從 Microsoft Active Directory 到 Domino Directory 的遷移與集成

在一個企業或者組織當中，由于歷史原因擁有多個企業目錄平臺是很常見的，而如何讓多種目錄服務相互協作或同步、盡量減少管理員的維護工作量、降低用戶使用當中的復雜度，對企業信息系統而言非常重要。IBM Lotus Domino Directory 和 Microsoft Active Directory 作為常用的兩種目錄服務器產品經常同時出現在企業應用環境當中。很多公司在 Active Directory 的目錄服務基礎之上建立了文件共享以及很多其他基于 Microsoft Windows 的應用程序，而后又引入了 IBM Lotus Domino 作為企業郵件、信息協作和辦公自動化的平臺。如何將這兩種企業目錄集成、如何進行取舍，要根據現有系統的具體情況和企業未來發展需求進行確定。以下是三種常見的從 Active Directory 到 Domino Directory 的遷移與集成方法，每種方法都適合不同的企業環境。

方法一：從 Microsoft Active Directory 到 IBM Lotus Domino Directory 的完全遷移

如果依賴于原有 Active Directory 服務器的應用不是很多，或者應用程序完全基于 LDAP 標準而不依賴于某種具體的目錄服務器，那么可以考慮將原有 Active Directory 目錄服務器當中的用戶和組等信息完全遷移到 Domino 目錄服務器當中。IBM Lotus Domino Directory 通過 Lotus Domino Administrator 管理工具支持對 LDAP 的遷移。

打開 Lotus Domino Administrator 客戶端，連接到 Domino 服務器，選擇 Users and Groups 頁面，在右側的 Tools 欄中選擇 People >Register, 進入 Register Person 對話框（參考圖 3）。

點擊  Migrate People 按鈕，進入 People and Groups Migration 對話框，對于外部目錄源選項的配置可以有兩種選擇：一種是從 Foreign directory source 列表直接選擇 Active Directory, 在彈出的對話框中選擇要遷移的 Active Directory Domain, 然后單擊 OK（參考圖 4）；

圖 4. 以 Active Directory 作為目錄源直接對用戶和組進行遷移

如果出現找不到可用的 Active Directory Domain 的提示，則可以從 Foreign directory source 列表選擇 LDAP，在彈出的 LDAP Domino Upgrade Service 對話框中配置遠程 LDAP 目錄連接進行遷移（參考圖 5）。

圖 5. 通過標準 LDAP 形式對 Active Directory 當中的用戶和組進行遷移

在返回 People and Groups Migration 對話框后，根據需要在 Filter 下拉框中選擇用戶或組，然后單擊 GO！ 按鈕，這時 Available people/groups 列表將顯示出 Active Directory 目錄當中待遷移的所有內容選項（參考圖 6）。使用“Add”或者“Add All”按鈕選擇要遷移的用戶和組，單擊“Migrate”按鈕將選擇的用戶放入注冊隊列，在彈出的消息框中確認等待注冊的用戶狀態和數量后，單擊“Done”按鈕確認。

圖 6. 個人和群組遷移對話框

這時 Active Directory 目錄中組的相關信息已經被直接添加到 Domino 目錄當中，隊列中等待注冊的用戶此時出現在“Register Person”框中（參考圖 7），管理員此時可以對用戶屬性進行一定修改，在對注冊信息進行確認后，單擊“Register All”按鈕完成所遷移用戶在 Domino 服務器當中的注冊。

圖 7. 注冊用戶對話框

使用 Lotus Domino Administrator 提供的這一遷移工具，不僅可以實現從 Microsoft Active Directory 到 Domino Directory 的目錄遷移，還可以實現從任何其他 LDAP 目錄服務器向 Domino Directory 的目錄遷移。Lotus Domino Administrator 同時還支持從標準的 LDIF（LDAP Data Interchange Format）文件向 Domino Directory 的導入。

