Crear/modificar las reglas de Matching

Las reglas de Matching son en realidad las distintas reglas con las que, por una parte, se emparejan los objetos de la fuente autorizada y de la fuente de destino y, por otra, se definen las acciones que deben realizarse: creación, modificación, eliminación.

Las reglas de Matching se componen, por tanto, de cinco partes:

• Regla de emparejamiento de dos objetos
• Regla de comparación de los atributos entre dos objetos emparejados
• Regla de creación de un objeto
• Regla de modificación de un objeto
• Regla de eliminación de un objeto

Crear/modificar las reglas de emparejamiento

Una regla de emparejamiento consiste en definir los atributos de la fuente autorizada y los atributos de la fuente de destino que deben coincidir para establecer que el objeto de la fuente autorizada corresponde al objeto de la fuente de destino.

En la regla « Matching », las reglas de emparejamiento se definen en el primer recuadro de la pantalla. Haga clic en « New » para crear una nueva regla. Seleccione una regla y haga clic en « Modify » para modificarla o en « Delete » para eliminarla.

Las reglas de emparejamiento se crean a partir de una operación. Consulte la página Lista de operaciones disponibles por regla para elegir la operación que necesita para su caso de uso.

Ejemplo de regla de emparejamiento: para el aprovisionamiento descendente (cuentas y habilitaciones), el emparejamiento de los objetos se ha configurado sobre los inicios de sesión de las cuentas.

Es posible configurar varias reglas de emparejamiento y definir el orden en que se aplican.

Crear las reglas de comparación

Una regla de comparación consiste en definir los atributos de la fuente autorizada y los atributos de la fuente de destino que se compararán entre sí para determinar las modificaciones que deben realizarse.

En la regla « Matching », las reglas de comparación se definen en el segundo recuadro de la pantalla. Haga clic en « New » para crear una nueva regla. Seleccione una regla y haga clic en « Modify » para modificarla o en « Delete » para eliminarla.

Una regla de comparación se crea a partir de una operación. Consulte la página Lista de operaciones disponibles por regla para elegir la operación que necesita para su caso de uso.

Ejemplo de regla de comparación: se compara una lista de atributos monovaluados entre las dos fuentes.

Opción « Full »: los resultados de una regla de comparación pueden exportarse y escribirse de dos maneras para los atributos multivaluados:

• Opción marcada: si se detecta una modificación entre dos atributos, la etiqueta exportada, que llevará el nombre del atributo de la fuente de destino, solo contendrá los valores finales del atributo. No se conoce el detalle de los valores eliminados ni de los nuevos valores añadidos, ni tampoco los valores que no se han modificado.
• Opción no marcada: si se detecta una modificación entre dos atributos, pueden exportarse dos etiquetas con el nombre del atributo de la fuente de destino. Una primera etiqueta que contiene una suboperación « ADD » y una segunda que contiene una suboperación « DEL ». La etiqueta de suboperación « ADD » solo contendrá los nuevos valores que deben añadirse, y la etiqueta de suboperación « DEL » solo contendrá los valores que deben eliminarse. En este caso, no se sabe si existen valores sin modificar.

Esta opción debe elegirse en función del conector y de las operaciones que deban realizarse en las distintas reglas de creación, modificación o eliminación.

Es posible configurar varias reglas de comparación, que se aplicarán todas a todos los objetos emparejados.

Crear/modificar las reglas de creación

Una regla de creación consiste en definir, por una parte, el valor del atributo de identificación que se utilizará al escribir las creaciones y, por otra, los atributos y sus valores que se aprovisionarán en la fuente de destino para todos los objetos definidos como creaciones. Un objeto se define como una creación cuando está presente en la fuente autorizada pero no en la fuente de destino. Los valores de los atributos pueden alimentarse a partir de los atributos de la fuente autorizada; es lo que se denomina mapeo de atributos. Los valores de los atributos también pueden proceder de atributos configurados en las reglas de conversión o indicarse mediante operaciones y palabras clave.

En la regla « Matching », las reglas de creación se definen en el tercer recuadro de la pantalla. Haga clic en « New » para crear una nueva regla. Seleccione una regla y haga clic en « Modify » para modificarla o en « Delete » para eliminarla.

Una regla de creación se crea a partir de una operación. Consulte la página Lista de operaciones disponibles por regla para elegir la operación que necesita para su caso de uso.

Ejemplo de regla de creación: mapeo de atributos monovaluados o multivaluados entre la fuente autorizada y la fuente de destino.

Es posible configurar varias reglas de creación, que se aplicarán todas a todos los objetos identificados como creaciones.

Caso particular de los repositorios de tipo directorio:

Con el nuevo conector de directorio, es imprescindible rellenar el atributo objectClass en la regla de creación. Para ello, cree el atributo objectClass en una regla de conversión aplicada a la fuente, con los valores correspondientes al objeto que se va a crear:

• para un objeto de tipo usuario: Top, Person, organizationalPerson, user
• para un grupo de seguridad: Top, Group

Ejemplo de configuración en SIP:

Formato obtenido en el archivo sync.xml de salida:

Recomendación

Compruebe en el directorio los valores del atributo objectClass que tiene un objeto similar, para asegurarse de utilizar los valores correctos.

