Importregels aanmaken/wijzigen

Een importregel schrijft de uit te voeren acties (aanmaken, wijzigen, verwijderen) die in het DELTA-image staan.

Er moeten veiligheidsdrempels worden bepaald om de imports uit te voeren. Deze drempels maken het bovendien mogelijk mogelijke fouten te signaleren en dus schrijfbewerkingen te blokkeren. Een door de drempels geblokkeerde import kan worden bekeken, en het is mogelijk in te grijpen om die te bevestigen of te weigeren.

Afhankelijk van het type doelrepository zijn de te configureren importregels verschillend.

Gegevens importeren in een repository van het type directory (LDAP, AD, AD/LDS, OpenLDAP enzovoort)

• Attribuut DN: geef de naam op van het mappingattribuut dat de gegevens DN (Distinguished Name) bevat
• Objectklasse: bepaal het type object dat moet worden aangemaakt/gewijzigd/verwijderd. Per import is slechts één objecttype mogelijk.
• Optie om een beveiligingsgroep aan te maken als die niet bestaat: deze optie kan indien nodig worden ingeschakeld (het is mogelijk dat de beveiligingsgroepen op het moment van de provisioning niet bestaan).
  • Geef de doel-OU van de beveiligingsgroepen op. Let erop dat slechts één OU kan worden opgegeven, zodat alle groepen op dezelfde locatie worden aangemaakt.
• Optie om bewerkingen toe te voegen die na een actie aanmaken of wijzigen, of bij een verwijdering, moeten worden uitgevoerd. (Voorbeeld: een object bij een verwijdering naar een andere OU verplaatsen)
  • Mogelijke bewerkingen bij aanmaken/wijzigen/verwijderen:
    • EXEC: wordt uitgevoerd na de actie aanmaken/wijzigen/verwijderen
  • Mogelijke bewerkingen bij verwijderingen:
    • DELETE: standaard worden de objecten niet werkelijk uit de directory verwijderd. Om het object fysiek te verwijderen, moet de bewerking DELETE worden toegevoegd.
    • MOVE: maakt het mogelijk het object naar een andere OU te verplaatsen. De doel-OU moet in de expressie worden opgegeven.
    • MOVESUB: maakt het mogelijk de onderliggende objecten van het geëvalueerde object naar een andere OU te verplaatsen. De doel-OU moet in de expressie worden opgegeven.
• Opties voor een connector met de oplossing Systancia Access:
  • Script dat moet worden uitgevoerd wanneer een toegang wordt gewijzigd
  • Toegangsprofiel (DN) dat moet worden opgegeven als de optie om een container aan te maken is ingeschakeld
  • Het type object dat in de container moet worden aangemaakt als de optie om een container aan te maken is ingeschakeld
• Add SID object
• Filters van de groepen die bij verwijderacties moeten worden beheerd of uitgesloten:
  • Als de optie ”Exclude group from list” is aangevinkt: de lijst van groepen geeft aan welke niet mogen worden verwijderd
  • Als de optie ”Exclude group from list” niet is aangevinkt: de lijst van groepen geeft aan welke mogen worden verwijderd

Gegevens importeren in een repository van het type plat bestand (CSV)

• Kolommen: lijst van de attributen die aan het doelbestand moeten worden toegevoegd. De bewerking COPY moet worden gebruikt om de waarde van het attribuut aan de kolom van het bestand toe te voegen. Het scheidingsteken voor kolommen en voor meerdere waarden wordt in de repository bepaald.

Gegevens importeren in een repository van het type database (SQL Server, Oracle enzovoort)

Voor elke actie (aanmaken, wijzigen en verwijderen) kunnen een of meer opdrachten worden bepaald die in de doeldatabase moeten worden uitgevoerd.

Voor elke opdracht moet een van de volgende bewerkingen worden bepaald:

• EXEC: maakt het mogelijk een uitvoeringsopdracht te starten (batch, PowerShell enzovoort)
• FOREACH: maakt het mogelijk een query over meerdere attributen uit te voeren.
  • Lijst van attributen: geef de codes op van de attributen die moeten worden bijgewerkt. Let erop dat de codes zowel moeten overeenkomen met de naam van de kolom in de doeldatabase als met de naam van het attribuut in het DELTA-bestand. Elk attribuut moet worden gescheiden door het teken ”|”.
  • SQL-query: query die op elk in de lijst bepaald attribuut moet worden toegepast. Gebruik de tekenreeks <uid>, die door de attribuutnamen wordt vervangen.
• FOREACHVALUES: maakt het mogelijk een meerwaardig attribuut te beheren door evenveel regels aan te maken/te wijzigen als het attribuut waarden bevat.
  • De uitvoeringsvoorwaarde is verplicht en moet de naam bevatten van het meerwaardige attribuut (van de doelrepository) waarover een lus wordt uitgevoerd.
  • De expressie is verplicht en moet de uit te voeren query bevatten. Het meerwaardige attribuut waarover de lus loopt (opgegeven in de uitvoeringsvoorwaarde) moet in de query worden vervangen door de tekenreeks ”<param:uid_value>”.