方法二：使用 Domino Directory Assistance 連接原有 Microsoft Active Directory

當依賴于原有 Active Directory 的企業應用很多，并且對目錄服務器的類型依賴性很強時，Active Directory 需要被保留下來繼續提供目錄服務。而在 Domino 服務器當中部署新的應用時，有時需要對原有 Active Directory 當中的用戶等信息進行搜索，或者使用其中的用戶名、密碼進行身份驗證，這就要求 Domino 服務器能夠對 Active Directory 當中的目錄信息進行訪問。這時 Domino 服務器可以使用 Domino Directory Assistance 來連接原有 Microsoft Active Directory 目錄服務器，實現對 Domino Directory 的擴展。“Domino Directory Assistance”是對 Domino Directory 的一種擴展方式，通過它實現了對 Domino 本地主地址本之外的其他目錄信息進行訪問的方法，每一個“Directory Assistance”配置文檔定義了所要連接的一個外部目錄服務的具體位置、訪問方式以及認證信息等具體目錄屬性。

要使用 Domino Directory Assistance 連接 Microsoft Active Directory，首先需要在 Domino 服務器端使用 da50.ntf 模版創建 Directory Assistance 數據庫。打開創建后的數據庫，添加 Directory Assistance 配置文檔，一個 Domino 服務器可以使用 Domino Directory Assistance 數據庫當中的多個配置文檔同時連接多個外部目錄。

在 Directory Assistance 配置文檔的“Basics”選項附簽上，“Domain type”項選擇“LDAP”（參考圖 8）。

圖 8. 配置 Directory Assistance 文檔“Basic”附簽

“Naming Contexts(Rules)”選項附簽上，由于在 Active Directory 中注冊的用戶的專有名稱與 Notes 命名約定不一致，所以需要使用全星號規則來表示這些用戶的專有名稱，為該規則選擇“Trusted for Credentials”是啟用了按證書信任，以便使用 Active Directory 中的用戶項進行 Internet 客戶機驗證（參考圖 9）。

圖 9. 配置 DA 文檔“命名上下文”附簽

在“LDAP”附簽設置上需要配置遠程 Active Directory 的“Hostname”、“ Port”、“Optional Authentication Credential”以及“Base DN for search”等參數（參考圖 10）。在配置的過程當中可以使用每項配置參數對應的“Suggest”或“Verify”等按鈕幫助更好的進行設置，這是 Domino 8.0 當中提供的新功能。

圖 10. 配置 DA 文檔“LDAP”附簽

設置完成后保存文檔并關閉。要使創建好的 Directory Assistance 數據庫設置生效，需要將其添加到 Domino 服務器文檔當中。從 Domino Administrator 客戶端打開 Domino 服務器，單擊“Configuration”附簽；在左側窗格中的 Server > All Server Documents 列表當中選擇特定的服務器文檔，然后單擊“Edit Server”；在“Basics”附簽“Directory Information”區段的“Directory assistance database name”域中，輸入創建好的 Directory Assistance 數據庫文件名，例如 da.nsf（參考圖 11），在對修改的 Domino 服務器文檔進行保存后需要重新啟動 Domino 服務器以使其生效。

圖 11. 在服務器文檔中設置 Directory Assistance 數據庫

設置之后，用戶便可以在 Domino 應用當中輕松的訪問 Active Directory 信息。例如可以從瀏覽器打開一個 Domino 應用程序，當提示輸入用戶名與密碼時，用戶可以使用自己的 Active Directory 用戶信息進行登陸。

Directory Assistance 數據庫除了可以用來連接 Active Directory 目錄服務器外，同樣可以連接其他基于 LDAP 協議的輕量級目錄服務器。

方法三：使用 ADSync 集成和同步兩種目錄

方法二的缺點在于需要維護兩套獨立的目錄服務，結果可能是每個用戶都需要在兩個目錄服務器當中擁有不同的用戶名和密碼，而且用戶需要在不同的應用程序之間交替使用它們，增加了用戶使用的復雜度。每當有新用戶加入，管理員都需要在兩個目錄當中分別進行注冊，同樣當用戶注銷時也需要在兩個目錄當中分別進行刪除，增加了管理員的工作量。Lotus Domino Active Directory Synchronization(ADSync) 適當的解決了這一問題，它可以實現兩套目錄當中信息的同步，在降低了管理員管理成本的同時也提高了用戶體驗。ADSync 是隨 Domino Administrator 客戶端提供的，因為不是默認安裝組件，需要用戶在安裝過程當中選擇 Domino Directory W2000 Sync Service 選項進行安裝 ( 參考圖 12)。

