Matching-regels aanmaken/wijzigen

De Matching-regels zijn in werkelijkheid de verschillende regels waarmee enerzijds de objecten van de gezaghebbende bron en van de doelbron aan elkaar worden gekoppeld en anderzijds de uit te voeren acties worden bepaald: aanmaken, wijzigen, verwijderen.

De Matching-regels bestaan dus uit vijf delen:

• Regel voor het koppelen van twee objecten
• Regel voor het vergelijken van de attributen tussen twee gekoppelde objecten
• Regel voor het aanmaken van een object
• Regel voor het wijzigen van een object
• Regel voor het verwijderen van een object

Koppelingsregels aanmaken/wijzigen

Een koppelingsregel bestaat erin de attributen van de gezaghebbende bron en de attributen van de doelbron te bepalen die moeten overeenkomen om vast te stellen dat het object van de gezaghebbende bron overeenstemt met het object van de doelbron.

In de regel ”Matching” worden de koppelingsregels in het eerste kader van het scherm bepaald. Klik op ”New ” om een nieuwe regel aan te maken. Selecteer een regel en klik op ”Modify” om die te wijzigen, of op ”Delete” om die te verwijderen.

Koppelingsregels worden aangemaakt op basis van een bewerking. Raadpleeg de pagina Lijst van de per regel beschikbare bewerkingen om de bewerking te kiezen die uw gebruiksscenario vereist.

Voorbeeld van een koppelingsregel: voor de downstream-provisioning (accounts en autorisaties) is de koppeling van de objecten geconfigureerd op de logins van de accounts.

Er kunnen meerdere koppelingsregels worden geconfigureerd en de volgorde waarin ze worden toegepast, kan worden bepaald.

Vergelijkingsregels aanmaken

Een vergelijkingsregel bestaat erin de attributen van de gezaghebbende bron en de attributen van de doelbron te bepalen die met elkaar worden vergeleken om de door te voeren wijzigingen vast te stellen.

In de regel ”Matching” worden de vergelijkingsregels in het tweede kader van het scherm bepaald. Klik op ”New ” om een nieuwe regel aan te maken. Selecteer een regel en klik op ”Modify” om die te wijzigen, of op ”Delete” om die te verwijderen.

Een vergelijkingsregel wordt aangemaakt op basis van een bewerking. Raadpleeg de pagina Lijst van de per regel beschikbare bewerkingen om de bewerking te kiezen die uw gebruiksscenario vereist.

Voorbeeld van een vergelijkingsregel: een lijst van eenwaardige attributen wordt tussen de twee bronnen vergeleken.

Optie ”Full”: de resultaten van een vergelijkingsregel kunnen bij meerwaardige attributen op twee manieren worden geëxporteerd en geschreven:

• Optie aangevinkt: als er tussen twee attributen een wijziging wordt vastgesteld, bevat de geëxporteerde tag, die de naam van het attribuut van de doelbron draagt, alleen de eindwaarden van het attribuut. Het detail van de verwijderde waarden en van de nieuwe toegevoegde waarden is niet bekend, en evenmin de waarden die niet zijn gewijzigd.
• Optie niet aangevinkt: als er tussen twee attributen een wijziging wordt vastgesteld, kunnen er twee tags worden geëxporteerd die de naam van het attribuut van de doelbron dragen. Een eerste tag met een subbewerking ”ADD” en een tweede tag met een subbewerking ”DEL”. De tag van de subbewerking ”ADD” bevat alleen de nieuwe waarden die moeten worden toegevoegd, en de tag van de subbewerking ”DEL” alleen de waarden die moeten worden verwijderd. In dat geval is niet bekend of er ongewijzigde waarden zijn.

Deze optie moet worden gekozen op basis van de connector en van de bewerkingen die in de verschillende regels voor aanmaken, wijzigen of verwijderen moeten worden uitgevoerd.

Er kunnen meerdere vergelijkingsregels worden geconfigureerd, die alle op alle gekoppelde objecten worden toegepast.

