Matching-Regeln anlegen/ändern¶

Die Matching-Regeln sind in Wirklichkeit die verschiedenen Regeln, mit denen zum einen die Objekte der autoritativen und der Zielquelle einander zugeordnet und zum anderen die auszuführenden Aktionen festgelegt werden: Erstellung, Änderung, Löschung.

Die Matching-Regeln bestehen daher aus fünf Teilen:

Regel für die Zuordnung zweier Objekte
Regel für den Vergleich der Attribute zwischen zwei zugeordneten Objekten
Regel für die Erstellung eines Objekts
Regel für die Änderung eines Objekts
Regel für die Löschung eines Objekts

Zuordnungsregeln anlegen/ändern¶

Eine Zuordnungsregel besteht darin, die Attribute der autoritativen Quelle und die Attribute der Zielquelle festzulegen, die übereinstimmen müssen, um festzustellen, dass das Objekt der autoritativen Quelle dem Objekt der Zielquelle entspricht.

In der Regel „Matching“ werden die Zuordnungsregeln im ersten Kasten des Bildschirms festgelegt. Klicken Sie auf „New “, um eine neue Regel zu erstellen. Wählen Sie eine Regel aus und klicken Sie auf „Modify“, um sie zu ändern, oder auf „Delete“, um sie zu löschen.

Zuordnungsregeln werden aus einem Vorgang erstellt. Ziehen Sie die Seite Liste der je Regel verfügbaren Vorgänge heran, um den Vorgang zu wählen, den Ihr Anwendungsfall verlangt.

Beispiel für eine Zuordnungsregel: Für die nachgelagerte Bereitstellung (Konten und Berechtigungen) wurde die Zuordnung der Objekte über die Anmeldenamen der Konten konfiguriert.

Es lassen sich mehrere Zuordnungsregeln konfigurieren und die Reihenfolge festlegen, in der sie angewendet werden.

Vergleichsregeln erstellen¶

Eine Vergleichsregel besteht darin, die Attribute der autoritativen Quelle und die Attribute der Zielquelle festzulegen, die miteinander verglichen werden, um die vorzunehmenden Änderungen zu bestimmen.

In der Regel „Matching“ werden die Vergleichsregeln im zweiten Kasten des Bildschirms festgelegt. Klicken Sie auf „New “, um eine neue Regel zu erstellen. Wählen Sie eine Regel aus und klicken Sie auf „Modify“, um sie zu ändern, oder auf „Delete“, um sie zu löschen.

Eine Vergleichsregel wird aus einem Vorgang erstellt. Ziehen Sie die Seite Liste der je Regel verfügbaren Vorgänge heran, um den Vorgang zu wählen, den Ihr Anwendungsfall verlangt.

Beispiel für eine Vergleichsregel: eine Liste einwertiger Attribute wird zwischen den beiden Quellen verglichen.

Option „Full“: die Ergebnisse einer Vergleichsregel lassen sich bei mehrwertigen Attributen auf zwei Weisen exportieren und schreiben:

Option aktiviert: wird zwischen zwei Attributen eine Änderung erkannt, enthält das exportierte Tag, das den Namen des Attributs der Zielquelle trägt, nur die endgültigen Werte des Attributs. Die gelöschten Werte, die neu hinzugefügten Werte und selbst die unveränderten Werte sind im Einzelnen nicht bekannt.
Option nicht aktiviert: wird zwischen zwei Attributen eine Änderung erkannt, können zwei Tags exportiert werden, die den Namen des Attributs der Zielquelle tragen. Ein erstes Tag mit einem Untervorgang „ADD“ und ein zweites mit einem Untervorgang „DEL“. Das Tag des Untervorgangs „ADD“ enthält nur die neu hinzuzufügenden Werte, das Tag des Untervorgangs „DEL“ nur die zu löschenden Werte. In diesem Fall ist nicht bekannt, ob unveränderte Werte bestehen.

Diese Option ist je nach Konnektor und je nach den Vorgängen zu wählen, die in den verschiedenen Erstellungs-, Änderungs- oder Löschregeln auszuführen sind.

Es lassen sich mehrere Vergleichsregeln konfigurieren, die alle auf alle zugeordneten Objekte angewendet werden.