Para aprovisionar la contraseña de una cuenta en un directorio, el atributo que debe rellenarse es unicodePwd.

Active Directory espera en unicodePwd un valor codificado en UTF-16 y transmitido en forma binaria: el propio conector realiza esta conversión, tanto en la creación como en la modificación. Proporcione la contraseña en claro en la regla, sin codificación previa. El carácter de « contraseña » del valor se conserva al copiar atributos.

Atención

Active Directory solo acepta la escritura de unicodePwd a través de una conexión cifrada. Por tanto, el repositorio debe configurarse en LDAPS (puerto 636 por defecto) en cuanto deban definirse o modificarse contraseñas, y la cuenta de servicio del conector debe disponer del derecho de restablecer la contraseña de los objetos afectados.

Nota

Si objectClass no se rellena, el conector aplica por defecto, para un usuario, top, person, organizationalPerson y user en Active Directory, o top, person, organizationalPerson y inetOrgPerson en OpenLDAP. No confíe en estos valores: rellene siempre objectClass explícitamente, como se ha indicado más arriba.

Crear/modificar las reglas de modificación

Una regla de modificación consiste en definir, por una parte, el valor del atributo de identificación que se utilizará al escribir las modificaciones y, por otra, de forma opcional, los atributos y sus valores que se aprovisionarán en la fuente de destino en todos los objetos definidos como modificaciones. Conviene señalar que, en los objetos definidos como modificaciones, los resultados de las reglas de comparación se indican automáticamente en la regla de modificación.

En la regla « Matching », las reglas de modificación se definen en el cuarto recuadro de la pantalla. Haga clic en « New » para crear una nueva regla. Seleccione una regla y haga clic en « Modify » para modificarla o en « Delete » para eliminarla.

Una regla de modificación se crea a partir de una operación. Consulte la página Lista de operaciones disponibles por regla para elegir la operación que necesita para su caso de uso.

Ejemplo de regla de modificación: definición del atributo de identificación del objeto que se va a modificar en la fuente de destino (directorio). El atributo « DNuser » se indica mediante una expresión que utiliza la palabra clave « SyncAttDst » para recuperar el valor del atributo DN en la fuente de destino.

Crear/modificar las reglas de eliminación

Una regla de eliminación consiste en definir, por una parte, el valor del atributo de identificación que se utilizará al escribir las eliminaciones y, por otra, de forma opcional, los atributos y sus valores que se alimentarán en la fuente de destino en todos los objetos definidos como eliminaciones. La modificación de atributos en los objetos definidos como eliminaciones solo es posible cuando no se elimina realmente el objeto. Un objeto se define como una eliminación cuando está presente en la fuente de destino pero no en la fuente autorizada. Por consiguiente, los valores de los atributos solo pueden proceder de atributos configurados en las reglas de conversión o indicarse directamente en las reglas de eliminación mediante operaciones y palabras clave.

Atención

A partir de la versión 7.1, las operaciones de una regla de eliminación ya no pueden hacer referencia a la fuente de destino. Como todo lo que se detecta como eliminación se encuentra necesariamente en la fuente de destino, ya no es útil precisar que la información se buscará en ella. Utilice la palabra clave « SyncAttSrc » o las operaciones COPY, MULTCOPY, etc. Durante una subida de versión, la migración de los conectores existentes se realiza automáticamente.

Esta migración tiene lugar al cargar la configuración: el motor aplica entonces la correspondencia siguiente.

En una regla de eliminación, antes de 7.1	Sustituido por
SyncAttDst (por ejemplo <SyncAttDst:attribut>)	SyncAttSrc
DSTCOPY	COPY
MULTDSTCOPY	MULTCOPY

No obstante, corrija sus reglas que usen estas palabras clave: así, la configuración mostrada corresponderá a lo que ejecuta el motor. ⚠ La sustitución se aplica al texto de la regla, sin distinguir entre mayúsculas y minúsculas: también afecta a las palabras clave que contienen estos términos, como SyncAttDstOperation o SyncAttDstType. Compruebe estos casos después de una subida de versión.

En la regla « Matching », las reglas de eliminación se definen en el quinto recuadro de la pantalla. Haga clic en « New » para crear una nueva regla. Seleccione una regla y haga clic en « Modify » para modificarla o en « Delete » para eliminarla.

Una regla de eliminación se crea a partir de una operación. Consulte la página Lista de operaciones disponibles por regla para elegir la operación que necesita para su caso de uso.

Ejemplo de regla de eliminación: definición del atributo de identificación del objeto que se va a eliminar en la fuente de destino (directorio). El atributo « DNuser » se indica mediante una expresión que utiliza la palabra clave « SyncAttSrc » para recuperar el valor del atributo DN en la fuente de destino.

Es posible configurar varias reglas de eliminación, que se aplicarán todas a todos los objetos identificados como eliminaciones.