Créer / Modifier les règles de Matching¶

Les règles de matching sont en réalité les différentes règles où d’une part on va appairer les objets des sources autoritaires et cibles et d’autre part définir les actions à réaliser sur les différentes actions : création, modification, suppression.

Les règles de matching sont donc décomposées en 5 parties :

Règle d’appairage entre 2 objets
Règle de comparaison des attributs entre 2 objets appairés
Règle de création d’un objet
Règle de modification d’un objet
Règle de suppression d’un objet

Créer / Modifier des règles d'appairage¶

Une règle d’appairage consiste à définir les attributs de la source autoritaire et les attributs de la source cible qui doivent correspondre pour stipuler que l’objet de la source autoritaire correspond à l’objet de la source cible.

Dans la règle de « Matching », les règles d’appairage se définissent dans le premier encart de l’écran. Cliquez sur « New » pour créer une nouvelle règle. Sélectionnez une règle et cliquez sur « Modify » pour la modifier ou « Delete » pour la supprimer.

Les règles d’appairage sont créées à partir d’une opération. Reportez-vous à la page Liste des opérations disponibles par règles pour choisir l’opération dont vous avez besoin pour répondre à votre cas d’usage.

Exemple d’une règle d’appairage : Pour un provisioning aval (comptes et habilitations), on a configuré un appairage des objets sur le login des comptes.

Il est possible de configurer plusieurs règles d’appairage et de définir dans quel ordre les appliquer.

Créer des règles de comparaison¶

Une règle de comparaison consiste à définir les attributs de la source autoritaire et les attributs de la source cible qui seront comparés entre eux, dans le but de définir les modifications à apporter.

Dans la règle de « Matching », les règles de comparaison se définissent dans le second encart de l’écran. Cliquez sur « New » pour créer une nouvelle règle. Sélectionnez une règle et cliquez sur « Modify » pour la modifier ou « Delete » pour la supprimer.

Une règle de comparaison est créée à partir d’une opération. Reportez-vous à la page Liste des opérations disponibles par règles pour choisir l’opération dont vous avez besoin pour répondre à votre cas d’usage.

Exemple d’une règle de comparaison : une liste d’attributs monovalués est comparé entre les 2 sources.

Option « Full » : les résultats d’une règle de comparaison peuvent être exportés et écris de 2 manières pour les attributs multivalués :

Option cochée : si une modification est détectée entre 2 attributs, la balise exportée qui portera le nom de l’attribut de la source cible, contiendra uniquement les valeurs finales de l’attribut. On n’a pas connaissance du détail des valeurs supprimées et des nouvelles valeurs ajouter ni même des valeurs qui ne sont pas modifiées.
Option non cochée : si une modification est détectée entre 2 attributs, il peut y avoir 2 balises exportées qui portera le nom de l’attribut de la source cible. Une première balise qui contient une sous-opération « ADD » et seconde balise qui contient une sous-opération « DEL ». Dans la balise de sous-opérations « ADD », il y aura uniquement les nouvelles valeurs à ajouter et dans la balise de sous-opération « DEL il y aura uniquement les valeurs à supprimer. Dans ce cas, on n’a pas connaissance des valeurs non modifiées s’il y en a.

Le choix de cette option est à réaliser en fonction du connecteur et des opérations à réaliser dans les différentes règles de création, modification ou suppression.

Il est possible de configurer plusieurs règles de comparaisons, elles seront toutes appliquées à tous les objets appairés.

Créer / Modifier des règles de création¶

Une règle de création consiste à définir, d’une part, la valeur de l’attribut d’identification qui servira lors de l’écriture des créations, puis d’autre part, les attributs et leurs valeurs qui seront alimentés dans la source cible sur tous les objets définis en création. Un objet est défini en création lorsqu’il est présent dans la source autoritaire mais pas dans la source cible. Les valeurs des attributs peuvent être alimentées à partir de attributs de la source autoritaire, on parle dans ce cas-là de mapping d’attributs. Les valeurs des attributs peuvent aussi provenir d’attribut configuré dans des règles de conversion ou être spécifiées à l’aide d’opérations et de mots-clés.

Dans la règle de « Matching », les règles de création se définissent dans le 3ème encart de l’écran. Cliquez sur « New » pour créer une nouvelle règle. Sélectionnez une règle et cliquez sur « Modify » pour la modifier ou « Delete » pour la supprimer.

Une règle de création est créée à partir d’une opération. Reportez-vous à la page Liste des opérations disponibles par règles pour choisir l’opération dont vous avez besoin pour répondre à votre cas d’usage.

Exemple d’une règle de création : Mapping d’attributs monovalués ou multivalués entre la source autoritaire et la source cible.

Il est possible de configurer plusieurs règles de création, elles seront toutes appliquées à tous les objets identifiés en création.

Cas particulier des référentiels de type annuaire :

Avec le nouveau connecteur annuaire, il est impératif d’alimenter l’attribut objectClass dans la règle de création. Pour cela, créez l’attribut objectClass dans une règle de conversion appliquée sur la source, avec les valeurs correspondant à l’objet à créer :

pour un objet de type utilisateur : Top, Person, organizationalPerson, user
pour un groupe de sécurité : Top, Group

Exemple de configuration dans SIP :

Format obtenu dans le fichier sync.xml en sortie :

Recommandation

Vérifiez dans l’annuaire les valeurs de l’attribut objectClass portées par un objet similaire, afin de vous assurer d’utiliser les bonnes valeurs.