Erstellungsregeln anlegen/ändern¶

Eine Erstellungsregel besteht darin, zum einen den Wert des Bezeichnungsattributs festzulegen, das beim Schreiben der Erstellungen verwendet wird, und zum anderen die Attribute und ihre Werte, die für alle als Erstellungen bestimmten Objekte in der Zielquelle bereitgestellt werden. Ein Objekt wird als Erstellung bestimmt, wenn es in der autoritativen Quelle vorhanden ist, in der Zielquelle jedoch nicht. Die Werte der Attribute können aus den Attributen der autoritativen Quelle gespeist werden; dies wird als Attributzuordnung bezeichnet. Die Werte der Attribute können auch aus Attributen stammen, die in den Umwandlungsregeln konfiguriert sind, oder über Vorgänge und Schlüsselwörter angegeben werden.

In der Regel „Matching“ werden die Erstellungsregeln im dritten Kasten des Bildschirms festgelegt. Klicken Sie auf „New “, um eine neue Regel zu erstellen. Wählen Sie eine Regel aus und klicken Sie auf „Modify“, um sie zu ändern, oder auf „Delete“, um sie zu löschen.

Eine Erstellungsregel wird aus einem Vorgang erstellt. Ziehen Sie die Seite Liste der je Regel verfügbaren Vorgänge heran, um den Vorgang zu wählen, den Ihr Anwendungsfall verlangt.

Beispiel für eine Erstellungsregel: Zuordnung einwertiger oder mehrwertiger Attribute zwischen der autoritativen Quelle und der Zielquelle.

Es lassen sich mehrere Erstellungsregeln konfigurieren, die alle auf alle als Erstellungen erkannten Objekte angewendet werden.

Sonderfall der Repositorys des Typs Verzeichnis:

Beim neuen Verzeichniskonnektor muss das Attribut objectClass zwingend in der Erstellungsregel befüllt werden. Legen Sie dazu das Attribut objectClass in einer auf die Quelle angewendeten Umwandlungsregel an, mit den Werten, die dem zu erstellenden Objekt entsprechen:

für ein Objekt des Typs Benutzer: Top, Person, organizationalPerson, user
für eine Sicherheitsgruppe: Top, Group

Beispiel einer Konfiguration in SIP:

In der Ausgabedatei sync.xml erhaltenes Format:

Empfehlung

Prüfen Sie im Verzeichnis die Werte des Attributs objectClass eines ähnlichen Objekts, um sicherzustellen, dass Sie die richtigen Werte verwenden.

Um das Passwort eines Kontos in einem Verzeichnis zu provisionieren, ist das Attribut unicodePwd zu befüllen.

Active Directory erwartet in unicodePwd einen in UTF-16 kodierten und in binärer Form übertragenen Wert: Der Konnektor führt diese Umwandlung selbst durch, sowohl beim Anlegen als auch bei der Änderung. Tragen Sie das Passwort im Klartext und ohne vorherige Kodierung in die Regel ein. Die Eigenschaft „Passwort“ des Werts bleibt beim Kopieren von Attributen erhalten.

Achtung

Active Directory akzeptiert das Schreiben von unicodePwd nur über eine verschlüsselte Verbindung. Das Repository muss daher in LDAPS (standardmäßig Port 636) konfiguriert werden, sobald Passwörter festgelegt oder geändert werden müssen, und das Dienstkonto des Konnektors muss das Recht haben, das Passwort der betroffenen Objekte zurückzusetzen.

Hinweis

Ist objectClass nicht befüllt, wendet der Konnektor für einen Benutzer standardmäßig top, person, organizationalPerson und user unter Active Directory bzw. top, person, organizationalPerson und inetOrgPerson unter OpenLDAP an. Verlassen Sie sich nicht auf diese Werte: Befüllen Sie objectClass immer explizit, wie oben angegeben.

Änderungsregeln anlegen/ändern¶

Eine Änderungsregel besteht darin, zum einen den Wert des Bezeichnungsattributs festzulegen, das beim Schreiben der Änderungen verwendet wird, und zum anderen — optional — die Attribute und ihre Werte, die für alle als Änderungen bestimmten Objekte in der Zielquelle bereitgestellt werden. Zu beachten ist, dass bei den als Änderungen bestimmten Objekten die Ergebnisse der Vergleichsregeln automatisch in die Änderungsregel eingetragen werden.

