#02# SCCM規(guī)劃 - Active Directory整合

SCCM規(guī)劃 - Active Directory集成

本篇文章主要對(duì)Active Directory集成進(jìn)行討論。

集成帶來(lái)的益處

在ConfigMgr部署中，可以將CofigMgr和現(xiàn)有的Active Directory進(jìn)行集成，但集成并非強(qiáng)制要求，下面我們主要說(shuō)明與Active Directory整合會(huì)帶來(lái)益處：

• 集成可以保證域中計(jì)算機(jī)在安裝ConfigMgr客戶端時(shí)，直接通過(guò)Active Directory來(lái)讀取所有安裝所需的必要參數(shù)，免去了我們手動(dòng)指定參數(shù)的麻煩；

• 目標(biāo)計(jì)算機(jī)只有在安裝ConfigMgr客戶端并成功指派到一個(gè)ConfigMgr站點(diǎn)后，才能參與到SCCM的層級(jí)中正常運(yùn)作，而與AD集成之后，客戶端可以通過(guò)AD獲取站點(diǎn)指派所需的必要信息進(jìn)而自動(dòng)指派到一個(gè)站點(diǎn)中；

• 在客戶端需要獲取MP信息時(shí)，可以先通過(guò)Active Directory檢索MP的信息，無(wú)需通過(guò)DNS或者WIN的方式獲??；

• 客戶端可以在AD中直接讀取到站點(diǎn)通訊使用的端口信息以及檢索在PKI架構(gòu)中的客戶端證書(shū)選擇條件等信息。

集成的限制

ConfigMgr支持的客戶端部署場(chǎng)景：

• ConfigMgr客戶端是域成員，站點(diǎn)服務(wù)器和ConfigMgr客戶端同屬一個(gè)Active Directory林：此場(chǎng)景受Active Directory集成的支持；

• ConfigMgr客戶端是域成員，站點(diǎn)服務(wù)器和ConfigMgr客戶端不在同一個(gè)Active Directory林： 此場(chǎng)景受Active Directory集成的支持，但需要將ConfigMgr發(fā)布至ConfigMgr客戶端所在的Active Directory林；

• ConfigMgr客戶端是工作組成員：此場(chǎng)景不受Active Directory集成的支持。

• 非Windows客戶端環(huán)境：此場(chǎng)景不受Active Directory集成的支持。

集成Active Directory前置條件

對(duì)于與Active Directory集成，目標(biāo)Active Directoey必須滿足以下兩個(gè)條件：

• 站點(diǎn)服務(wù)器所在的域功能級(jí)別至少需要是Windows Server 2000，這對(duì)于我們現(xiàn)在的大多數(shù)Active Directory來(lái)說(shuō)，基本都是滿足這個(gè)條件的，如果達(dá)不到要求，可以先將Active Directory先進(jìn)行林/域功能級(jí)別的提升；

這個(gè)等級(jí)不能支持所有集成功能，如：Active Directory林發(fā)現(xiàn)；要支持所有功能，則必須是Windows Server 2003及以上的域功能級(jí)別

• 目標(biāo)Active Directory架構(gòu)必須得到擴(kuò)展。

集成Active Directory所需的權(quán)限

和其他擴(kuò)展架構(gòu)操作類似，ConfigMgr要求擴(kuò)展架構(gòu)時(shí)所使用的賬號(hào)必須是"Schema管理員"。

新Active Directory類描述

在擴(kuò)展Active Directory架構(gòu)的過(guò)程中，ConfigMgr會(huì)創(chuàng)建以下4個(gè)新LDAP類（Class）以及14個(gè)新屬性（Attribute）：

類

屬性

所有ConfigMgr擴(kuò)展的Active Directory屬性名稱都以"mS-SMS"開(kāi)始。

發(fā)布ConfigMgr

一旦集成Active Directory后，ConfigMgr可以將其站點(diǎn)定義、邊界組、管理點(diǎn)等信息發(fā)布到站點(diǎn)服務(wù)器所在的Active Directory域中；

發(fā)布的位置位于"域分區(qū)"下的"CN=System Management,CN=System"這個(gè)"container"對(duì)象中。

發(fā)布ConfigMgr所需的權(quán)限

發(fā)布ConfigMgr至Active Directory可以使用：

• "Active Directory林發(fā)現(xiàn)"賬號(hào)

• 站點(diǎn)服務(wù)器計(jì)算機(jī)賬號(hào)

無(wú)論使用哪一個(gè)，都必須對(duì)CN=System Management,CN=System這個(gè)對(duì)象有"完全控制"權(quán)限。

為讀者提煉SCCM涉及的基礎(chǔ)知識(shí)、注意事項(xiàng)、運(yùn)行機(jī)制以及排錯(cuò)方法等信息是本系列文章的初衷，對(duì)于SCCM各組件及功能部署步驟方面的信息，網(wǎng)絡(luò)中已有較多文章可以參考，因此本系列文章并不側(cè)重于提供類似Step-by-Step的部署指南。