Stvaranje/izmjena pravila Matching

Pravila Matching zapravo su različita pravila u kojima, s jedne strane, uparujemo objekte iz mjerodavnog i ciljnog izvora i, s druge strane, definiramo radnje koje treba izvršiti za različite akcije: stvaranje, izmjenu, brisanje.

Pravila Matching stoga se sastoje od pet dijelova:

• Pravilo za uparivanje dvaju objekata
• Pravilo za usporedbu atributa između dvaju uparenih objekata
• Pravilo za stvaranje objekta
• Pravilo za izmjenu objekta
• Pravilo za brisanje objekta

Stvaranje/izmjena pravila uparivanja

Pravilo uparivanja sastoji se od definiranja atributa mjerodavnog izvora i atributa ciljnog izvora koji se moraju podudarati kako bi se utvrdilo da objekt u mjerodavnom izvoru odgovara objektu u ciljnom izvoru.

U pravilu „Matching“ pravila uparivanja definiraju se u prvom okviru na zaslonu. Kliknite „New “ da biste stvorili novo pravilo. Odaberite pravilo i kliknite „Modify“ da biste ga izmijenili ili „Delete“ da biste ga izbrisali.

Pravila uparivanja stvaraju se iz operacije. Pogledajte stranicu Popis dostupnih operacija po pravilu kako biste odabrali operaciju koja odgovara vašem slučaju upotrebe.

Primjer pravila uparivanja: za izlazno dodjeljivanje (računi i autorizacije) konfigurirali smo uparivanje objekata prema korisničkim imenima računa.

Moguće je konfigurirati više pravila uparivanja i definirati redoslijed kojim se primjenjuju.

Stvaranje pravila usporedbe

Pravilo usporedbe sastoji se od definiranja atributa mjerodavnog izvora i atributa ciljnog izvora koji će se međusobno uspoređivati kako bi se odredile promjene koje treba provesti.

U pravilu „Matching“ pravila usporedbe definiraju se u drugom okviru na zaslonu. Kliknite „New “ da biste stvorili novo pravilo. Odaberite pravilo i kliknite „Modify“ da biste ga izmijenili ili „Delete“ da biste ga izbrisali.

Pravilo usporedbe stvara se iz operacije. Pogledajte stranicu Popis dostupnih operacija po pravilu kako biste odabrali operaciju koja odgovara vašem slučaju upotrebe.

Primjer pravila usporedbe: popis atributa s jednom vrijednošću uspoređuje se između dvaju izvora.

Opcija „Full“: rezultati pravila usporedbe mogu se za atribute s više vrijednosti izvesti i zapisati na dva načina:

• Opcija označena: ako se otkrije promjena između dvaju atributa, izvezena oznaka, koja će nositi naziv atributa ciljnog izvora, sadržavat će samo konačne vrijednosti atributa. Ne znamo pojedinosti o izbrisanim vrijednostima ni o novododanim vrijednostima, pa čak ni o vrijednostima koje nisu izmijenjene.
• Opcija nije označena: ako se otkrije promjena između dvaju atributa, mogu postojati dvije izvezene oznake s nazivom atributa ciljnog izvora. Prva oznaka sadrži podoperaciju „ADD“, a druga podoperaciju „DEL“. Oznaka podoperacije „ADD“ sadržavat će samo nove vrijednosti koje treba dodati, a oznaka podoperacije „DEL“ samo vrijednosti koje treba izbrisati. U tom slučaju ne znamo postoje li neizmijenjene vrijednosti.

Ovu opciju treba odabrati ovisno o povezniku i operacijama koje treba izvršiti u različitim pravilima stvaranja, izmjene ili brisanja.

Moguće je konfigurirati više pravila usporedbe, a sva će se primijeniti na sve uparene objekte.

Stvaranje/izmjena pravila stvaranja

Pravilo stvaranja sastoji se od definiranja, s jedne strane, vrijednosti identifikacijskog atributa koja će se koristiti pri zapisivanju stvaranja i, s druge strane, atributa i njihovih vrijednosti koji će se dodjeljivanjem prenijeti u ciljni izvor za sve objekte definirane kao stvaranja. Objekt se definira kao stvaranje kad je prisutan u mjerodavnom izvoru, ali ne i u ciljnom izvoru. Vrijednosti atributa mogu se puniti iz atributa mjerodavnog izvora; to se naziva mapiranjem atributa. Vrijednosti atributa mogu potjecati i iz atributa konfiguriranih u pravilima pretvorbe ili se mogu navesti pomoću operacija i ključnih riječi.

U pravilu „Matching“ pravila stvaranja definiraju se u trećem okviru na zaslonu. Kliknite „New “ da biste stvorili novo pravilo. Odaberite pravilo i kliknite „Modify“ da biste ga izmijenili ili „Delete“ da biste ga izbrisali.

Pravilo stvaranja stvara se iz operacije. Pogledajte stranicu Popis dostupnih operacija po pravilu kako biste odabrali operaciju koja odgovara vašem slučaju upotrebe.

Primjer pravila stvaranja: mapiranje atributa s jednom ili više vrijednosti između mjerodavnog i ciljnog izvora.

Moguće je konfigurirati više pravila stvaranja, a sva će se primijeniti na sve objekte identificirane kao objekti koje treba stvoriti.

Poseban slučaj repozitorija vrste imenik:

S novim poveznikom imenika atribut objectClass mora se popuniti u pravilu stvaranja. Da biste to učinili, stvorite atribut objectClass u pravilu pretvorbe primijenjenom na izvor, s vrijednostima koje odgovaraju objektu koji treba stvoriti:

• za objekt vrste korisnik: Top, Person, organizationalPerson, user
• za sigurnosnu grupu: Top, Group

Primjer konfiguracije u rješenju SIP:

Format dobiven u izlaznoj datoteci sync.xml:

Preporuka

Provjerite u imeniku vrijednosti atributa objectClass sličnog objekta kako biste bili sigurni da koristite ispravne vrijednosti.