Pour provisionner le mot de passe d’un compte dans un annuaire, l’attribut à alimenter est unicodePwd.

Active Directory attend dans unicodePwd une valeur encodée en UTF-16 et transmise sous forme binaire : le connecteur effectue lui-même cette conversion, à la création comme à la modification. Fournissez le mot de passe en clair dans la règle, sans encodage préalable. Le caractère « mot de passe » de la valeur est conservé lors des copies d’attributs.

Attention

Active Directory n’accepte l’écriture de unicodePwd que sur une connexion chiffrée. Le référentiel doit donc être configuré en LDAPS (port 636 par défaut) dès que des mots de passe doivent être définis ou modifiés, et le compte de service du connecteur doit disposer du droit de réinitialiser le mot de passe des objets concernés.

Note

Si objectClass n’est pas alimenté, le connecteur applique par défaut, pour un utilisateur, top, person, organizationalPerson et user sur Active Directory, ou top, person, organizationalPerson et inetOrgPerson sur OpenLDAP. Ne vous reposez pas sur ces valeurs : alimentez toujours objectClass explicitement, comme indiqué plus haut.

Créer / Modifier des règles de modification¶

Une règle de modification consiste à définir d’une part la valeur de l’attribut d’identification qui servira lors de l’écriture des modifications puis à définir d’autre part et de manière optionnelle, les attributs et leurs valeurs qui seront alimentés dans la source cible sur tous les objets définis en modification. Il est à noter que, dans les objets définis en modification, les résultats des règles de comparaisons sont automatiquement spécifiés dans la règle de modification.

Dans la règle de « Matching », les règles de modification se définissent dans le 4ème encart de l’écran. Cliquez sur « New » pour créer une nouvelle règle. Sélectionnez une règle et cliquez sur « Modify » pour la modifier ou « Delete » pour la supprimer.

Une règle de modification est créée à partir d’une opération. Reportez-vous à la page Liste des opérations disponibles par règles pour choisir l’opération dont vous avez besoin pour répondre à votre cas d’usage.

Exemple d’une règle de modification : Définition de l’attribut d’identification de l’objet qui sera modifié dans la source cible (annuaire). L’attribut « DNuser » est spécifié à l’aide d’une expression qui utilise le mot-clé « SyncAttDst » pour récupérer la valeur de l’attribut DN dans la source cible.

Créer / Modifier des règles de suppression¶

Une règle de suppression consiste à définir, d’une part, la valeur de l’attribut d’identification qui servira lors de l’écriture des suppressions, puis d’autre part et de manière optionnelle, les attributs et leurs valeurs qui seront alimentés dans la source cible sur tous les objets définis en suppression. Les modifications d’attributs sur les objets définis en suppression ne sont possibles que lorsqu’il n’y a pas de suppression réelle de l’objet. Un objet est défini en suppression lorsqu’il est présent dans la source cible mais pas dans la source autoritaire. Par conséquent, les valeurs des attributs ne peuvent provenir que depuis les attributs configurés dans des règles de conversion ou être spécifiées directement dans les règles de suppression à l’aide d’opérations et de mots-clés.

Attention

À partir de la version 7.1, les opérations d’une règle de suppression ne peuvent plus faire référence à la source cible. Tout ce qui est détecté en suppression se trouvant nécessairement dans la source cible, il n’est plus utile de préciser que l’information y sera cherchée. Utilisez le mot-clé « SyncAttSrc » ou les opérations COPY, MULTCOPY, etc. Lors d’une montée de version, la reprise des connecteurs existants est effectuée automatiquement.

Cette reprise a lieu au chargement de la configuration : le moteur y applique la correspondance suivante.

Dans une règle de suppression, avant 7.1	Remplacé par
`SyncAttDst` (par exemple `<SyncAttDst:attribut>`)	`SyncAttSrc`
`DSTCOPY`	`COPY`
`MULTDSTCOPY`	`MULTCOPY`

Corrigez néanmoins vos règles avec ces mots-clés : la configuration affichée correspondra ainsi à ce que le moteur exécute. ⚠ Le remplacement porte sur le texte de la règle, sans tenir compte de la casse : il atteint aussi les mots-clés qui contiennent ces termes, comme SyncAttDstOperation ou SyncAttDstType. Vérifiez ces cas après une montée de version.

Dans la règle de « Matching », les règles de suppression se définissent dans le 5ème encart de l’écran. Cliquez sur « New » pour créer une nouvelle règle. Sélectionnez une règle et cliquez sur « Modify » pour la modifier ou « Delete » pour la supprimer.

Une règle de suppression est créée à partir d’une opération. Reportez-vous à la page Liste des opérations disponibles par règles pour choisir l’opération dont vous avez besoin pour répondre à votre cas d’usage.

Exemple d’une règle de suppression : Définition de l’attribut d’identification de l’objet qui sera supprimé dans la source cible (annuaire). L’attribut « DNuser » est spécifié à l’aide d’une expression qui utilise le mot-clé « SyncAttSrc » pour récupérer la valeur de l’attribut DN dans la source cible.

Il est possible de configurer plusieurs règles de suppression, elles seront toutes appliquées à tous les objets identifiés en suppression.