EMS通过AD来管理用户

EMS 可以读取 Active Directory 的用户、组和计算机信息，并将目录身份用于终端验证和策略分配。目录同步、用户验证和安装客户端是三个环节：导入计算机对象不代表 FortiClient 已安装，看到域用户也不代表其终端已通过验证。

先决条件

• 确定目标域、OU、用户和组范围，准备一个具有必要读取权限的目录服务账户；不要默认长期使用域管理员。
• EMS 能解析目录服务器并访问所需服务；无法直连时先部署AD 连接器（AD Connector）。
• 使用 LDAPS 时准备可信证书链，检查服务器名称、有效期和证书校验。

注

EMS连接AD只需要只读权限，不需要写入权限。

FortiClient EMS和AD联动

示例拓扑

添加并同步 AD

1. 在EMS中打开 Administration > Authentication Servers，选择 Add > Active Directory。

2. 填写目录地址、端口和服务账户。按认证方式使用所要求的域名/服务器名。

重要

• 用户名请使用<域名><用户名>的格式。
• 启用 LDAPS connection 时上传相应 CA/服务器证书并核对主机名检查。
• 使用连接器时启用 Use Connector 并选择已连接的对象；直接连接不启用此项。

3. 单击 Test按钮，成功后保存。

4. EMS只有在测试成功之后才能进入下一步，等待LDAP测试完成，单击Save按钮，

5. 在测试完成后，EMS右上角会显示Success字样，Test按钮变成了Save按钮，单击Save按钮保存Authentication Server配置。

6. 在保存之后Authentication Servers的条目中会显示已经添加的条目。

管理域控信息

1. 在EMS中打开Endpoints>Manage Domains页面，单击Add > Active Directory。进入域名管理页面。

2. 在ADDS Server中选择刚添加的域控服务器

3. 在选择对应的域控服务器之后，会显示当前组织目录（LDAP树），此时添加允许被EMS添加的OU

4. 添加完成后单击Save按钮保存添加结果。

5. 在检查

配置邀请码并调用LDAP账户

1. 打开 User Management > Invitations（也可以从顶部 Invitations 按钮进入）。单击Add按钮新建邀请。

2. 完善其他设置后， 将 Verification Type 设置为 LDAP，选中目标域。完成配置后单击Save按钮保存。

3. 完成后可以在邀请码界面看到创建完成的实例以及邀请码信息。同时点击Code按钮可以复制邀请码。

通过用户通过FortiClient连接EMS

1. 在计算机上运行FortiClient。并零信任TELEMETRY页面。

2. 在零信任TELEMETRY页面输入上一步获取的邀请码，单击连接/Connect按钮尝试连接EMS。

3. 连接过后会弹出登录界面，使用LDAP用户登录。

4. 登录完成后会成功连接到EMS，左上角会显示当前用户名。

常见问题

现象	检查方向
Test 失败	DNS、端口、凭据、认证方式、LDAPS 证书及时间
连接成功但对象不全	域/OU 范围、目录权限、同步状态和对象类型
登录成功但不是预期策略	域身份格式、组成员关系、优先级及当前登录用户
邀请没有目标域	当前站点、目录导入和同步结果、管理员权限
在 EMS 移动对象未改变 AD	属正常边界；EMS 目录连接不会回写 AD

排错记录应包含 EMS/FortiClient 版本、域别名、失败时间、终端和用户的脱敏标识。策略验证参阅客户端配置的推送。

更新历史

Ver	Description	Author	Rev	Date
1.0	First Complete	ysheng	tanga	2026.10.14
0.1	Draft Version	-	-	2026.08.04