Da biste dodijelili lozinku računa u imeniku, atribut koji treba popuniti jest unicodePwd.

Active Directory u unicodePwd očekuje vrijednost kodiranu u UTF-16 i prenesenu u binarnom obliku: poveznik sam izvodi tu pretvorbu, i pri stvaranju i pri izmjeni. U pravilu navedite lozinku kao običan tekst, bez prethodnog kodiranja. Svojstvo „lozinke“ vrijednosti zadržava se pri kopiranju atributa.

Pozor

Active Directory prihvaća pisanje u unicodePwd samo putem šifrirane veze. Repozitorij stoga mora biti konfiguriran za LDAPS (prema zadanim postavkama priključak 636) čim je potrebno postavljati ili mijenjati lozinke, a račun usluge poveznika mora imati pravo na ponovno postavljanje lozinke dotičnih objekata.

Napomena

Ako objectClass nije popunjen, poveznik za korisnika prema zadanim postavkama primjenjuje top, person, organizationalPerson i user u servisu Active Directory, odnosno top, person, organizationalPerson i inetOrgPerson u sustavu OpenLDAP. Ne oslanjajte se na te vrijednosti: uvijek izričito popunite objectClass, kao što je prethodno navedeno.

Stvaranje/izmjena pravila izmjene

Pravilo izmjene sastoji se od definiranja, s jedne strane, vrijednosti identifikacijskog atributa koja će se koristiti pri zapisivanju izmjena i, s druge strane, neobaveznog definiranja atributa i njihovih vrijednosti koji će se dodjeljivanjem prenijeti u ciljni izvor za sve objekte definirane za izmjenu. Valja napomenuti da se za objekte definirane za izmjenu rezultati pravila usporedbe automatski navode u pravilu izmjene.

U pravilu „Matching“ pravila izmjene definiraju se u četvrtom okviru na zaslonu. Kliknite „New “ da biste stvorili novo pravilo. Odaberite pravilo i kliknite „Modify“ da biste ga izmijenili ili „Delete“ da biste ga izbrisali.

Pravilo izmjene stvara se iz operacije. Pogledajte stranicu Popis dostupnih operacija po pravilu kako biste odabrali operaciju koja odgovara vašem slučaju upotrebe.

Primjer pravila izmjene: definiranje identifikacijskog atributa objekta koji treba izmijeniti u ciljnom izvoru (imeniku). Atribut „DNuser“ navodi se pomoću izraza koji koristi ključnu riječ „SyncAttDst“ za dohvaćanje vrijednosti atributa DN u ciljnom izvoru.

Stvaranje/izmjena pravila brisanja

Pravilo brisanja sastoji se od definiranja, s jedne strane, vrijednosti identifikacijskog atributa koja će se koristiti pri zapisivanju brisanja i, s druge strane, neobavezno, atributa i njihovih vrijednosti koji će se upisati u ciljni izvor za sve objekte definirane za brisanje. Promjene atributa na objektima definiranima za brisanje moguće su samo kad se objekt zapravo ne briše. Objekt se definira za brisanje kad je prisutan u ciljnom izvoru, ali ne i u mjerodavnom izvoru. Stoga vrijednosti atributa mogu potjecati samo iz atributa konfiguriranih u pravilima pretvorbe ili se mogu navesti izravno u pravilima brisanja pomoću operacija i ključnih riječi.

Pozor

Od verzije 7.1 operacije pravila brisanja više se ne mogu odnositi na ciljni izvor. Budući da se sve što je otkriveno za brisanje nužno nalazi u ciljnom izvoru, više nije korisno navoditi da će se informacije ondje tražiti. Upotrijebite ključnu riječ „SyncAttSrc“ ili operacije COPY, MULTCOPY itd. Pri nadogradnji postojeći se poveznici automatski migriraju.

Ta se migracija odvija pri učitavanju konfiguracije: modul primjenjuje sljedeće mapiranje.

U pravilu brisanja, prije verzije 7.1	Zamjena
SyncAttDst (na primjer <SyncAttDst:attribut>)	SyncAttSrc
DSTCOPY	COPY
MULTDSTCOPY	MULTCOPY

Ipak, ispravite pravila koja koriste te ključne riječi: prikazana konfiguracija tada će odgovarati onome što modul izvršava. ⚠ Zamjena se primjenjuje na tekst pravila, bez obzira na velika i mala slova: utječe i na ključne riječi koje sadrže te izraze, kao što su SyncAttDstOperation ili SyncAttDstType. Provjerite te slučajeve nakon nadogradnje.

U pravilu „Matching“ pravila brisanja definiraju se u petom okviru na zaslonu. Kliknite „New “ da biste stvorili novo pravilo. Odaberite pravilo i kliknite „Modify“ da biste ga izmijenili ili „Delete“ da biste ga izbrisali.

Pravilo brisanja stvara se iz operacije. Pogledajte stranicu Popis dostupnih operacija po pravilu kako biste odabrali operaciju koja odgovara vašem slučaju upotrebe.

Primjer pravila brisanja: definiranje identifikacijskog atributa objekta koji treba izbrisati u ciljnom izvoru (imeniku). Atribut „DNuser“ navodi se pomoću izraza koji koristi ključnu riječ „SyncAttSrc“ za dohvaćanje vrijednosti atributa DN u ciljnom izvoru.

Moguće je konfigurirati više pravila brisanja, a sva će se primijeniti na sve objekte identificirane za brisanje.