Pokretanje poveznika¶

Slijed dodjeljivanja može se pokrenuti na nekoliko načina:

Pomoću datoteka Batch ili PowerShell s naredbenim recima koji pozivaju izvršnu datoteku HPPRunCli
Pomoću sučelja za upravljanje poslovima
Pomoću web-usluga SIP

Pokretanje slijedova dodjeljivanja pomoću HPPRUNCLI.exe¶

U datoteci Batch ili PowerShell morate pozvati izvršnu datoteku HppRunClie.exe, a iza nje sljedeće opcije:

Opcije	Funkcija	Obavezno (Y/N)
-sec [Sequence Name]	Opcija za određivanje slijeda koji treba izvršiti.	Y
-cfg [Config_file_name]	Opcija za određivanje konfiguracijske datoteke koja će se koristiti.	N. Prema zadanim postavkama koristi se datoteka hpp.ini.
-obj [Val_attribute1\|Val_attribute2\|…]	Opcija za određivanje vrijednosti atributa za podudaranje radi pojedinačnog izvršavanja slijeda. Ako je potrebno navesti više vrijednosti atributa, moraju se navesti redoslijedom kojim se izvozi moraju izvršiti.	N
-seq [Directory_nm]	Opcija za određivanje naziva izlazne mape za datoteke zapisnika.	N

Pokretanje slijedova dodjeljivanja putem sučelja za upravljanje poslovima¶

Na stranici za pregled instanci poslova slijeda dodjeljivanja posao možete pokrenuti pojedinačno ili skupno.

Da biste posao pokrenuli skupno, kliknite gumb „“.

Odaberite željeni posao ili poslove, a zatim kliknite „Validate“ kako biste poslove stavili u red čekanja.

Da biste posao pokrenuli pojedinačno, kliknite gumb „“.

Odaberite željeni posao, a zatim unesite vrijednost kojom se odabire objekt na kojem želite pokrenuti posao.

Upozorenje: ako vaš posao sadrži više slijedova, za pokretanje posla u pojedinačnom načinu atribut za podudaranje trenutačno mora imati istu vrijednost u svim slijedovima.

Pokretanje slijedova dodjeljivanja putem web-usluga SIP¶

Primjer skripte za pokretanje posla dodjeljivanja putem skripte PowerShell:

$urlGenToken = "https://[URL_serveur_SID]:44350/connect/token"
$BodyJsonPostToken = "grant_type=password&client_id=sip&client_secret=sip&username=[login_cpt]&password=[mot_de_passe_compte]"
$MonHeader = @{
        "Content-Type" = "application/x-www-form-urlencoded"
        "accept" = "Application/Json"
        "Host" = "[URL_serveur_SID]:44350"
    }

$MonHeaderReq = @{
        "Content-Type" = "application/x-www-form-urlencoded"
        "accept" = "Application/Json"
        "Host" = "[URL_serveur_SID]:44350"
        "Authorization" = "Bearer $($token_gen)" 
    }

try {

    $result = Invoke-RestMethod -Uri $urlGenToken -Method Post -Headers $MonHeader -Body $BodyJsonPostToken 
    $token_gen = $result.access_token
    #ajouter logs
}
catch {
    $token_gen = ""
    #ajouter logs
}

if ($token_gen -ne "")
{
    $job_code = [code_du_job_à_exécuter]
    $MonHeaderReq = @{
        "Content-Type" = "application/x-www-form-urlencoded"
        "accept" = "Application/Json"
        "Host" = "sid.iam-test.ght49.intra:44355"
        "Authorization" = "Bearer $($token_gen)"
    }
    $urlExecutionJob="https://sid.iam-test.ght49.intra:44355/scim/v2/job/run/$job_code"

    try {
        $res = Invoke-RestMethod -Uri $urlExecutionJob -Method Post -Headers $MonHeaderReq  
        #ajouter logs
    }
    catch {
        #ajouter logs et traitement
    }
}

Slično tome, da biste pomoću skripte PowerShell ponovno pokrenuli posao dodjeljivanja koji je zaustavljen zbog praga uvoza, morate dohvatiti ID instance posla pozivanjem rute /scim/v2/job-instance/ (metoda GET).

Dodatne informacije potražite u dokumentaciji Swagger: https://[SIP_Server_URL]:44355/swagger/

Pokretanje novog ulaznog poveznika za punjenje podataka (od verzije 7.0 SP3)¶

Od verzije 7.0 SP3 identitetima je moguće dodijeliti uloge i/ili dozvole putem novog ulaznog poveznika za punjenje podataka.

