การ Sync ผู้ใช้จาก On-Premises Microsoft AD

บทนำ

บทความนี้อธิบายวิธีการซิงค์ผู้ใช้จาก On-Premises Microsoft AD เข้าสู่ Sangfor Access Secure (SASE) โดยใช้ IDaaS Connector ซึ่งทำให้สามารถนำเข้าโครงสร้างองค์กรและบัญชีผู้ใช้จาก AD มายังระบบ SASE เพื่อใช้ในการจัดการสิทธิ์และการพิสูจน์ตัวตน

ข้อกำหนดเบื้องต้น (Prerequisites)

• มีสิทธิ์ผู้ดูแลระบบบน Sangfor Access Secure Console
• เตรียมเครื่อง Linux (CentOS 7+, Ubuntu 16+) สถาปัตยกรรม x86_64 ขั้นต่ำ 4 vCPU / 8 GB RAM สำหรับติดตั้ง Connector
• เครื่อง Connector สามารถเข้าถึง Microsoft AD ภายใน และเชื่อมต่อออกอินเทอร์เน็ตไปยัง relay.sase.sangfor.com:443 และ cdn.idaas.sangfor.com:443 ได้
• มี Admin Account ของ Microsoft AD พร้อม Base DN ที่ถูกต้อง

ขั้นตอนการตั้งค่า (Configuration Steps)

1. สร้าง Identity Connector โดยไปที่ Platform Management > Identity Management > Authentication Policies > Mobile Users คลิก Manage Auth Sources > Manage Identity Connectors > Add ระบบจะดาวน์โหลดไฟล์ติดตั้ง Connector อัตโนมัติ
2. อัปโหลดไฟล์ idaas-connector.tar.gz ไปยังเครื่อง Linux ผ่าน SCP/SFTP แล้วแตกไฟล์ด้วยคำสั่ง tar -xf idaas-connector.tar.gz จากนั้น cp agent.secret ./agent
3. เข้าโฟลเดอร์ agent และรันคำสั่ง ./install.sh install เมื่อสำเร็จ Connector จะเปลี่ยนสถานะเป็น Online
4. (แนะนำ) ติดตั้ง Connector อีกชุดบนเครื่องที่สอง เพื่อให้ระบบสร้าง HA Cluster อัตโนมัติ (สูงสุด 5 Connectors ต่อ tenant)
5. เพิ่ม Microsoft AD User Source โดยไปที่ User Management > Departments > Manage User Sources > Add User Source > Microsoft AD
6. กำหนด Server Settings: เลือก Connector ที่สร้างไว้ ระบุ Server Address, Server Port (389 หรือ 636), Encryption Method (No/SSL/TLS), Bind Method (Admin) พร้อม Admin Account และ Admin Password
7. กำหนด Search Settings: ระบุ Base DN เช่น OU=aaa,DC=sase,DC=com, Scope, Filters สำหรับ User และ OU พร้อมเปิด Pagination ตามต้องการ
8. คลิก Test ที่ Server Connectivity เพื่อทดสอบการเชื่อมต่อ
9. กำหนด Account Mapping และ Attribute Mapping เช่น sAMAccountName ไปยัง Username, email ไปยัง Email, mobile ไปยัง Mobile Number
10. กำหนด Sync Settings: เลือก Sync to Department และเปิด Sync Schedule (เช่น ทุก 1 ชั่วโมง) แล้วคลิก OK
11. คลิก Sync ที่มุมขวาบนเพื่อ trigger การซิงค์ทันที

การตรวจสอบ (Verification)

ตรวจสอบในหน้า Departments ว่ามีผู้ใช้และโครงสร้าง OU ปรากฏตามที่ซิงค์มา และตรวจสอบสถานะ Connector ต้องเป็น Online ทั้งสองโหนด ถ้าใช้งาน HA

หมายเหตุ (Notes)

• OU parameter เป็น Required ส่วน User Group เป็น Optional
• Manual Sync เป็น Asynchronous Process ผลการซิงค์อาจไม่กลับมาทันที
• Scheduled Sync ทำงานทุก 12 ชั่วโมงโดยค่า default หากไม่กำหนดเอง
• Connector รองรับสูงสุด 5 ตัวต่อ tenant และแต่ละ Connector มีได้สูงสุด 5 instances