Създаване/промяна на правила Matching¶

Правилата Matching всъщност са различните правила, в които, от една страна, сдвояваме обектите от авторитетния и от целевия източник, а от друга страна, дефинираме действията, които да се извършат при различните действия: създаване, промяна, изтриване.

Следователно правилата Matching се състоят от пет части:

Правило за сдвояване на два обекта
Правило за сравняване на атрибутите между два сдвоени обекта
Правило за създаване на обект
Правило за промяна на обект
Правило за изтриване на обект

Създаване/промяна на правила за сдвояване¶

Правилото за сдвояване се състои в дефиниране на атрибутите на авторитетния източник и на атрибутите на целевия източник, които трябва да съвпадат, за да се установи, че обектът в авторитетния източник съответства на обекта в целевия източник.

В правилото „Matching“ правилата за сдвояване се дефинират в първата рамка на екрана. Щракнете върху „New “, за да създадете ново правило. Изберете правило и щракнете върху „Modify“, за да го промените, или върху „Delete“, за да го изтриете.

Правилата за сдвояване се създават от операция. Вижте страницата Списък на наличните операции по правила, за да изберете операцията, която отговаря на вашия случай на употреба.

Пример за правило за сдвояване: За изходящото осигуряване (акаунти и упълномощавания) сме конфигурирали сдвояване на обектите по имената за влизане на акаунтите.

Възможно е да се конфигурират няколко правила за сдвояване и да се определи редът, в който те се прилагат.

Създаване на правила за сравнение¶

Правилото за сравнение се състои в дефиниране на атрибутите на авторитетния източник и на атрибутите на целевия източник, които ще бъдат сравнявани помежду си, за да се определят промените, които трябва да се направят.

В правилото „Matching“ правилата за сравнение се дефинират във втората рамка на екрана. Щракнете върху „New “, за да създадете ново правило. Изберете правило и щракнете върху „Modify“, за да го промените, или върху „Delete“, за да го изтриете.

Правилото за сравнение се създава от операция. Вижте страницата Списък на наличните операции по правила, за да изберете операцията, която отговаря на вашия случай на употреба.

Пример за правило за сравнение: списък с еднозначни атрибути се сравнява между двата източника.

Опция „Full“: при многозначните атрибути резултатите от правило за сравнение могат да бъдат експортирани и записани по два начина:

Опцията е отметната: ако бъде открита промяна между два атрибута, експортираният етикет, който ще носи името на атрибута на целевия източник, ще съдържа само крайните стойности на атрибута. Не знаем подробностите за изтритите стойности и за новодобавените стойности, нито дори за стойностите, които не са били променени.
Опцията не е отметната: ако бъде открита промяна между два атрибута, може да има два експортирани етикета с името на атрибута на целевия източник. Първи етикет, съдържащ подоперация „ADD“, и втори етикет, съдържащ подоперация „DEL“. Етикетът с подоперацията „ADD“ ще съдържа само новите стойности, които да бъдат добавени, а етикетът с подоперацията „DEL“ ще съдържа само стойностите, които да бъдат изтрити. В този случай не знаем дали има непроменени стойности.

Тази опция трябва да се избере в зависимост от конектора и от операциите, които трябва да се изпълнят в различните правила за създаване, промяна или изтриване.

Възможно е да се конфигурират няколко правила за сравнение, като всички те ще бъдат приложени към всички сдвоени обекти.

Създаване/промяна на правила за създаване¶

Правилото за създаване се състои в дефиниране, от една страна, на стойността на идентификационния атрибут, която ще се използва при записването на създаванията, и от друга страна, на атрибутите и техните стойности, които ще бъдат осигурени в целевия източник за всички обекти, определени като създавания. Обектът се определя като създаване, когато присъства в авторитетния източник, но не и в целевия източник. Стойностите на атрибутите могат да се попълват от атрибути в авторитетния източник; това се нарича съпоставяне на атрибути. Стойностите на атрибутите могат също да идват от атрибути, конфигурирани в правилата за преобразуване, или да бъдат указани чрез операции и ключови думи.

В правилото „Matching“ правилата за създаване се дефинират в третата рамка на екрана. Щракнете върху „New “, за да създадете ново правило. Изберете правило и щракнете върху „Modify“, за да го промените, или върху „Delete“, за да го изтриете.

Правилото за създаване се създава от операция. Вижте страницата Списък на наличните операции по правила, за да изберете операцията, която отговаря на вашия случай на употреба.

Пример за правило за създаване: Съпоставяне на еднозначни или многозначни атрибути между авторитетния източник и целевия източник.

Възможно е да се конфигурират няколко правила за създаване, като всички те ще бъдат приложени към всички обекти, идентифицирани като създавани.

Специален случай на хранилищата от тип директория:

С новия конектор за директории атрибутът objectClass трябва да бъде попълнен в правилото за създаване. За целта създайте атрибута objectClass в правило за преобразуване, приложено към източника, със стойностите, съответстващи на обекта, който да бъде създаден:

за обект от тип потребител: Top, Person, organizationalPerson, user
за група за защита: Top, Group

Пример за конфигурация в SIP:

Формат, получен в изходния файл sync.xml:

Препоръка

Проверете в директорията стойностите на атрибута objectClass, които има подобен обект, за да сте сигурни, че използвате правилните стойности.