Poveznicama identitet – uloga i identitet/uloga – autorizacija koje se stvaraju i/ili brišu iz mjerodavnog izvora u bazi podataka upravlja nova vrsta poveznice. Stoga će izvoz poveznica identitet – uloga i identitet/uloga – autorizacija iz repozitorija Identity vratiti samo uloge i autorizacije koje je dodijelio SIP.

Konfiguriranje poveznika za poveznice identitet - uloga¶

Da biste konfigurirali poveznik za poveznice identitet - uloga, morate stvoriti barem:

Izvoz iz mjerodavnog izvora koji mora sadržavati sljedeće informacije:
UID identiteta (obavezno)
- Kôd uloge koju treba dodijeliti (obavezno) – jedna vrijednost.
- Datum početka uloge (neobavezno)
- Datum završetka uloge (neobavezno)
Izvoz repozitorija Identity vrste PERSON_ROLES u kojem morate navesti vrste osoba i kodove repozitorija za koje želite stvoriti poveznice identitet – uloga.
Pravilo sinkronizacije kojim se definiraju operacije Matching, stvaranja, izmjene i brisanja
- U pravilu Matching usporedite UID identiteta i kôd uloge
- U pravilu stvaranja obavezno je navesti UID identiteta i kôd uloge. Datumi početka i završetka nisu obavezni
- U pravilu izmjene obavezno je navesti ID poveznice osoba – uloga, dohvaćen iz izvoza repozitorija Identity. Mogu se mijenjati samo datumi
- U pravilu brisanja obavezno je navesti ID poveznice osoba – uloga, dohvaćen iz izvoza repozitorija Identity.
- Sintaksa kodova Identity koji se koriste u pravilima sinkronizacije:
  - person = UID identiteta
  - role = kôd uloge
  - startdate = datum početka uloge
  - enddate = datum završetka uloge
  - id = ID poveznice identitet – uloga (polje id u tablici sid.PersonRoles)
Uvoz u repozitorij Identity vrste PERSON_ROLES. Možete označiti opciju za onemogućivanje izračuna računa u hodu kako biste skratili trajanje uvoza pri velikim količinama podataka. Ako je opcija omogućena, morate izvršiti uvoz ACCOUNTCALC kako biste ponovno izračunali račune u dotičnom repozitoriju.

Konfiguriranje poveznika za poveznice identitet - uloga¶

Izvoz iz mjerodavnog izvora koji mora sadržavati sljedeće informacije:
- UID identiteta (obavezno)
- Kôd uloge (obavezno) – jedna vrijednost.
- Kôd autorizacije koju treba dodijeliti poveznici identitet/uloga (obavezno) – jedna vrijednost
- Datum početka autorizacije (neobavezno)
- Datum završetka autorizacije (neobavezno)

Pozor

Poveznica identitet/uloga mora već postojati kako bi poveznik za poveznice identitet/uloga – autorizacija ispravno funkcionirao

Izvoz repozitorija Identity vrste PERSON_RIGHTS u kojem morate navesti vrste osoba i kodove repozitorija za koje želite stvoriti poveznice identitet/uloga – autorizacija.
Pravilo sinkronizacije kojim se definiraju operacije Matching, stvaranja, izmjene i brisanja
- U pravilu Matching usporedite UID identiteta, kôd uloge i kôd autorizacije.
- U pravilu stvaranja obavezno je navesti UID identiteta, kôd uloge i kôd autorizacije. Datumi početka i završetka nisu obavezni
- U pravilu izmjene obavezno je navesti ID poveznice osoba/uloga - autorizacija, dohvaćen iz izvoza repozitorija Identity. Mogu se mijenjati samo datumi.
- U pravilu brisanja obavezno je navesti ID poveznice osoba/uloga - autorizacija, dohvaćen iz izvoza repozitorija Identity.
- Sintaksa kodova Identity koji se koriste u pravilima sinkronizacije:
- person = UID identiteta
  - role = kôd uloge
  - right = kôd autorizacije
  - startdate = datum početka autorizacije
  - enddate = datum završetka autorizacije
- id = ID poveznice identitet – uloga – pravo (polje id u tablici sid.PersonRights)
Uvoz u repozitorij Identity vrste PERSON_RIGHTS. Možete označiti opciju za onemogućivanje izračuna računa u hodu kako biste skratili trajanje uvoza pri velikim količinama podataka. Ako je opcija omogućena, morate izvršiti uvoz ACCOUNTCALC kako biste ponovno izračunali račune u dotičnom repozitoriju.