Aanmaakregels aanmaken/wijzigen

Een aanmaakregel bestaat erin enerzijds de waarde van het identificatieattribuut te bepalen dat bij het schrijven van de aanmaken wordt gebruikt, en anderzijds de attributen en hun waarden die in de doelbron worden geprovisioneerd voor alle objecten die als aanmaak zijn bepaald. Een object wordt als aanmaak bepaald wanneer het in de gezaghebbende bron aanwezig is maar niet in de doelbron. De waarden van de attributen kunnen uit de attributen van de gezaghebbende bron worden gevoed; dat wordt de mapping van de attributen genoemd. De waarden van de attributen kunnen ook afkomstig zijn van attributen die in de conversieregels zijn geconfigureerd, of via bewerkingen en trefwoorden worden opgegeven.

In de regel ”Matching” worden de aanmaakregels in het derde kader van het scherm bepaald. Klik op ”New ” om een nieuwe regel aan te maken. Selecteer een regel en klik op ”Modify” om die te wijzigen, of op ”Delete” om die te verwijderen.

Een aanmaakregel wordt aangemaakt op basis van een bewerking. Raadpleeg de pagina Lijst van de per regel beschikbare bewerkingen om de bewerking te kiezen die uw gebruiksscenario vereist.

Voorbeeld van een aanmaakregel: mapping van eenwaardige of meerwaardige attributen tussen de gezaghebbende bron en de doelbron.

Er kunnen meerdere aanmaakregels worden geconfigureerd, die alle op alle als aanmaak geïdentificeerde objecten worden toegepast.

Bijzonder geval van repositories van het type directory:

Met de nieuwe directoryconnector moet het attribuut objectClass in de aanmaakregel worden ingevuld. Maak daarvoor het attribuut objectClass aan in een conversieregel die op de bron wordt toegepast, met de waarden die overeenkomen met het aan te maken object:

• voor een object van het type gebruiker: Top, Person, organizationalPerson, user
• voor een beveiligingsgroep: Top, Group

Voorbeeld van configuratie in SIP:

Formaat dat in het uitvoerbestand sync.xml wordt verkregen:

Aanbeveling

Controleer in de directory de waarden van het attribuut objectClass van een vergelijkbaar object, om er zeker van te zijn dat u de juiste waarden gebruikt.

Om het wachtwoord van een account in een directory te provisioneren, moet het attribuut unicodePwd worden ingevuld.

Active Directory verwacht in unicodePwd een waarde die in UTF-16 is gecodeerd en in binaire vorm wordt verzonden: de connector voert deze conversie zelf uit, zowel bij het aanmaken als bij het wijzigen. Geef het wachtwoord in leesbare vorm op in de regel, zonder voorafgaande codering. Het kenmerk ”wachtwoord” van de waarde blijft behouden wanneer attributen worden gekopieerd.

Waarschuwing

Active Directory accepteert het schrijven van unicodePwd alleen via een versleutelde verbinding. De repository moet dus in LDAPS (standaard poort 636) worden geconfigureerd zodra wachtwoorden moeten worden ingesteld of gewijzigd, en het serviceaccount van de connector moet het recht hebben om het wachtwoord van de betrokken objecten opnieuw in te stellen.

Opmerking

Als objectClass niet is ingevuld, past de connector voor een gebruiker standaard top, person, organizationalPerson en user toe op Active Directory, of top, person, organizationalPerson en inetOrgPerson op OpenLDAP. Vertrouw niet op deze waarden: vul objectClass altijd expliciet in, zoals hierboven aangegeven.

Wijzigingsregels aanmaken/wijzigen

Een wijzigingsregel bestaat erin enerzijds de waarde van het identificatieattribuut te bepalen dat bij het schrijven van de wijzigingen wordt gebruikt, en anderzijds — optioneel — de attributen en hun waarden die in de doelbron worden geprovisioneerd op alle objecten die als wijziging zijn bepaald. Let erop dat bij de als wijziging bepaalde objecten de resultaten van de vergelijkingsregels automatisch in de wijzigingsregel worden opgenomen.

