Създаване/промяна на правила за импортиране

Правилото за импортиране записва действията за изпълнение (създаване, промяна, изтриване), които се намират в образа DELTA.

За да се извършват импортирания, трябва да се дефинират прагове за сигурност. Тези прагове позволяват също да се откриват потенциални грешки и съответно да се блокират записите. Импортиране, блокирано от праговете, може да бъде прегледано и да се предприеме действие за потвърждаването или отхвърлянето му.

Правилата за импортиране, които трябва да се конфигурират, се различават според типа на целевото хранилище.

Импортиране на данни в хранилище от тип директория (LDAP, AD, AD/LDS, OpenLDAP и т.н.)

• Атрибут DN: укажете името на атрибута за съпоставяне, който съдържа информацията за DN (Distinguished Name)
• Клас на обекта: дефинирайте типа на обекта, който да бъде създаден/променен/изтрит. Възможен е само един тип обект за едно импортиране.
• Опция за създаване на група за защита, ако тя не съществува: тази опция може да бъде активирана при необходимост (възможно е групите за защита да не съществуват в момента на осигуряването).
  • Укажете целевото OU за групите за защита. Имайте предвид, че може да се укаже само едно OU, така че всички групи ще бъдат създадени на едно и също място.
• Опция за добавяне на операции, които да се изпълнят след действие за създаване или промяна или при изтриване. (Пример: преместване на обект в друго OU при изтриване)
  • Възможни операции при създаване/промяна/изтриване:
    • EXEC: ще бъде изпълнена след действието за създаване/промяна/изтриване
  • Възможни операции при изтриване:
    • DELETE: по подразбиране обектите не се изтриват реално от директорията. За да изтриете физически обекта, трябва да добавите операцията DELETE.
    • MOVE: позволява обектът да бъде преместен в друго OU. Целевото OU трябва да бъде указано в израза.
    • MOVESUB: позволява дъщерните обекти на оценявания обект да бъдат преместени в друго OU. Целевото OU трябва да бъде указано в израза.
• Опции за конектор с решението Systancia Access:
  • Скрипт, който да се изпълни при промяна на достъп
  • Профил за достъп (DN), който трябва да се укаже, ако опцията за създаване на контейнер е активирана
  • Типът на обекта, който да бъде създаден в контейнера, ако опцията за създаване на контейнер е активирана
• Add SID object
• Филтри за групите, които да бъдат управлявани или изключени при действията за изтриване:
  • Ако опцията „Exclude group from list“ е отметната: списъкът с групи указва тези, които не трябва да бъдат изтривани
  • Ако опцията „Exclude group from list“ не е отметната: списъкът с групи указва тези, които могат да бъдат изтрити
  • От версия 7.1 този списък вече не е необходимо да се въвежда ръчно, когато опцията „Synchronization of groups managed by Identity only“ е отметната в конфигурацията на SIP за хранилището: тогава SIP разчита на списъка с групите, управлявани в CyberElements Identity.

Импортиране на данни в хранилище от тип плосък файл (CSV)

• Колони: списък на атрибутите, които да бъдат добавени в целевия файл. Трябва да използвате операцията COPY, за да добавите стойността на атрибута в колоната на файла. Разделителят на колоните и на многозначните стойности се дефинира в хранилището.

От версия 7.1, когато опцията „Ignore the first lign“ е отметната в конфигурацията на хранилището, заглавният ред на файла се запазва по време на импортирането.

Импортиране на данни в хранилище от тип база данни (SQL Server, Oracle и т.н.)

За всяко действие (създаване, промяна и изтриване) е възможно да се дефинират една или няколко команди, които да се изпълнят в целевата база данни.

За всяка команда трябва да се дефинира една от следните операции:

• EXEC: позволява ви да стартирате команда за изпълнение (batch, PowerShell и т.н.)
• FOREACH: позволява ви да изпълните заявка върху няколко атрибута.
  • Списък с атрибути: укажете кодовете на атрибутите, които да бъдат актуализирани. Имайте предвид, че кодовете трябва да съответстват както на името на колоната в целевата база данни, така и на името на атрибута във файла DELTA. Атрибутите трябва да бъдат разделени със знака „|“.
  • SQL заявка: заявка, която да се приложи към всеки атрибут, дефиниран в списъка. Използвайте низа <uid>, който ще бъде заменен с имената на атрибутите.
• FOREACHVALUES: позволява ви да управлявате многозначен атрибут, като създавате/променяте толкова реда, колкото стойности съдържа атрибутът.
  • Условието за изпълнение е задължително и трябва да съдържа името на многозначния атрибут (на целевото хранилище), върху който ще се изпълни цикъл.
  • Изразът е задължителен и трябва да съдържа заявката, която да се изпълни. Многозначният атрибут, върху който се изпълнява цикълът (указан в условието за изпълнение), трябва да бъде заменен в заявката с низа „<param:uid_value>“.

