当应用程序对使用 Active Directory (AD) 的 LDAP 服务器进行同步的时候，同步的任务只对 LDAP 最近修改的数据进行同步而不是对整个数据库进行同步。因为是增量同步，在第一次完整同步完成后，后续的同步效率就非常高而且同步时间也非常短。
在另外一个方面，这个同步方法也会有一些限制：
- 从 Scope 外移动或者重命名对象将会在 AD 中导致问题：如果你从 AD 中移动对象到 scope 外，将会导致缓存和服务器上的用户数据不一致。我们不建议你使用外部 LDAP 目录界面来移动对象到 scope 外的子树。如果你对 LDAP 服务器进行了结构上的修改，我们建议你手动同步 LDAP 服务器来保持数据的完整性。
- 不支持在 AD 服务器之间同步：Microsoft Active Directory 在不同实例之间不会复制 uSNChanged 属性。基于这个原因，我们不支持在连接 AD 服务器之间进行同步（你可以定义多个 AD 服务器，然后在 Confluence 中配置多个 AD 服务器）。
- 不支持配置在负载均衡后的 AD 同步：针对 2 个不同的 AD 服务器，Microsoft Active Directory 在不同实例之间不会复制 uSNChanged 属性。基于这个原因 AD 服务器不能配置负载均衡，因为 2 个 AD 的实例的名字是不一样的。你可以在你本地配置一个 AD 服务器而避免使用负载均衡。
- 当你从备份中恢复 AD 后，你必须重启你的 Confluence 服务器： 在一个 AD 服务器的备份和恢复过程中，uSNChanged 时间戳将会被设置为备份的时间。为了避免冲突和混乱，你需要在 AD 服务器进行备份和恢复后刷新你本地 Confluence 服务器上的缓存。
- 获得 AD 删除的对象，你需要管理员权限：Active Directory 存储删除的对象在一个特殊的容器中，这个容器被称为 cn=Deleted 对象。在默认的情况下，访问这个对象，你需要具有管理员权限，因此在同步删除用户的时候，你也需要有管理员权限和管理员的用户名和密码才可以访问到。可选的是，你可以修改 cn=Deleted 对象容器的权限。如果你希望这这样做，请参考 this Microsoft KB article 中的文章。
- 连接 AD 使用的 DN 用户名必须具有查看 uSNChanged 属性的权限：同步任务依赖 uSNChanged 属性来找到相关的修改。因此你必须正确配置 AD 的安全用户组配置，来让这个属性能够在 LDAP 对象和子树中存在。
https://www.cwiki.us/display/CONFLUENCEWIKI/User+Management+Limitations+and+Recommendations
Comments