Omogućivanje praćenja¶

Od verzije 7.1 praćenje modula za dodjeljivanje više se ne omogućuje u registru, nego u datoteci [Installation_Directory]\SIP\Config.ini.

Napomena

To je datoteka modula za dodjeljivanje. Ne smije se zamijeniti s konfiguracijskim datotekama poveznika (*.ini) koje se programu HPPRunCli prosljeđuju opcijom -cfg.

U odjeljku General dodajte sljedeća tri parametra:

traceLevel: 0 za onemogućivanje praćenja, 2FFFF za njegovo omogućivanje.
traceModule: popis modula za praćenje, odvojenih zarezima. U nazivima modula ne razlikuju se velika i mala slova. Moguće su vrijednosti:
- HPPCfg
- HPPCSV
- HPPHP
- HPPLDAP
- HPPReference
- HPPRunCli
- HPPSQL
- SIPSCIM
- SIPLDAP
- WrapperDLL
- All za omogućivanje praćenja svih modula
traceOutputDir: izlazna mapa za zapisnike. Ovaj parametar nije obavezan: ako nije naveden, zapisnici se generiraju u korisnikovoj mapi %tmp%.

Primjer:

[General]
traceLevel=2ffff
traceModule=HPPCSV,HPPCfg,HPPLDAP
traceOutputDir=c:/myLog

Napomena

Instalacijski program verzije 7.1 već zapisuje ova tri parametra u Config.ini, s onemogućenim praćenjem: traceLevel=0, traceModule popunjen potpunim popisom modula i traceOutputDir=C:\Temp. Da biste omogućili praćenje, stoga je dovoljno izmijeniti traceLevel. Provjerite može li račun pod kojim se pokreće modul pisati u izlaznu mapu.

Savjet

Za ciljanu dijagnostiku ograničite traceModule samo na relevantne module — na primjer SIPSCIM za problem s vezom s ciljem SCIM. Kad dijagnostika završi, vratite traceLevel na 0: detaljno praćenje troši prostor na disku i usporava obradu.

Šifriranje lozinki i tajne klijenta¶

Od verzije 7.1 lozinke i „tajne klijenta“ koje koristi modul za dodjeljivanje, a nalaze se u datoteci [Installation_Directory]\SIP\Config.ini, šifrirane su.

Pri prvoj instalaciji ti se podaci automatski spremaju u skladu s parametrima unesenima u instalacijskom programu.

Da biste ručno izmijenili bilo koju od ovih dviju vrijednosti, upotrijebite izvršnu datoteku [Installation_Directory]\SIP\SIPEncrypt.exe. U naredbenom retku ili prozoru PowerShell pokrenite SIPEncrypt.exe, a iza toga navedite lozinku ili tajnu klijenta koju treba šifrirati, a zatim kopirajte rezultat u datoteku Config.ini.

SIPEncrypt.exe očekuje jedan parametar. Bez parametra ili s više njih prikazuje poruku SIPEncrypt should be called with a single input parameter. i ništa ne generira. Ako vrijednost sadrži razmake ili znakove koje tumači naredbeni redak (&, |, ^, ", $…), stavite je u navodnike — u PowerShellu po mogućnosti u jednostruke navodnike.

Tajna klijenta unosi se u parametar clientSecret datoteke Config.ini.

Pozor

Za provjeru autentičnosti kod ciljeva SCIM modul bez izmjena koristi svaku lozinku ili tajnu klijenta koju ne može dešifrirati. Vrijednost slučajno ostavljena kao običan tekst stoga funkcionira bez ikakve poruke upozorenja, dok je tajna izložena u datoteci. Provjerite je li svaka tajna u Config.ini doista vrijednost koju je generirao SIPEncrypt.exe.

Ovo je šifriranje reverzibilno jer modul sam dešifrira vrijednosti: štiti od čitanja tajne u obliku običnog teksta, ali ne i od pristupa datoteci. Ograničite pristup datoteci Config.ini na administratorske račune i račun pod kojim se pokreće modul. Kad se upiše u naredbeni redak, vrijednost u obliku običnog teksta može ostati i u povijesti konzole: nakon upotrebe zatvorite sesiju.