圖 12. 在安裝 Domino Administrator 時選擇安裝 Domino Directory W2000 Sync Service

ADSync 的操作并不復雜，安裝配置完畢后從開始菜單中打開“Active Directory Users and Computers”，雙擊“Domino Directory Synchronization”對象來啟動 ADSync 工具。提示輸入管理員密碼后會出現對話框確認啟動成功。此時，管理員通過 ADSync 來保持 Domino Directory 和 Active Directory 用戶和組的同步。完成初始化后，“Lotus ADSync Options”對話框將打開（參考圖 13），管理員可以通過以下選項進行設置：

• Notes Synchronization Options 附簽：可以使用該附簽來選擇啟動同步選項。
• Notes Settings 附簽：可以設置執行同步操作的 Domino 服務器，包括管理員 ID、刪除用戶設置、默認的認證名稱以及 Domino 組的策略等信息。
• Field Mappings 附簽：將 Active Directory 字段映射到 Domino Directory 字段。
• Container Mappings 附簽：使用該附簽將 Active Directory 容器映射到特定的 Domino 認證和策略。
• Group Mappings 附簽：使用該附簽將 Active Directory 組類型映射到 Domino 組類型策略。

圖 13. Lotus ADSync 選項對話框

通過右擊 Domino Directory synchronization 可以方便地啟用或禁用同步（參考圖 14）。

圖 14. 啟動或禁用同步

Domino Directory synchronization 正確啟用后，便可以進行 Active Directory 和 Domino Directory 的同步操作。使用 Adsync 時必須明確，哪些操作可以由 Domino 客戶端執行，哪些操作可以由 Active Directory 執行。

1、使用 Domino 客戶端

Domino 客戶端可以執行注冊用戶、刪除用戶、刪除組，重命名用戶等操作。以注冊用戶為例，操作如下：

Domino Administrator 客戶端進入注冊用戶界面 , 選中“Advanced”選項，單擊“Other”附簽，點擊“Windows User Options”按鈕進入“Add Person to Windows”對話框（參考圖 15），在這里可以進行詳細的 Active Directory 信息設置，如完整名稱、登錄名稱、所屬組名稱以及所屬容器名稱等。

圖 15. 從 Domino 添加用戶并同步到 Active Directory

2、使用 Active Directory

Active Directory 可執行的操作有：注冊用戶、刪除用戶、重命名用戶、同步用戶和組數據、創建組、刪除組、重命名組等操作。以注冊用戶為例，操作如下：

從“開始”菜單選擇“Administrative Tools –>Active Directory Users and Computers”，對 ADSync 進行初始化和設置后，在添加 Active Directory 對象時會出現“Domino Directory”選項。在“New Object”對話框中選擇“Register in Domino Directory”，并指定各個字段的信息，完成后，新對象將被同時創建在 Domino Directory 中（參考圖 16）。

圖 16. 設置從 Active Directory 添加用戶并同步到 Domino

小結

以上上種方法進行比較，方法一比較適合于對原有 Active Directory 服務依賴性不是很強的環境，遷移之后只需要維護 Domino Directory，遷移后的管理工作最簡單，工作量也最小，此方法同樣也適用于從 Active Directory 之外的其他 LDAP 服務器向 Domino Directory 的遷移。第二種方法需要維護兩套地址本，但保證了新舊應用系統的共存，在 Domino 應用中可以輕松訪問 Active Directory 目錄信息，此方法同樣適用于其他 LDAP 服務器與 Domino 目錄服務的集成。第三種方法仍然需要維護兩套地址本，但由于 ADSync 提供的同步功能，使得這種維護更為簡單。