Creare/modificare le regole di Matching

Le regole di Matching sono in realtà le diverse regole con le quali, da una parte, si abbinano gli oggetti della fonte autorevole e della fonte di destinazione e, dall'altra, si definiscono le azioni da eseguire sulle diverse azioni: creazione, modifica, eliminazione.

Le regole di Matching si compongono quindi di cinque parti:

• Regola di abbinamento di due oggetti
• Regola di confronto degli attributi tra due oggetti abbinati
• Regola di creazione di un oggetto
• Regola di modifica di un oggetto
• Regola di eliminazione di un oggetto

Creare/modificare le regole di abbinamento

Una regola di abbinamento consiste nel definire gli attributi della fonte autorevole e gli attributi della fonte di destinazione che devono corrispondere per stabilire che l'oggetto della fonte autorevole corrisponde all'oggetto della fonte di destinazione.

Nella regola «Matching», le regole di abbinamento si definiscono nel primo riquadro della schermata. Fare clic su «New» per creare una nuova regola. Selezionare una regola e fare clic su «Modify» per modificarla o su «Delete» per eliminarla.

Le regole di abbinamento vengono create a partire da un'operazione. Consultare la pagina Elenco delle operazioni disponibili per regola per scegliere l'operazione necessaria al proprio caso d'uso.

Esempio di regola di abbinamento: per il provisioning discendente (account e autorizzazioni), l'abbinamento degli oggetti è stato configurato sui login degli account.

È possibile configurare più regole di abbinamento e definire l'ordine in cui vengono applicate.

Creare le regole di confronto

Una regola di confronto consiste nel definire gli attributi della fonte autorevole e gli attributi della fonte di destinazione che verranno confrontati tra loro per determinare le modifiche da apportare.

Nella regola «Matching», le regole di confronto si definiscono nel secondo riquadro della schermata. Fare clic su «New» per creare una nuova regola. Selezionare una regola e fare clic su «Modify» per modificarla o su «Delete» per eliminarla.

Una regola di confronto viene creata a partire da un'operazione. Consultare la pagina Elenco delle operazioni disponibili per regola per scegliere l'operazione necessaria al proprio caso d'uso.

Esempio di regola di confronto: viene confrontato un elenco di attributi monovalore tra le due fonti.

Opzione «Full»: i risultati di una regola di confronto possono essere esportati e scritti in due modi per gli attributi multivalore:

• Opzione selezionata: se viene rilevata una modifica tra due attributi, il tag esportato, che porterà il nome dell'attributo della fonte di destinazione, conterrà solo i valori finali dell'attributo. Non si conosce il dettaglio dei valori eliminati né dei nuovi valori aggiunti, né i valori che non sono stati modificati.
• Opzione non selezionata: se viene rilevata una modifica tra due attributi, possono essere esportati due tag che portano il nome dell'attributo della fonte di destinazione. Un primo tag contenente una sotto-operazione «ADD» e un secondo tag contenente una sotto-operazione «DEL». Il tag di sotto-operazione «ADD» conterrà solo i nuovi valori da aggiungere e il tag di sotto-operazione «DEL» conterrà solo i valori da eliminare. In questo caso, non si sa se esistono valori non modificati.

Questa opzione deve essere scelta in funzione del connettore e delle operazioni da eseguire nelle diverse regole di creazione, modifica o eliminazione.

È possibile configurare più regole di confronto, che verranno applicate tutte a tutti gli oggetti abbinati.

Creare/modificare le regole di creazione

Una regola di creazione consiste nel definire, da una parte, il valore dell'attributo di identificazione che verrà utilizzato al momento della scrittura delle creazioni e, dall'altra, gli attributi e i loro valori di cui verrà effettuato il provisioning nella fonte di destinazione per tutti gli oggetti definiti come creazioni. Un oggetto è definito come creazione quando è presente nella fonte autorevole ma non nella fonte di destinazione. I valori degli attributi possono essere alimentati a partire dagli attributi della fonte autorevole; è ciò che si chiama mappatura degli attributi. I valori degli attributi possono anche provenire da attributi configurati nelle regole di conversione oppure essere indicati mediante operazioni e parole chiave.

Nella regola «Matching», le regole di creazione si definiscono nel terzo riquadro della schermata. Fare clic su «New» per creare una nuova regola. Selezionare una regola e fare clic su «Modify» per modificarla o su «Delete» per eliminarla.

Una regola di creazione viene creata a partire da un'operazione. Consultare la pagina Elenco delle operazioni disponibili per regola per scegliere l'operazione necessaria al proprio caso d'uso.

Esempio di regola di creazione: mappatura di attributi monovalore o multivalore tra la fonte autorevole e la fonte di destinazione.

È possibile configurare più regole di creazione, che verranno applicate tutte a tutti gli oggetti identificati come creazioni.

Caso particolare dei repository di tipo directory:

Con il nuovo connettore di directory, è obbligatorio popolare l'attributo objectClass nella regola di creazione. A tale scopo, creare l'attributo objectClass in una regola di conversione applicata alla fonte, con i valori corrispondenti all'oggetto da creare:

• per un oggetto di tipo utente: Top, Person, organizationalPerson, user
• per un gruppo di sicurezza: Top, Group

Esempio di configurazione in SIP:

Formato ottenuto nel file di output sync.xml:

Raccomandazione

Verificare nella directory i valori dell'attributo objectClass di un oggetto analogo, per assicurarsi di utilizzare i valori corretti.

