisjonar i AD. Det brukast likevel ikkje som ein identifikator.

• SID: Kan brukast som ein unik, universal id, men det krever at Cerebrum allereie kjenner til verdien. I tillegg vil eit objekt få ein ny SID om den slettast og opprettast på nytt. SID kan heller ikkje settast av andre enn AD sjølv.

• GUID: Kan brukast som unik, global id, men krever at Cerebrum allereie kjenner til verdien. I tillegg vil eit objekt få ein ny SID om den slettast og opprettast på nytt.

4   Feilsituasjonar

Integrasjonen kan feile av ulike årsaker:

• Cerebrum har ikkje tilgang til eit AD-objekt. Dette kan komme av at objektet er blitt flytta til eit OU utanfor Cerebrum sin kontroll, eller at Cerebrum ikkje har tilgang til å utføre ei spesifikk endring i OU-et.
• Det finnast allereie eit AD-objekt med samme id, men utanfor OU som Cerebrum har tilgang til å sjå.
• Enkelte attributtar er blitt feilkonfigurerte. Til dømes kan eit attributt ha krav på seg å peike på ein gyldig mail-database, men som ikkje lenger finnast.

5   Script

AD-synken har mulighet for å starte PowerShell-scripts på domenekontrolleren ved enkelte endringer. Se dokumentet Scripts i AD2-synk for mer informasjon og eksempler.

6   Kommunikasjonen

Cerebrum kobler til ein Windows-server i AD-miljøet den skal oppdatere gjennom WinRM-protokollen. Gjennom WinRM kan vi starte cmd, som igjen starter powershell. Det aller meste av det Cerebrum gjer i AD, gjerast med powershell, og då spesielt med ActiveDirectory-modulen til powershell.

Måten vi kommuniserer med Windows på har nokre begrensingar:

• Standard WinRM gjennom cmd har ikkje støtte for linjeskift. Dersom vi hentar eller set verdiar i AD som har linjeskift i seg vil dei forsvinne.
• Cerebrum får ikkje sende inn input gjennom stdin, men kan berre sende inn kommandoar. Dette gjer at vi ikkje kan sende informasjon til prompt, og må omgå dette på ulike vis. Cerebrum kan då ikkje køyre kommandoar som ber om detaljar gjennom popups, til dømes credentials.

Dersom du vil gjenskape hvordan AD-integrasjonen oppdaterer AD, kan du starte programmet cmd (ikke start powershell), og kjøre kommandoen:

%SystemRoot%\syswow64\WindowsPowerShell\\v1.0\powershell.exe \
    -NonInteractive -NoLogo -NoProfile -Command "Get-ADDomainController"

Obs: Om du vil kjøre kommandoen i et powershell-vindu må du vere obs på å escape en del spesialtegn, spesielt rundt powershell sin bruk av arrays.

For å omgå manglende input i prompt, starter powershell-kommandoer med noen besvergelser:

$pass = ConvertTo-SecureString -Force -AsPlainText PASSWORD;
$cred = New-Object System.Management.Automation.PSCredential(CEREBRUM, $pass);
Import-Module ActiveDirectory;
...

Dette gjør at en for AD-kommandoer kan legge ved -Credential, for eksempel:

Get-ADUser -Credential $cred USERNAME

7   Begrensingar

AD-synken er meint å vere generell og brukbar for alle instansar, så den kan difor konfigurerast ein del. Det er likevel visse begrensingar som vi har måtte sette for at den skal forbli generell og unngå å bli for kompleks:

• To spreads kan ikkje synke mot samme OU i samme domenet. Dette vil føre til at objekta vert fjerna eller deaktiverte i annankvar runde. Eitt OU i eitt domene kan berre oppdaterast av ein type objekt i Cerebrum.

• AD krever at passord settast med klartekstpassordet. Dette betyr at det ikkje er mulig å gjere ein AD-brukar aktiv om vi har sletta klartekstpassordet frå Cerebrum.

  Cerebrum lagrer vanlegvis ikkje klartekstpassord i meir enn ein kort periode etter at eit nytt passord er blitt satt, av sikkerhetsmessige hensyn. Dette gjer at brukarar som skal opprettast i AD og som ikkje har satt eit nytt passord på ei stund, må bytte passordet sitt før dei kan logge på i AD-domenet.

  Alternativ for å løyse behovet for klartekstpassord:

  • Cerebrum kan ta vare på klartekstpassordet i ein periode, fram til brukaren har blitt oppretta i AD. Ved migrering til ny AD kan dette settast opp ei stund i forvegen, for å redusere behovet for passordbytter.
  • Kreve at brukarar som skal få ny AD-tilgang må bytte passord for å få tilgang til AD.

• AD har nokre begrensingar, som er greit å vere klar over:

  • Fully Qualified Domain Name (FQDN) kan vere på maks 64 teikn. Døme på eit FQDN er: cerebrum-synk.usit.uio.no.
  • Namn på OU kan vere på maksimalt 63 teikn.
  • Security principals kan ha maksimalt 1015 gruppemedlemskap.

• Å lese ut innstillinga AccountControl, PASSWD_CANT_CHANGE, for eit objekt er tidkrevande, då dette er ikkje eit attributt som ligg i AD LDAP. Cerebrum synker difor ikkje desse verdiane anna enn ved oppretting.

• Det vil ta litt tid før oppdatert informasjon frå Cerebrum når alle domenekontrollarane i domenet. Cerebrum passer på å snakke med samme domenekontroller gjennom ein heil synk, for å unngå trøbbel med dette. Ved starten av kvar synk ber Cerebrum om ein passande DC med kommandoen Get-ADDomainController.

  Dette fører til at DC-en vi får beskjed om å bruke, vil mens synken pågår få meir last enn dei andre DC-ane, enn om vi hadde brukt AD si vanlege lastbalansering.

8   Konfigurasjon

Synkroniseringa har ein del konfigurasjon for å styre kva som skal synkast, og kva som skal gjerast i ulike tilfeller. Meir informasjon om dette finn du i dokument for konfigurasjon av AD-synk. Merk at dette dokumentet nemner ikkje alle innstillingane.

9   Feilmeldingar og varsling

Det vil kunne oppstå ein del feilsituasjonar i integrasjonen. Når dette skjer vil Cerebrum drift kunne feilsøke og eventuelt varsle dei som drifter AD. I mange situasjonar er det dei som drifter AD som kan rydde opp i problemet, sidan Cerebrum skal ha begrensa tilgang til AD. Dette skjer typisk ved rettighetsproblem, til dømes at eit AD-objekt ligg i eit OU utanfor Cerebrum sin kontroll.