In de regel ”Matching” worden de wijzigingsregels in het vierde kader van het scherm bepaald. Klik op ”New ” om een nieuwe regel aan te maken. Selecteer een regel en klik op ”Modify” om die te wijzigen, of op ”Delete” om die te verwijderen.

Een wijzigingsregel wordt aangemaakt op basis van een bewerking. Raadpleeg de pagina Lijst van de per regel beschikbare bewerkingen om de bewerking te kiezen die uw gebruiksscenario vereist.

Voorbeeld van een wijzigingsregel: bepaling van het identificatieattribuut van het object dat in de doelbron (directory) moet worden gewijzigd. Het attribuut ”DNuser” wordt opgegeven via een expressie die het trefwoord ”SyncAttDst” gebruikt om de waarde van het attribuut DN in de doelbron op te halen.

Verwijderregels aanmaken/wijzigen

Een verwijderregel bestaat erin enerzijds de waarde van het identificatieattribuut te bepalen dat bij het schrijven van de verwijderingen wordt gebruikt, en anderzijds — optioneel — de attributen en hun waarden die in de doelbron worden gevoed op alle objecten die als verwijdering zijn bepaald. Attributen wijzigen op objecten die als verwijdering zijn bepaald, is alleen mogelijk wanneer het object niet werkelijk wordt verwijderd. Een object wordt als verwijdering bepaald wanneer het in de doelbron aanwezig is maar niet in de gezaghebbende bron. Bijgevolg kunnen de waarden van de attributen alleen afkomstig zijn van attributen die in de conversieregels zijn geconfigureerd, of rechtstreeks in de verwijderregels via bewerkingen en trefwoorden worden opgegeven.

Waarschuwing

Vanaf versie 7.1 kunnen de bewerkingen van een verwijderregel niet meer naar de doelbron verwijzen. Aangezien alles wat voor verwijdering wordt gedetecteerd zich noodzakelijkerwijs in de doelbron bevindt, is het niet langer nuttig aan te geven dat de informatie daar wordt gezocht. Gebruik het trefwoord ”SyncAttSrc” of de bewerkingen COPY, MULTCOPY enzovoort. Bij een upgrade worden de bestaande connectoren automatisch gemigreerd.

Deze migratie vindt plaats bij het laden van de configuratie: de engine past dan de volgende mapping toe.

In een verwijderregel, vóór 7.1	Vervangen door
SyncAttDst (bijvoorbeeld <SyncAttDst:attribut>)	SyncAttSrc
DSTCOPY	COPY
MULTDSTCOPY	MULTCOPY

Corrigeer niettemin uw regels die deze trefwoorden gebruiken: de weergegeven configuratie komt dan overeen met wat de engine uitvoert. ⚠ De vervanging geldt voor de tekst van de regel, ongeacht hoofdletters of kleine letters: ze treft ook trefwoorden die deze termen bevatten, zoals SyncAttDstOperation of SyncAttDstType. Controleer deze gevallen na een upgrade.

In de regel ”Matching” worden de verwijderregels in het vijfde kader van het scherm bepaald. Klik op ”New ” om een nieuwe regel aan te maken. Selecteer een regel en klik op ”Modify” om die te wijzigen, of op ”Delete” om die te verwijderen.

Een verwijderregel wordt aangemaakt op basis van een bewerking. Raadpleeg de pagina Lijst van de per regel beschikbare bewerkingen om de bewerking te kiezen die uw gebruiksscenario vereist.

Voorbeeld van een verwijderregel: definitie van het identificatieattribuut van het te verwijderen object in de doelbron (directory). Het attribuut ”DNuser” wordt opgegeven met een expressie die het trefwoord ”SyncAttSrc” gebruikt om de waarde van het attribuut DN in de doelbron op te halen.

Er kunnen meerdere verwijderregels worden geconfigureerd, die alle op alle als verwijdering geïdentificeerde objecten worden toegepast.