In der Regel „Matching“ werden die Änderungsregeln im vierten Kasten des Bildschirms festgelegt. Klicken Sie auf „New “, um eine neue Regel zu erstellen. Wählen Sie eine Regel aus und klicken Sie auf „Modify“, um sie zu ändern, oder auf „Delete“, um sie zu löschen.

Eine Änderungsregel wird aus einem Vorgang erstellt. Ziehen Sie die Seite Liste der je Regel verfügbaren Vorgänge heran, um den Vorgang zu wählen, den Ihr Anwendungsfall verlangt.

Beispiel für eine Änderungsregel: Festlegung des Bezeichnungsattributs des Objekts, das in der Zielquelle (Verzeichnis) geändert werden soll. Das Attribut „DNuser“ wird über einen Ausdruck angegeben, der das Schlüsselwort „SyncAttDst“ verwendet, um den Wert des Attributs DN in der Zielquelle abzurufen.

Löschregeln anlegen/ändern¶

Eine Löschregel besteht darin, zum einen den Wert des Bezeichnungsattributs festzulegen, das beim Schreiben der Löschungen verwendet wird, und zum anderen — optional — die Attribute und ihre Werte, die für alle als Löschungen bestimmten Objekte in die Zielquelle eingespeist werden. Attribute an als Löschungen bestimmten Objekten zu ändern ist nur möglich, wenn das Objekt nicht wirklich gelöscht wird. Ein Objekt wird als Löschung bestimmt, wenn es in der Zielquelle vorhanden ist, in der autoritativen Quelle jedoch nicht. Folglich können die Werte der Attribute nur aus Attributen stammen, die in den Umwandlungsregeln konfiguriert sind, oder unmittelbar in den Löschregeln über Vorgänge und Schlüsselwörter angegeben werden.

Achtung

Ab Version 7.1 können die Vorgänge einer Löschregel nicht mehr auf die Zielquelle verweisen. Da sich alles, was zur Löschung erkannt wird, zwangsläufig in der Zielquelle befindet, ist es nicht mehr sinnvoll anzugeben, dass die Informationen dort gesucht werden. Verwenden Sie das Schlüsselwort „SyncAttSrc“ oder die Vorgänge COPY, MULTCOPY usw. Bei einem Versionsupgrade werden die vorhandenen Konnektoren automatisch migriert.

Diese Migration erfolgt beim Laden der Konfiguration: Die Engine wendet dabei die folgende Zuordnung an.

In einer Löschregel, vor 7.1	Ersetzt durch
`SyncAttDst` (zum Beispiel `<SyncAttDst:attribut>`)	`SyncAttSrc`
`DSTCOPY`	`COPY`
`MULTDSTCOPY`	`MULTCOPY`

Korrigieren Sie dennoch Ihre Regeln, die diese Schlüsselwörter verwenden: Die angezeigte Konfiguration entspricht dann dem, was die Engine ausführt. ⚠ Die Ersetzung gilt für den Text der Regel, unabhängig von Groß- und Kleinschreibung: Sie betrifft auch Schlüsselwörter, die diese Begriffe enthalten, wie SyncAttDstOperation oder SyncAttDstType. Prüfen Sie diese Fälle nach einem Versionsupgrade.

In der Regel „Matching“ werden die Löschregeln im fünften Kasten des Bildschirms festgelegt. Klicken Sie auf „New “, um eine neue Regel zu erstellen. Wählen Sie eine Regel aus und klicken Sie auf „Modify“, um sie zu ändern, oder auf „Delete“, um sie zu löschen.

Eine Löschregel wird aus einem Vorgang erstellt. Ziehen Sie die Seite Liste der je Regel verfügbaren Vorgänge heran, um den Vorgang zu wählen, den Ihr Anwendungsfall verlangt.

Beispiel einer Löschregel: Definition des Identifikationsattributs des zu löschenden Objekts in der Zielquelle (Verzeichnis). Das Attribut „DNuser“ wird über einen Ausdruck angegeben, der das Schlüsselwort „SyncAttSrc“ verwendet, um den Wert des Attributs DN in der Zielquelle abzurufen.

Es lassen sich mehrere Löschregeln konfigurieren, die alle auf alle als Löschungen erkannten Objekte angewendet werden.