Suporte de confiança do Active Directory do MyWorkDrive

MyWorkDrive oferece suporte à colocação em um domínio de recurso confiável do Active Directory com as seguintes limitações. SAML/SSO só funciona com relações de confiança bidirecionais. Com relações de confiança unidirecionais, os usuários só podem fazer login usando nome de usuário/senha – SAML/SSO não é compatível, pois requer a representação do usuário no domínio da conta confiável pelo servidor MWD localizado no domínio do recurso, o que não é permitido. Fundos bidirecionais são a opção preferida. Trusts bidirecionais oferecem suporte à autenticação seletiva para limitar as permissões do domínio de recurso no domínio de conta confiável e podem ser ajustados conforme necessário. *Este artigo pressupõe que as relações de confiança já estejam ativas e que todos os encaminhadores condicionais de DNS estejam em vigor.

 

Opções do servidor MyWorkDrive necessárias:

1. Grupos locais não são suportados e devem ser removidos de permissões ou compartilhamentos NTFS – Use apenas grupos de segurança de usuários baseados em domínio ou usuários.
2. Grupos de domínio no domínio de recurso que contêm usuários ou grupos no domínio confiável (grupos em um grupo) não são suportados ou necessários – adicione os grupos de domínio confiável diretamente às permissões NTFS no compartilhamento e no MyWorkDrive.
3. Para melhorar a velocidade de login, mova o domínio da conta confiável para o topo da ordem de pesquisa de domínio em cada servidor MWD (configurações, ordem de pesquisa de domínio).
4. Para melhorar as velocidades de login, um controlador de domínio de conta confiável deve ser acessível por meio de uma conexão de rede rápida e de baixa latência.

Configurações de confiança de floresta bidirecional

Nesse caso, a confiança é criada no DC de domínio de conta confiável (o cliente) apontado para o domínio de recurso (onde reside o servidor MWD). Confianças bidirecionais oferecem suporte à autenticação seletiva para limitar as permissões do domínio de recurso no domínio de conta confiável.

Com trusts bidirecionais, os usuários podem fazer login usando nome de usuário/senha ou SAML/SSO. SAML/SSO é compatível quando o Delegação é configurado para permitir que o MWD Server represente usuários em qualquer servidor de arquivos localizado no domínio do recurso.

Formatos de nome de login suportados: FWA\Nome de usuário, nome de usuário@fwa.local, SamAccountName sem domínio: “Username” – quando o domínio do usuário é adicionado ao topo do MWD Domain Search Order, Email Address (sufixos UPN alternativos).

Para os fins deste artigo, os Domínios do Active Directory são os seguintes:

Domínio de conta confiável: “FWA” FWA.local, filewebaccess.net

Domínio do recurso: MWF, MWF.local

Exemplo de configurações de confiança bidirecional:

 

 

Configurações de confiança de domínio externo unidirecional

As relações de confiança unidirecionais funcionam apenas com login de nome de usuário/senha e exigem as seguintes opções/configurações de gerenciamento:

1. É necessário que a Administração do Servidor MyWorkDrive seja realizada com uma Conta do Domínio de Conta Confiável (a conta de domínio do recurso não tem permissões para ler Usuário/Grupos de compartilhamento NTFS ao editar/criar novos compartilhamentos).
2. Para relações de confiança unidirecionais, é necessário adicionar a conta de usuário do administrador do domínio confiável que será usado para administrar o MyWorkDrive ao grupo de administradores locais no servidor MWD para permitir o login no painel de administração do MWD e gerenciar compartilhamentos
3. Para relações de confiança unidirecionais, a administração deve ser feita após o login no painel de administração do MWD para adicionar/editar compartilhamentos como a conta de administração de usuário de domínio de conta confiável

 

Nesse caso, configuramos uma relação de confiança de saída unidirecional para o domínio de recurso MWD usando uma relação de confiança de domínio externo.

Com relações de confiança unidirecionais, os usuários só podem fazer login usando nome de usuário/senha – SAML/SSO não é suportado, pois requer a representação do usuário no domínio da conta confiável pelo servidor MWD localizado no domínio do recurso, o que não é permitido.

Formatos de nome de login suportados: FWA\Nome de usuário, nome de usuário@fwa.local, SamAccountName sem domínio: “Nome de usuário” – quando o Domínio de conta confiável é adicionado ao topo da Ordem de pesquisa de domínio MWD e o nome de usuário é exclusivo em ambos os domínios.

Formatos de nome de login não suportados: endereço de e-mail, a menos que corresponda ao domínio raiz do domínio da conta (sufixos UPN alternativos não são suportados, pois não há como rotear sufixos de nome de domínio com relações de confiança de domínio externo)

Exemplo de configurações de confiança de saída unidirecional de domínio de recurso:

Isso é criado a partir da perspectiva do DC de domínio de recurso MWD para confiar no domínio de usuários.

Exemplo de configurações de confiança de entrada unidirecional de domínio de usuários:

Isso é criado a partir da perspectiva do DC de domínio de conta confiável do FWA para confiar no domínio de recurso.