Verzeichnis-Agent einrichten

Der Agent läuft als Windows-Dienst auf einem Mitgliedsserver der Domäne. Auf dem Domänencontroller selbst gehört er nicht hin.

Voraussetzungen

Ein Windows-Server, der Mitglied der Domäne ist. Ausgehend erreichbar muss sein: der Domänencontroller über LDAPS auf Port 636 und Conbool über HTTPS auf Port 443. Eingehend ist nichts zu öffnen.

Das Konto, unter dem der Dienst läuft, braucht Leserechte im Verzeichnis. Für den Änderungsabgleich im Active Directory kommen drei Erweiterungsrechte am Domänenkopf dazu, siehe Active Directory.

Beitrittsschlüssel erzeugen

Unter Einstellungen, Verzeichnis, Verzeichnis-Agent einen Agenten anlegen und ihm den Namen des Servers geben, auf dem er laufen soll. Conbool erzeugt dazu einen Beitrittsschlüssel.

Der Schlüssel trägt die Zieladresse in sich. Dasselbe Installationspaket passt deshalb sowohl für Conbool in der Cloud als auch für eine Installation im eigenen Rechenzentrum.

Installieren

Das Installationspaket steht auf derselben Seite zum Herunterladen bereit. Der Assistent fragt allein nach dem Beitrittsschlüssel, alles Weitere ermittelt er selbst.

Wer den Weg von Hand gehen will, nutzt die Unterbefehle des Programms:

conbool-agent preflight conbool-agent enroll --key cb1.… conbool-agent install

preflight prüft die Voraussetzungen und meldet jeden Punkt einzeln, bevor irgendetwas eingerichtet wird. enroll meldet den Agenten mit dem Beitrittsschlüssel an. install richtet den Dienst mit verzögertem Autostart ein und trägt einen Wiederanlauf ein, falls er unerwartet endet. Entfernt wird er mit uninstall.

Der Dienst schreibt sein Ergebnis in die Ereignisanzeige, ein Lauf ist dort mit Zahlen nachvollziehbar.

Zuschnitt festlegen

Der Zuschnitt bestimmt, wen der Agent liest: die Bereiche des Verzeichnisses, einen zusätzlichen Filter, den Umgang mit deaktivierten Konten, die Erkennung von Funktionspostfächern und die Attributzuordnung.

Nach jeder Änderung am Zuschnitt führt der Agent zunächst einen Probelauf aus und schreibt nichts. Der Probelauf zeigt, wie viele Personen entstehen, wie viele sich ändern und wie viele entfallen würden. Erst nach der Freigabe schreibt und löscht der Agent wieder.

Takt und Abgleich von Hand

Der Takt legt fest, wie oft der Agent nach Änderungen sieht. Einmal täglich gleicht er zusätzlich den vollständigen Bestand ab, unabhängig vom Takt. Der Knopf "Jetzt abgleichen" gibt dem Agenten den Auftrag mit, sobald er sich das nächste Mal meldet, ohne dass jemand auf dem Server etwas tun muss.

Löschgrenze

Entfielen in einem Lauf mehr als zehn Prozent der Personen, schreibt der Agent nichts und meldet den Lauf als angehalten. Ein falsch gesetzter Bereich oder ein zeitweise unvollständiges Verzeichnis löscht so nicht den halben Bestand. Nachdem geprüft ist, dass die Personen tatsächlich entfallen sind, gibt eine Freigabe den Lauf frei.

Aktualisierung

Der Agent holt sich neue Fassungen selbst. Vor dem Austausch startet er die geladene Fassung einmal und prüft ihre Nummer, damit ein unbrauchbares Paket den laufenden Dienst nicht ersetzt. Die vorherige Fassung bleibt daneben liegen.

Widerruf

Ein widerrufener Agent kann sich nicht mehr anmelden und braucht einen neuen Beitrittsschlüssel. Bereits übertragene Personen bleiben unverändert stehen.

Mehrere Agenten

Je Mandant sind mehrere Agenten zugelassen, etwa für zwei Domänen oder zwei Standorte. Jeder Agent führt seinen eigenen Bereich und räumt den der anderen nicht ab. Ein Nebeneinander von Entra ID und lokalem Active Directory ist ebenfalls zugelassen.