การ Sync ผู้ใช้จาก Microsoft AD ในองค์กรด้วย User Source

องค์กรที่ใช้ Microsoft AD (Active Directory) อยู่แล้ว ใช้ User Source แบบ Microsoft AD เพื่อดึงผู้ใช้ โครงสร้าง OU และ Security Group จาก AD เข้ามาใน Sangfor Athena SASE ตามรอบเวลาที่กำหนด ทีม IT จึงไม่ต้องสร้างผู้ใช้ซ้ำอีกชุด และใช้ Department หรือ Group ของ AD กำหนด Policy ของ ZTNA, SWG และ Data Loss Analysis ได้ทันที บทความนี้อธิบายการเตรียมความพร้อม การตั้งค่า User Source การตรวจสอบผลการ Sync และการแก้ปัญหาที่พบบ่อย สำหรับผู้ดูแลระบบที่เชื่อม Athena SASE กับ AD ในองค์กร

สิ่งที่ต้องเตรียม

• Identity Connector ที่ติดตั้งในเครือข่ายภายในและแสดงสถานะออนไลน์ (จุดสีเขียว) แล้ว เครื่องนี้ต้องเชื่อมต่อ Domain Controller ได้ (ดู การติดตั้งและดูแล Identity Connector)
• Address ของ Domain Controller (IP หรือ Hostname)
• LDAPS บน Port 636 แนะนำให้ใช้ Encryption Method แบบ SSL เพราะ Domain Controller ที่บังคับ LDAP Signing จะรับเฉพาะการเชื่อมต่อแบบเข้ารหัส การ Bind แบบไม่เข้ารหัสบน Port 389 จึงทดสอบไม่ผ่าน การใช้ SSL ต้องมี Certificate บน Domain Controller เช่น Certificate ที่ออกจาก AD CS ขององค์กร
• Service Account สำหรับ Bind แนะนำให้สร้างบัญชีแยกไว้สำหรับงานนี้โดยเฉพาะ ให้มีสิทธิ์อ่านข้อมูลผู้ใช้อย่างเดียว
• Base DN ของ OU ที่เก็บผู้ใช้ที่จะใช้งาน Athena SASE เช่น OU=Staff,DC=example,DC=local
• Department ปลายทาง สำหรับรับโครงสร้างจาก AD แนะนำให้สร้าง Department แยกไว้ก่อนใน User Management (ดู User Management)

เพิ่ม User Source แบบ Microsoft AD

1. ไปที่ Platform Management › Identity Management › User Management แล้วกด Manage User Sources
2. กด Add User Source แล้วในกลุ่ม "The following user sources are available after an identity connector is configured for them." คลิก Microsoft AD
3. หน้าต่าง Details จะเปิดขึ้น กดไอคอนดินสอข้างชื่อเพื่อตั้งชื่อ User Source ให้จำง่าย
4. กรอก Server Settings ตามตารางด้านล่าง

5. กรอก Search Settings ตามตารางด้านล่าง

6. กด Test เพื่อทดสอบการเชื่อมต่อกับ AD ด้วย Service Account ก่อนบันทึก ผลที่ถูกต้องคือข้อความ Test result: success.

7. ตรวจ Account Mapping ซึ่งจับคู่ sAMAccountName ของ AD เป็น Username บน Athena SASE ผู้ใช้จึงใช้ชื่อเดียวกับที่ใช้เข้า Windows
8. ตรวจ Attribute Mapping ซึ่งแปลงค่าจาก AD มาเป็นข้อมูลผู้ใช้ (กด Restore Defaults เพื่อกลับไปใช้ค่าตั้งต้นของฟอร์มได้)

   Expression จาก AD	Local Attribute
   sAMAccountName	Username
   displayName	Display Name
   employeeNumber	Employee Number
   title	Title
   e164(input.mobile, input.telephoneNumber, "")	Mobile Number
   email(input.mail, "")	Email

   ถ้าจะใช้ MFA แบบ Email หรือ SMS กับผู้ใช้ AD ให้กรอก Attribute mail และ mobile ของผู้ใช้ใน AD ให้ครบ

9. กรอก Sync Settings
   • Sync to Department เลือก Department ปลายทางที่จะรับผู้ใช้และโครงสร้าง OU จาก AD
   • Sync Schedule ในฟอร์มใหม่ตั้งไว้ Sync every 1 hour(s) ปรับได้ตั้งแต่ 10 นาทีถึง 7 วัน หรือเลือก Sync once every day on เพื่อ Sync วันละครั้งตามเวลาที่กำหนด (ตาม Time Zone ที่แสดงในฟอร์ม)
10. กด OK ระบบจะบันทึก เปิดใช้ User Source ให้ และถามว่าจะ Sync ทันทีหรือไม่ กด OK เพื่อดึงข้อมูลครั้งแรก

ตรวจสอบผลการ Sync

1. ที่ Manage User Sources กด Refresh การ์ดของ User Source ต้องแสดงสถานะ Enabled และ Status Normal พร้อม Scheduled Sync, Last Synced และ Identity Connector ที่ใช้

2. ที่แท็บ Departments จะเห็นโครงสร้าง OU และผู้ใช้จาก AD อยู่ใต้ Department ที่เลือกไว้ คอลัมน์ Data Source ของผู้ใช้เหล่านี้แสดงเป็น Microsoft AD

3. ถ้าเปิด User Group ไว้ ที่แท็บ User Group เลือกแหล่งที่มาเป็น Microsoft AD จะเห็น Security Group ของ AD พร้อมจำนวนสมาชิก

การดูแลหลังเริ่มใช้งาน

• เมื่อย้ายผู้ใช้ เปลี่ยน OU หรือเปลี่ยนสมาชิก Group ใน AD ข้อมูลบน Athena SASE จะเปลี่ยนตามหลัง Sync รอบถัดไป สิทธิ์ที่ให้ตาม Department หรือ Group จึงย้ายตามคนได้เอง
• การ์ดของ User Source มีปุ่ม Details, Sync, Disable และ Delete และมีลิงก์ Switch ข้างชื่อ Connector สำหรับเปลี่ยน Identity Connector ที่ใช้
• ถ้า Sync ไม่สำเร็จ ระบบบันทึกเหตุผลไว้ที่ Logs › System Logs › Platform & System (เลือก Log Source เป็น Authentication Management) เช่น "User synchronization failed." พร้อมรายละเอียดว่า Connector ของ User Source ใช้งานไม่ได้
• ตั้งการแจ้งเตือนทาง Email ได้ที่ System › Alert and Monitor › Alert Settings ในหัวข้อ O&M Alerts เช่น Department Sync Error และ Auth Connector Error (ดู การตั้งค่าการแจ้งเตือนระบบ)

ปัญหาที่พบบ่อย

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร