SCCM規劃 - Active Directory集成
本篇文章主要對Active Directory集成進行討論。
集成帶來的益處
在ConfigMgr部署中,可以將CofigMgr和現有的Active Directory進行集成,但集成並非強制要求,下面我們主要說明與Active Directory整合會帶來益處:
-
集成可以保證域中計算機在安裝ConfigMgr客戶端時,直接通過Active Directory來讀取所有安裝所需的必要參數,免去了我們手動指定參數的麻煩;
-
目標計算機只有在安裝ConfigMgr客戶端併成功指派到一個ConfigMgr站點後,才能參與到SCCM的層級中正常運作,而與AD集成之後,客戶端可以通過AD獲取站點指派所需的必要信息進而自動指派到一個站點中;
-
在客戶端需要獲取MP信息時,可以先通過Active Directory檢索MP的信息,無需通過DNS或者WIN的方式獲取;
- 客戶端可以在AD中直接讀取到站點通訊使用的端口信息以及檢索在PKI架構中的客戶端證書選擇條件等信息。
集成的限制
ConfigMgr支持的客戶端部署場景:
-
ConfigMgr客戶端是域成員,站點服務器和ConfigMgr客戶端同屬一個Active Directory林:此場景受Active Directory集成的支持;
-
ConfigMgr客戶端是域成員,站點服務器和ConfigMgr客戶端不在同一個Active Directory林: 此場景受Active Directory集成的支持,但需要將ConfigMgr發佈至ConfigMgr客戶端所在的Active Directory林;
-
ConfigMgr客戶端是工作組成員:此場景不受Active Directory集成的支持。
- 非Windows客戶端環境:此場景不受Active Directory集成的支持。
集成Active Directory前置條件
對於與Active Directory集成,目標Active Directoey必須滿足以下兩個條件:
- 站點服務器所在的域功能級別至少需要是Windows Server 2000,這對於我們現在的大多數Active Directory來說,基本都是滿足這個條件的,如果達不到要求,可以先將Active Directory先進行林/域功能級別的提升;
這個等級不能支持所有集成功能,如:Active Directory林發現;要支持所有功能,則必須是Windows Server 2003及以上的域功能級別
- 目標Active Directory架構必須得到擴展。
集成Active Directory所需的權限
和其他擴展架構操作類似,ConfigMgr要求擴展架構時所使用的賬號必須是"Schema管理員"。
新Active Directory類描述
在擴展Active Directory架構的過程中,ConfigMgr會創建以下4個新LDAP類(Class)以及14個新屬性(Attribute):
類
LDAP類 | 描述 |
---|---|
Management points | ConfigMgr客戶端通過此類型查找管理點 |
Roaming boundary | ConfigMgr通過此類型定位本地網絡位置中的ConfigMgr服務 |
Server locator points(SLPs) | ConfigMgr 2007客戶端使用此類型查找SLP,此類型雖在Active Directory架構中創建,但並未在ConfigMgr 2012中實際使用,SLP相關功能已經整合進管理點,SLP也不再試一個獨立的站點系統角色 |
ConfigMgr sites | ConfigMgr客戶端可以通過此類型檢索關於站點的其他重要信息 |
屬性
所有ConfigMgr擴展的Active Directory屬性名稱都以"mS-SMS"開始。
發佈ConfigMgr
一旦集成Active Directory後,ConfigMgr可以將其站點定義、邊界組、管理點等信息發佈到站點服務器所在的Active Directory域中;
發佈的位置位於"域分區"下的"CN=System Management,CN=System"這個"container"對象中。
發佈ConfigMgr所需的權限
發佈ConfigMgr至Active Directory可以使用:
-
"Active Directory林發現"賬號
- 站點服務器計算機賬號
無論使用哪一個,都必須對CN=System Management,CN=System這個對象有"完全控制"權限。
爲讀者提煉SCCM涉及的基礎知識、注意事項、運行機制以及排錯方法等信息是本系列文章的初衷,對於SCCM各組件及功能部署步驟方面的信息,網絡中已有較多文章可以參考,因此本系列文章並不側重於提供類似Step-by-Step的部署指南。