Criar/modificar as regras de Matching

As regras de Matching são, na realidade, as diferentes regras com as quais, por um lado, se emparelham os objetos das fontes autorizada e de destino e, por outro, se definem as ações que devem ser realizadas nas diferentes ações: criação, modificação, eliminação.

As regras de Matching compõem-se, por conseguinte, de cinco partes:

• Regra de emparelhamento de dois objetos
• Regra de comparação dos atributos entre dois objetos emparelhados
• Regra de criação de um objeto
• Regra de modificação de um objeto
• Regra de eliminação de um objeto

Criar/modificar as regras de emparelhamento

Uma regra de emparelhamento consiste em definir os atributos da fonte autorizada e os atributos da fonte de destino que devem coincidir para estabelecer que o objeto da fonte autorizada corresponde ao objeto da fonte de destino.

Na regra «Matching», as regras de emparelhamento definem-se no primeiro quadro do ecrã. Clique em «New » para criar uma nova regra. Selecione uma regra e clique em «Modify» para a modificar ou em «Delete» para a eliminar.

As regras de emparelhamento criam-se a partir de uma operação. Consulte a página Lista de operações disponíveis por regra para escolher a operação de que necessita para o seu caso de utilização.

Exemplo de regra de emparelhamento: para o aprovisionamento descendente (contas e autorizações), o emparelhamento dos objetos foi configurado sobre os identificadores das contas.

É possível configurar várias regras de emparelhamento e definir a ordem pela qual são aplicadas.

Criar as regras de comparação

Uma regra de comparação consiste em definir os atributos da fonte autorizada e os atributos da fonte de destino que serão comparados entre si para determinar as modificações que devem ser realizadas.

Na regra «Matching», as regras de comparação definem-se no segundo quadro do ecrã. Clique em «New » para criar uma nova regra. Selecione uma regra e clique em «Modify» para a modificar ou em «Delete» para a eliminar.

Uma regra de comparação cria-se a partir de uma operação. Consulte a página Lista de operações disponíveis por regra para escolher a operação de que necessita para o seu caso de utilização.

Exemplo de regra de comparação: compara-se uma lista de atributos monovalor entre as duas fontes.

Opção «Full»: os resultados de uma regra de comparação podem ser exportados e escritos de duas formas para os atributos multivalor:

• Opção selecionada: se for detetada uma modificação entre dois atributos, a etiqueta exportada, que terá o nome do atributo da fonte de destino, conterá apenas os valores finais do atributo. Não se conhece o detalhe dos valores eliminados nem dos novos valores adicionados, nem tão-pouco os valores que não foram modificados.
• Opção não selecionada: se for detetada uma alteração entre dois atributos, podem ser exportadas duas etiquetas com o nome do atributo da fonte de destino. Uma primeira etiqueta que contém uma suboperação «ADD» e uma segunda etiqueta que contém uma suboperação «DEL». A etiqueta da suboperação «ADD» conterá apenas os novos valores a adicionar, e a etiqueta da suboperação «DEL» conterá apenas os valores a eliminar. Neste caso, não se sabe se existem valores não modificados.

Esta opção deve ser escolhida em função do conector e das operações que devam ser realizadas nas diferentes regras de criação, modificação ou eliminação.

É possível configurar várias regras de comparação, que serão todas aplicadas a todos os objetos emparelhados.

Criar/modificar as regras de criação

Uma regra de criação consiste em definir, por um lado, o valor do atributo de identificação que será utilizado ao escrever as criações e, por outro, os atributos e os seus valores que serão aprovisionados na fonte de destino para todos os objetos definidos como criações. Um objeto define-se como uma criação quando está presente na fonte autorizada mas não na fonte de destino. Os valores dos atributos podem ser alimentados a partir dos atributos da fonte autorizada; é o que se designa por mapeamento de atributos. Os valores dos atributos podem também provir de atributos configurados nas regras de conversão ou ser indicados através de operações e palavras-chave.

Na regra «Matching», as regras de criação definem-se no terceiro quadro do ecrã. Clique em «New » para criar uma nova regra. Selecione uma regra e clique em «Modify» para a modificar ou em «Delete» para a eliminar.

Uma regra de criação cria-se a partir de uma operação. Consulte a página Lista de operações disponíveis por regra para escolher a operação de que necessita para o seu caso de utilização.

Exemplo de regra de criação: mapeamento de atributos monovalor ou multivalor entre a fonte autorizada e a fonte de destino.

É possível configurar várias regras de criação, que serão todas aplicadas a todos os objetos identificados como criações.

Caso particular dos repositórios do tipo diretório:

Com o novo conector de diretório, o atributo objectClass tem de ser preenchido na regra de criação. Para isso, crie o atributo objectClass numa regra de conversão aplicada à fonte, com os valores correspondentes ao objeto a criar:

• para um objeto do tipo utilizador: Top, Person, organizationalPerson, user
• para um grupo de segurança: Top, Group

Exemplo de configuração no SIP:

Formato obtido no ficheiro sync.xml de saída:

Recomendação

Verifique no diretório os valores do atributo objectClass de um objeto semelhante, para garantir que utiliza os valores corretos.

