Chapitre 47. Activation de l'authentification à l'aide des noms de principaux d'utilisateurs AD dans l'IdM

En tant qu'administrateur Identity Management (IdM), vous pouvez autoriser les utilisateurs AD à utiliser des User Principal Names (UPN) alternatifs pour accéder aux ressources du domaine IdM. Un UPN est un login alternatif avec lequel les utilisateurs AD s'authentifient au format user_name@KERBEROS-REALM. En tant qu'administrateur AD, vous pouvez définir des valeurs alternatives pour user_name et KERBEROS-REALM, puisque vous pouvez configurer à la fois des alias Kerberos supplémentaires et des suffixes UPN dans une forêt AD.

Par exemple, si une entreprise utilise le domaine Kerberos AD.EXAMPLE.COM, l'UPN par défaut d'un utilisateur est user@ad.example.com. Pour permettre à vos utilisateurs de se connecter à l'aide de leur adresse électronique, par exemple user@example.comvous pouvez configurer EXAMPLE.COM comme UPN alternatif dans AD. Les UPN alternatifs (également connus sous le nom de enterprise UPNs) sont particulièrement pratiques si votre entreprise a récemment fait l'objet d'une fusion et que vous souhaitez fournir à vos utilisateurs un espace de noms de connexion unifié.

Les suffixes UPN ne sont visibles pour IdM que lorsqu'ils sont définis à la racine de la forêt AD. En tant qu'administrateur AD, vous pouvez définir les UPN à l'aide de l'utilitaire Active Directory Domain and Trust ou de l'outil de ligne de commande PowerShell.

Après avoir défini un nouvel UPN du côté AD, exécutez la commande ipa trust-fetch-domains sur un serveur IdM pour récupérer les UPN mis à jour. Voir S'assurer que les UPN AD sont à jour dans IdM.

L'IdM stocke les suffixes UPN d'un domaine dans l'attribut multivaleur ipaNTAdditionalSuffixes du sous-arbre cn=trusted_domain_name,cn=ad,cn=trusts,dc=idm,dc=example,dc=com.