За да осигурите паролата на акаунт в директория, атрибутът, който трябва да се попълни, е unicodePwd.

Active Directory очаква в unicodePwd стойност, кодирана в UTF-16 и предадена в двоичен вид: конекторът сам извършва това преобразуване както при създаване, така и при промяна. Въведете паролата в правилото като обикновен текст, без предварително кодиране. Характерът „парола“ на стойността се запазва при копиране на атрибутите.

Внимание

Active Directory приема записване на unicodePwd само през шифрована връзка. Следователно хранилището трябва да бъде конфигурирано в LDAPS (порт 636 по подразбиране), щом трябва да се задават или променят пароли, а акаунтът на услугата на конектора трябва да има правото да нулира паролата на съответните обекти.

Забележка

Ако objectClass не е попълнен, конекторът прилага по подразбиране за потребител top, person, organizationalPerson и user в Active Directory или top, person, organizationalPerson и inetOrgPerson в OpenLDAP. Не разчитайте на тези стойности: винаги попълвайте objectClass изрично, както е посочено по-горе.

Създаване/промяна на правила за промяна¶

Правилото за промяна се състои в дефиниране, от една страна, на стойността на идентификационния атрибут, която ще се използва при записването на промените, и от друга страна, по избор, на атрибутите и техните стойности, които ще бъдат осигурени в целевия източник за всички обекти, определени за промяна. Трябва да се отбележи, че при обектите, определени за промяна, резултатите от правилата за сравнение се указват автоматично в правилото за промяна.

В правилото „Matching“ правилата за промяна се дефинират в четвъртата рамка на екрана. Щракнете върху „New “, за да създадете ново правило. Изберете правило и щракнете върху „Modify“, за да го промените, или върху „Delete“, за да го изтриете.

Правилото за промяна се създава от операция. Вижте страницата Списък на наличните операции по правила, за да изберете операцията, която отговаря на вашия случай на употреба.

Пример за правило за промяна: Дефиниране на идентификационния атрибут на обекта, който да бъде променен в целевия източник (директория). Атрибутът „DNuser“ се указва чрез израз, който използва ключовата дума „SyncAttDst“, за да извлече стойността на атрибута DN в целевия източник.

Създаване/промяна на правила за изтриване¶

Правилото за изтриване се състои в дефиниране, от една страна, на стойността на идентификационния атрибут, която ще се използва при записването на изтриванията, и от друга страна, по избор, на атрибутите и техните стойности, които ще бъдат подадени в целевия източник за всички обекти, определени за изтриване. Промени на атрибутите на обектите, определени за изтриване, са възможни само когато обектът не се изтрива реално. Обектът се определя за изтриване, когато присъства в целевия източник, но не и в авторитетния източник. Следователно стойностите на атрибутите могат да идват само от атрибути, конфигурирани в правилата за преобразуване, или да бъдат указани директно в правилата за изтриване чрез операции и ключови думи.

Внимание

От версия 7.1 операциите на правило за изтриване вече не могат да се отнасят до целевия източник. Тъй като всичко, открито за изтриване, задължително се намира в целевия източник, вече не е необходимо да се указва, че информацията ще бъде търсена там. Използвайте ключовата дума „SyncAttSrc“ или операциите COPY, MULTCOPY и т.н. При надграждане съществуващите конектори се мигрират автоматично.

Тази миграция се извършва при зареждане на конфигурацията: механизмът прилага следното съответствие.

В правило за изтриване, преди 7.1	Заменя се с
`SyncAttDst` (например `<SyncAttDst:attribut>`)	`SyncAttSrc`
`DSTCOPY`	`COPY`
`MULTDSTCOPY`	`MULTCOPY`

Въпреки това коригирайте правилата си, които използват тези ключови думи: тогава показваната конфигурация ще съответства на това, което механизмът изпълнява. ⚠ Замяната се прилага към текста на правилото, независимо от малките и главните букви: тя засяга и ключовите думи, които съдържат тези низове, като например SyncAttDstOperation или SyncAttDstType. Проверете тези случаи след надграждане.

В правилото „Matching“ правилата за изтриване се дефинират в петата рамка на екрана. Щракнете върху „New “, за да създадете ново правило. Изберете правило и щракнете върху „Modify“, за да го промените, или върху „Delete“, за да го изтриете.

Правилото за изтриване се създава от операция. Вижте страницата Списък на наличните операции по правила, за да изберете операцията, която отговаря на вашия случай на употреба.

Пример за правило за изтриване: Дефиниране на идентификационния атрибут на обекта, който да бъде изтрит в целевия източник (директория). Атрибутът „DNuser“ се указва чрез израз, който използва ключовата дума „SyncAttSrc“, за да извлече стойността на атрибута DN в целевия източник.

Възможно е да се конфигурират няколко правила за изтриване, като всички те ще бъдат приложени към всички обекти, идентифицирани за изтриване.