Para aprovisionar a palavra-passe de uma conta num diretório, o atributo a preencher é unicodePwd.

O Active Directory espera em unicodePwd um valor codificado em UTF-16 e transmitido em formato binário: o próprio conector efetua esta conversão, tanto na criação como na modificação. Forneça a palavra-passe em texto simples na regra, sem codificação prévia. A natureza «palavra-passe» do valor é preservada quando os atributos são copiados.

Atenção

O Active Directory só aceita a escrita de unicodePwd através de uma ligação cifrada. O repositório deve, portanto, ser configurado em LDAPS (porta 636 por predefinição) logo que seja necessário definir ou modificar palavras-passe, e a conta de serviço do conector deve dispor do direito de repor a palavra-passe dos objetos em causa.

Nota

Se objectClass não for preenchido, o conector aplica por predefinição, para um utilizador, top, person, organizationalPerson e user no Active Directory, ou top, person, organizationalPerson e inetOrgPerson no OpenLDAP. Não confie nestes valores: preencha sempre objectClass explicitamente, como indicado acima.

Criar/modificar as regras de modificação

Uma regra de modificação consiste em definir, por um lado, o valor do atributo de identificação que será utilizado ao escrever as modificações e, por outro, de forma opcional, os atributos e os seus valores que serão aprovisionados na fonte de destino em todos os objetos definidos como modificações. Convém assinalar que, nos objetos definidos como modificações, os resultados das regras de comparação são indicados automaticamente na regra de modificação.

Na regra «Matching», as regras de modificação definem-se no quarto quadro do ecrã. Clique em «New » para criar uma nova regra. Selecione uma regra e clique em «Modify» para a modificar ou em «Delete» para a eliminar.

Uma regra de modificação cria-se a partir de uma operação. Consulte a página Lista de operações disponíveis por regra para escolher a operação de que necessita para o seu caso de utilização.

Exemplo de regra de modificação: definição do atributo de identificação do objeto que se vai modificar na fonte de destino (diretório). O atributo «DNuser» indica-se através de uma expressão que utiliza a palavra-chave «SyncAttDst» para recuperar o valor do atributo DN na fonte de destino.

Criar/modificar as regras de eliminação

Uma regra de eliminação consiste em definir, por um lado, o valor do atributo de identificação que será utilizado ao escrever as eliminações e, por outro, de forma opcional, os atributos e os seus valores que serão alimentados na fonte de destino em todos os objetos definidos como eliminações. A modificação de atributos nos objetos definidos como eliminações só é possível quando não existe eliminação real do objeto. Um objeto define-se como uma eliminação quando está presente na fonte de destino mas não na fonte autorizada. Por conseguinte, os valores dos atributos só podem provir de atributos configurados nas regras de conversão ou ser indicados diretamente nas regras de eliminação através de operações e palavras-chave.

Atenção

A partir da versão 7.1, as operações de uma regra de eliminação já não podem fazer referência à fonte de destino. Uma vez que tudo o que é detetado para eliminação se encontra necessariamente na fonte de destino, já não é útil especificar que a informação será procurada nela. Utilize a palavra-chave «SyncAttSrc» ou as operações COPY, MULTCOPY, etc. Durante um upgrade de versão, os conectores existentes são migrados automaticamente.

Esta migração ocorre no carregamento da configuração: o motor aplica então a correspondência seguinte.

Numa regra de eliminação, antes da 7.1	Substituído por
SyncAttDst (por exemplo <SyncAttDst:attribut>)	SyncAttSrc
DSTCOPY	COPY
MULTDSTCOPY	MULTCOPY

No entanto, corrija as suas regras que utilizam estas palavras-chave: a configuração apresentada corresponderá então ao que o motor executa. ⚠ A substituição aplica-se ao texto da regra, sem distinguir maiúsculas de minúsculas: afeta também as palavras-chave que contêm estes termos, como SyncAttDstOperation ou SyncAttDstType. Verifique estes casos após um upgrade de versão.

Na regra «Matching», as regras de eliminação definem-se no quinto quadro do ecrã. Clique em «New » para criar uma nova regra. Selecione uma regra e clique em «Modify» para a modificar ou em «Delete» para a eliminar.

Uma regra de eliminação cria-se a partir de uma operação. Consulte a página Lista de operações disponíveis por regra para escolher a operação de que necessita para o seu caso de utilização.

Exemplo de regra de eliminação: definição do atributo de identificação do objeto a eliminar na fonte de destino (diretório). O atributo «DNuser» é especificado através de uma expressão que utiliza a palavra-chave «SyncAttSrc» para recuperar o valor do atributo DN na fonte de destino.

É possível configurar várias regras de eliminação, que serão todas aplicadas a todos os objetos identificados como eliminações.