Пример за заявка:

INSERT INTO WikiApp 
(Login, Password, Nom, 
Prenom, Matricule, droit) 
VALUES 
('<SyncAttSrc:login>', '<SyncAttSrc:password>', '<SyncAttSrc:nom>', 
'<SyncAttSrc:prenom>', '<SyncAttSrc:matricule>', '<param:uid_value>')

В примера, ако атрибутът съдържа 3 стойности, ще бъдат създадени 3 реда. Атрибутите login, password, nom, prenom и matricule ще имат еднакви стойности. Атрибутът right ще има различна стойност във всеки ред.

Имайте предвид, че за една операция може да се дефинира само един многозначен атрибут.

• SELECT: позволява ви да извлечете допълнителни стойности, за да допълните текущия обект.
  • Условието за изпълнение е задължително. То може да съдържа формула, която връща 0, ако е невярна, или 1, ако е вярна. Трябва да въведете 1, ако не искате да задавате условие.
  • SQL заявка: заявката от тип SELECT е задължителна. Атрибутите, избрани в заявката, ще бъдат добавени автоматично към текущия обект с резултатите от заявката като стойности.
• SQL. Позволява ви да изпълните заявка UPDATE или DELETE, като укажете условие за изпълнение.
  • Условието за изпълнение е задължително. То може да съдържа формула, която връща 0, ако е невярна, или 1, ако е вярна. Трябва да въведете 1, ако не искате да задавате условие.
• SQL заявка: заявка UPDATE или DELETE. Атрибутите, налични в делтата, трябва да се подават с ключовата дума <syncattrsrc>.

Импортиране на данни в CyberElements Identity

• Тип на обекта за импортиране: укажете типа на импортирането от следния списък:
  • ACCOUNT: позволява само актуализиране на атрибутите на съществуващи акаунти в Identity. Една опция ви позволява да зададете теоретичното състояние „Archived“ на акаунтите, идентифицирани в операциите за изтриване.
  • ENUM_ACCOUNT: за импортиране на стойности на изброявания за атрибути от тип акаунт.
  • ENUM_PERSON: за импортиране на стойности на изброявания за атрибути от тип самоличност.
  • ENUM_RESOURCE: за импортиране на стойности на изброявания за атрибути от тип предоставяне.
  • ENUM_STRUCTURE: за импортиране на стойности на изброявания за атрибути от тип структура.
  • MATCHINGTABLE: за импортиране на стойности в таблиците за съответствие.
  • PERSON: за импортиране на самоличности.
  • PERSONACCESS: не се поддържа при импортиране.
  • RESOURCE: за импортиране на предоставяния.
  • RIGHT: за импортиране на упълномощавания.
  • ROLE: за импортиране на роли.
  • STATUS: за импортиране на състоянията на осигуряването на акаунти, роли или упълномощавания. Една опция ви позволява да зададете теоретичното състояние „Archived“ на акаунтите, идентифицирани в операциите за изтриване.
    • Укажете хранилището. Трябва да бъде уникално.
  • STRUCTURE: за импортиране на структури.
  • HABILITATIONCALC: позволява ви да стартирате масово преизчисляване на правилата за упълномощаване и на правилата за SoD за всички.
  • PERSON_ROLES: за импортиране на връзки „самоличност – роля“.
  • PERSON_RIGHTS: за импортиране на връзки „самоличност – роля – упълномощаване“.
  • ACCOUNTCALC: позволява ви да преизчислите акаунтите в съответното хранилище.

При импортиране на обекти като самоличности, структури или предоставяния има опция за деактивиране на изчисляването в движение на правилата за упълномощаване и на правилата за SoD. За да деактивирате изчисленията, трябва да поставите отметка в квадратчето във всички входящи конектори за осигуряване, участващи в ежедневната синхронизация.

Ако тази опция е отметната, ще трябва да стартирате импортиране за преизчисляване на правилата в края на входящите конектори за осигуряване, за да стартирате пакетното изчисление.

Деактивиране на изчисляването на акаунтите

От SP3 на CyberElements Identity 7.0 във входящите импортирания на конекторите за лица, структури, предоставяния и правила за упълномощаване е налична нова опция.

Тази опция ви позволява да деактивирате изчисляването в движение на акаунтите при създаване, промяна или изтриване на обекти, които могат да окажат влияние върху акаунтите.

Препоръчително е да поставите отметка в тази опция, ако последователността за осигуряване трябва да обработи големи обеми.

Ако поставите отметка в тази опция, трябва да изпълните импортиране за изчисляване на типовете акаунти, указани в конфигурацията, в края на импортиранията в CyberElements Identity, за да имате правилни данни.