第十章 CUCM用户账户.docxVIP

CUCM用户账户用户账户类型End Users（终端用户）：终端用户和用户个人相关联，并拥护交互式登入功能。Application Users（应用用户）：应用用户是与应用相关联的用户，用户在使用某种应用时，需要想CUCM进行认证才能使用这些应用。用户权限级别CUCM可以为终端用户和应用用户分配用户特权级别。管理员可以通过一下两个步骤来配置用户特权级别：User groups：用户相似特权级别的终端用户和应用用户的集合。Roles：指某个应用的资源。每个角色都专指某一个应用，而每个应用都有一个或者多个资源。管理员要在角色配置中，针对每个应用资源来分别配置访问特权。然后把角色分配到用户组中。CUCM中有很多的默认角色，这些默认的角色称为standard role。如下图：CUCM中也有很多的默认的用户组，这些组称为标准用户组，如下图：用户管理管理员可以通过一下的方法来实施CUCM中的用户管理：CUCM Administration：直接在UC服务器中进行管理，适合少量的用户管理。BAT（批处理）：管理可以使用BAT工具来插入、更新和删除大量用户。LDAP：使用专门的目录服务器（例如Windows Server AD）来同步CUCM中的用户账户。在使用LDAPv3时，可以使用LDAPv3的同步功能和LDAPv3的认证功能：LDAPv3同步：将目录服务器中的用户账户直接复制到CUCM的数据库中。当启用的LDAPv3同步功能后，管理员是不能通过CUCM Administration工具来修改用户数据的。只能在目录服务器中进行修改，然后同步给CUCM数据库。LDAPv3认证：启用LDAPv3的认证功能后，除了密码以外的用户信息是会从目录服务器复制到CUCM数据库的，而密码是保留在目录服务器上的。轻量级目录访问协议（LDAP）管理员可以使用LDAP在目录服务器上集中化管理用户账户，CUCM支持一下目录服务器：Microsoft AD；Netscape；iPlanet；Sun ONECUCM支持两种类型的LDAPv3集成：LDAPv3同步；LDAPv3认证；注：应用用户不会受LDAPv3集成影响。管理员还是要通过CUCM Administration页面来配置应用用户，而且应用用户的数据总是存储在CUCM配置数据库中。Cisco Dirsync进程用于同步用户属性。LDAPv3同步不允许管理员通过CUCM Administration页面添加或者删除用户。终端用户的添加和删除行为只能在目录服务器中执行。用户及其相关的个人信息会由LDAPv3复制到CUCM中，用户的个人参数在CUCM中多数为只读属性，但是用户的密码和CUCM设置必须在CUCM Administration中完成。同步协议（synchronization Agreements）：LDAPv3在Microsoft AD中是以完全同步（完整更新）的方式来更新CUCM数据库的，而其他的目录服务器都是使用的增量更新的方式。同步协议必须使用相同的方式来更新，在同一个CUCM集群里，不运行Microsoft AD与其他的LDAPv3目录服务器之间执行同步。CUCM服务器中的user ID必须和一个LDAPv3用户属性（例如，uid、mail、telephoneNumber等）相映射，而且这个识别符在所有用户中必须是唯一的。LDAPv3服务器中的sn数量后必须填入相应的数据，否则该条记录就不会被导入，如果在向CUCM数据库中导入终端账户时，所使用的主要属性与CUCM数据库中的应用用户想比匹配，那么导入过程就会跳过该用户。实验：创建不同管理级别的终端用户账户实验目的：创建两个不同的管理账户，一个拥有所有权限，一个拥有只读权限。实验步骤：Step 1：进入Cisco Unified CM Administration页面Step 2：选择Users ManagementEnd UserStep 3：按下表创建两个用户账户User IDPasswordPINLast NameUser01ccie12345LabUser02ccie12345LabStep 4：返回上级菜单，并点击Find来查看上一步创建的两个账户。Step 5：进入User managementUser Group页面，点击Find来查看系统中默认的用户组。Step 6：选择Standard CCM Super Users用户组。Step 7：在组配置界面里，选择Add End Users to Group来添加一个或者多个用户账户。Step 8：点击Permission来查看用户账户的权限。Step 9：将User02从Standard CCM Super Users组中删除，并用同样的方法加入到Standard CCM Rea