Voorbeeld van een query:

INSERT INTO WikiApp 
(Login, Password, Nom, 
Prenom, Matricule, droit) 
VALUES 
('<SyncAttSrc:login>', '<SyncAttSrc:password>', '<SyncAttSrc:nom>', 
'<SyncAttSrc:prenom>', '<SyncAttSrc:matricule>', '<param:uid_value>')

Als het attribuut in het voorbeeld 3 waarden bevat, worden er 3 regels aangemaakt. De attributen login, password, nom, prenom en matricule hebben identieke waarden. Het attribuut right heeft in elke regel een andere waarde.

Let erop dat per bewerking slechts één meerwaardig attribuut kan worden bepaald.

• SELECT: maakt het mogelijk aanvullende waarden op te halen om het huidige object te verrijken.
  • De uitvoeringsvoorwaarde is verplicht. Die kan een formule bevatten die 0 teruggeeft als ze onwaar is, of 1 als ze waar is. Voer 1 in als u geen voorwaarde wilt stellen.
  • SQL-query: de query van het type SELECT is verplicht. De in de query geselecteerde attributen worden automatisch aan het huidige object toegevoegd, met de resultaten van de query als waarden.
• SQL: maakt het mogelijk een query UPDATE of DELETE uit te voeren door een uitvoeringsvoorwaarde op te geven.
  • De uitvoeringsvoorwaarde is verplicht. Die kan een formule bevatten die 0 teruggeeft als ze onwaar is, of 1 als ze waar is. Voer 1 in als u geen voorwaarde wilt stellen.
• SQL-query: query UPDATE of DELETE. De in de delta aanwezige attributen moeten met het trefwoord <syncattrsrc> worden doorgegeven.

Gegevens importeren in Systancia Identity

• Type object dat moet worden geïmporteerd: geef het importtype op uit de volgende lijst:
  • ACCOUNT: maakt alleen het bijwerken mogelijk van de attributen van bestaande accounts in Identity.
  • ENUM_ACCOUNT: om enumeratiewaarden van attributen van het type account te importeren.
  • ENUM_PERSON: om enumeratiewaarden van attributen van het type identiteit te importeren.
  • ENUM_RESOURCE: om enumeratiewaarden van attributen van het type toewijzing te importeren.
  • ENUM_STRUCTURE: om enumeratiewaarden van attributen van het type structuur te importeren.
  • MATCHINGTABLE: om waarden in de mappingtabellen te importeren.
  • PERSON: om identiteiten te importeren.
  • PERSONACCESS: bij import niet ondersteund.
  • RESOURCE: om toewijzingen te importeren.
  • RIGHT: om autorisaties te importeren.
  • ROLE: om rollen te importeren.
  • STATUS: om de provisioningstatussen van de accounts, de rollen of de autorisaties te importeren.
    • Geef de repository op. Die moet uniek zijn.
  • STRUCTURE: om structuren te importeren.
  • HABILITATIONCALC: maakt het mogelijk een massale herberekening van de autorisatie- en SoD-regels voor iedereen te starten.
  • PERSON_ROLES: om de koppelingen identiteit-rol te importeren.
  • PERSON_RIGHTS: om de koppelingen identiteit-rol-autorisatie te importeren.
  • ACCOUNTCALC: maakt het mogelijk de accounts van de betrokken repository opnieuw te berekenen.

Bij het importeren van objecten zoals identiteiten, structuren of toewijzingen bestaat er een optie om de directe berekening van de autorisatie- en SoD-regels uit te schakelen. Het selectievakje moet worden aangevinkt op alle connectoren voor de upstream-toevoer die bij de dagelijkse synchronisatie betrokken zijn, om de berekeningen uit te schakelen.

Als deze optie is aangevinkt, moet aan het einde van de connectoren voor de upstream-toevoer een import voor het herberekenen van de regels worden gestart om de berekening in batch te activeren.

De accountberekeningen uitschakelen

Sinds SP3 van CyberElements Identity 7.0 is er een nieuwe optie beschikbaar in de imports van de upstream-connectoren voor personen, structuren, toewijzingen en autorisatieregels.

Met deze optie kunnen de directe accountberekeningen worden uitgeschakeld bij het aanmaken, wijzigen of verwijderen van objecten die gevolgen voor accounts kunnen hebben.

Het wordt aanbevolen deze optie aan te vinken wanneer de provisioningsequentie grote volumes moet verwerken.

Als deze optie wordt aangevinkt, moet aan het einde van de imports in CyberElements Identity een import voor het berekenen van de in de configuratie opgegeven accounttypen worden uitgevoerd om over correcte gegevens te beschikken.