Per eseguire il provisioning della password di un account in una directory, l'attributo da popolare è unicodePwd.

Active Directory si aspetta in unicodePwd un valore codificato in UTF-16 e trasmesso in forma binaria: il connettore esegue autonomamente questa conversione, sia in creazione sia in modifica. Fornire la password in chiaro nella regola, senza codifica preliminare. La natura di «password» del valore viene mantenuta durante la copia degli attributi.

Attenzione

Active Directory accetta la scrittura di unicodePwd solo tramite una connessione cifrata. Il repository deve quindi essere configurato in LDAPS (porta 636 per impostazione predefinita) non appena occorre definire o modificare password, e l'account di servizio del connettore deve disporre del diritto di reimpostare la password degli oggetti interessati.

Nota

Se objectClass non è popolato, il connettore applica per impostazione predefinita, per un utente, top, person, organizationalPerson e user su Active Directory, oppure top, person, organizationalPerson e inetOrgPerson su OpenLDAP. Non fare affidamento su questi valori: popolare sempre objectClass in modo esplicito, come indicato sopra.

Creare/modificare le regole di modifica

Una regola di modifica consiste nel definire, da una parte, il valore dell'attributo di identificazione che verrà utilizzato al momento della scrittura delle modifiche e, dall'altra, in modo opzionale, gli attributi e i loro valori di cui verrà effettuato il provisioning nella fonte di destinazione su tutti gli oggetti definiti come modifiche. Si noti che, negli oggetti definiti come modifiche, i risultati delle regole di confronto vengono indicati automaticamente nella regola di modifica.

Nella regola «Matching», le regole di modifica si definiscono nel quarto riquadro della schermata. Fare clic su «New» per creare una nuova regola. Selezionare una regola e fare clic su «Modify» per modificarla o su «Delete» per eliminarla.

Una regola di modifica viene creata a partire da un'operazione. Consultare la pagina Elenco delle operazioni disponibili per regola per scegliere l'operazione necessaria al proprio caso d'uso.

Esempio di regola di modifica: definizione dell'attributo di identificazione dell'oggetto da modificare nella fonte di destinazione (directory). L'attributo «DNuser» viene indicato mediante un'espressione che utilizza la parola chiave «SyncAttDst» per recuperare il valore dell'attributo DN nella fonte di destinazione.

Creare/modificare le regole di eliminazione

Una regola di eliminazione consiste nel definire, da una parte, il valore dell'attributo di identificazione che verrà utilizzato al momento della scrittura delle eliminazioni e, dall'altra, in modo opzionale, gli attributi e i loro valori che verranno alimentati nella fonte di destinazione su tutti gli oggetti definiti come eliminazioni. La modifica degli attributi sugli oggetti definiti come eliminazioni è possibile solo quando l'oggetto non viene realmente eliminato. Un oggetto è definito come eliminazione quando è presente nella fonte di destinazione ma non nella fonte autorevole. Di conseguenza, i valori degli attributi possono provenire solo da attributi configurati nelle regole di conversione oppure essere indicati direttamente nelle regole di eliminazione mediante operazioni e parole chiave.

Attenzione

A partire dalla versione 7.1, le operazioni di una regola di eliminazione non possono più fare riferimento alla fonte di destinazione. Poiché tutto ciò che viene rilevato per l'eliminazione si trova necessariamente nella fonte di destinazione, non è più utile specificare che le informazioni vi verranno cercate. Utilizzare la parola chiave «SyncAttSrc» o le operazioni COPY, MULTCOPY, ecc. Durante un aggiornamento di versione, i connettori esistenti vengono migrati automaticamente.

Questa migrazione avviene al caricamento della configurazione: il motore applica la seguente mappatura.

In una regola di eliminazione, prima della 7.1	Sostituito da
SyncAttDst (per esempio <SyncAttDst:attribut>)	SyncAttSrc
DSTCOPY	COPY
MULTDSTCOPY	MULTCOPY

Correggere comunque le regole che utilizzano queste parole chiave: la configurazione visualizzata corrisponderà così a ciò che il motore esegue. ⚠ La sostituzione si applica al testo della regola, senza distinzione tra maiuscole e minuscole: riguarda anche le parole chiave che contengono questi termini, come SyncAttDstOperation o SyncAttDstType. Verificare questi casi dopo un aggiornamento di versione.

Nella regola «Matching», le regole di eliminazione si definiscono nel quinto riquadro della schermata. Fare clic su «New» per creare una nuova regola. Selezionare una regola e fare clic su «Modify» per modificarla o su «Delete» per eliminarla.

Una regola di eliminazione viene creata a partire da un'operazione. Consultare la pagina Elenco delle operazioni disponibili per regola per scegliere l'operazione necessaria al proprio caso d'uso.

Esempio di regola di eliminazione: definizione dell'attributo di identificazione dell'oggetto da eliminare nella fonte di destinazione (directory). L'attributo «DNuser» viene specificato tramite un'espressione che utilizza la parola chiave «SyncAttSrc» per recuperare il valore dell'attributo DN nella fonte di destinazione.

È possibile configurare più regole di eliminazione, che verranno applicate tutte a tutti gli oggetti identificati come eliminazioni.