Tworzenie/modyfikowanie reguł Matching¶

Reguły Matching to w rzeczywistości różne reguły, w których z jednej strony parujemy obiekty ze źródła autorytatywnego i źródła docelowego, a z drugiej definiujemy działania do wykonania dla poszczególnych akcji: tworzenia, modyfikacji, usuwania.

Reguły Matching składają się zatem z pięciu części:

Reguła parowania dwóch obiektów
Reguła porównywania atrybutów między dwoma sparowanymi obiektami
Reguła tworzenia obiektu
Reguła modyfikowania obiektu
Reguła usuwania obiektu

Tworzenie/modyfikowanie reguł parowania¶

Reguła parowania polega na zdefiniowaniu atrybutów źródła autorytatywnego i atrybutów źródła docelowego, które muszą się zgadzać, aby stwierdzić, że obiekt ze źródła autorytatywnego odpowiada obiektowi ze źródła docelowego.

W regule „Matching” reguły parowania definiuje się w pierwszej ramce ekranu. Kliknij „New ”, aby utworzyć nową regułę. Wybierz regułę i kliknij „Modify”, aby ją zmodyfikować, lub „Delete”, aby ją usunąć.

Reguły parowania tworzy się z operacji. Zajrzyj na stronę Lista operacji dostępnych dla poszczególnych reguł, aby wybrać operację odpowiadającą Twojemu przypadkowi użycia.

Przykład reguły parowania: Dla udostępniania do aplikacji docelowych (konta i autoryzacje) skonfigurowano parowanie obiektów na loginach kont.

Można skonfigurować kilka reguł parowania i określić kolejność ich stosowania.

Tworzenie reguł porównywania¶

Reguła porównywania polega na zdefiniowaniu atrybutów źródła autorytatywnego i atrybutów źródła docelowego, które będą ze sobą porównywane, aby określić zmiany do wprowadzenia.

W regule „Matching” reguły porównywania definiuje się w drugiej ramce ekranu. Kliknij „New ”, aby utworzyć nową regułę. Wybierz regułę i kliknij „Modify”, aby ją zmodyfikować, lub „Delete”, aby ją usunąć.

Regułę porównywania tworzy się z operacji. Zajrzyj na stronę Lista operacji dostępnych dla poszczególnych reguł, aby wybrać operację odpowiadającą Twojemu przypadkowi użycia.

Przykład reguły porównywania: lista atrybutów jednowartościowych jest porównywana między dwoma źródłami.

Opcja „Full”: wyniki reguły porównywania można eksportować i zapisywać na dwa sposoby w przypadku atrybutów wielowartościowych:

Opcja zaznaczona: jeśli między dwoma atrybutami zostanie wykryta zmiana, eksportowany znacznik, który będzie nosił nazwę atrybutu źródła docelowego, będzie zawierał tylko końcowe wartości atrybutu. Nie znamy szczegółów usuniętych wartości ani nowo dodanych wartości, ani nawet wartości niezmienionych.
Opcja niezaznaczona: jeśli między dwoma atrybutami zostanie wykryta zmiana, mogą powstać dwa eksportowane znaczniki noszące nazwę atrybutu źródła docelowego. Pierwszy znacznik zawierający podoperację „ADD” i drugi zawierający podoperację „DEL”. Znacznik podoperacji „ADD” będzie zawierał tylko nowe wartości do dodania, a znacznik podoperacji „DEL” tylko wartości do usunięcia. W tym przypadku nie wiemy, czy istnieją wartości niezmienione.

Tę opcję należy wybrać w zależności od konektora i operacji do wykonania w poszczególnych regułach tworzenia, modyfikacji lub usuwania.

Można skonfigurować kilka reguł porównywania; wszystkie zostaną zastosowane do wszystkich sparowanych obiektów.

Tworzenie/modyfikowanie reguł tworzenia¶

Reguła tworzenia polega na zdefiniowaniu, z jednej strony, wartości atrybutu identyfikacyjnego używanego przy zapisie tworzeń, a z drugiej — atrybutów i ich wartości, które zostaną udostępnione w źródle docelowym dla wszystkich obiektów określonych jako tworzenia. Obiekt jest określany jako tworzenie, gdy jest obecny w źródle autorytatywnym, ale nie w źródle docelowym. Wartości atrybutów mogą być zasilane z atrybutów źródła autorytatywnego; nazywa się to mapowaniem atrybutów. Wartości atrybutów mogą też pochodzić z atrybutów skonfigurowanych w regułach konwersji albo być wskazane za pomocą operacji i słów kluczowych.

W regule „Matching” reguły tworzenia definiuje się w trzeciej ramce ekranu. Kliknij „New ”, aby utworzyć nową regułę. Wybierz regułę i kliknij „Modify”, aby ją zmodyfikować, lub „Delete”, aby ją usunąć.

Regułę tworzenia tworzy się z operacji. Zajrzyj na stronę Lista operacji dostępnych dla poszczególnych reguł, aby wybrać operację odpowiadającą Twojemu przypadkowi użycia.

Przykład reguły tworzenia: Mapowanie atrybutów jednowartościowych lub wielowartościowych między źródłem autorytatywnym a źródłem docelowym.

Można skonfigurować kilka reguł tworzenia; wszystkie zostaną zastosowane do wszystkich obiektów rozpoznanych jako tworzone.

Przypadek szczególny repozytoriów typu katalog:

W przypadku nowego konektora katalogu atrybut objectClass musi zostać wypełniony w regule tworzenia. W tym celu utwórz atrybut objectClass w regule konwersji zastosowanej do źródła, z wartościami odpowiadającymi tworzonemu obiektowi:

dla obiektu typu użytkownik: Top, Person, organizationalPerson, user
dla grupy zabezpieczeń: Top, Group

Przykład konfiguracji w SIP:

Format uzyskany w wyjściowym pliku sync.xml:

Zalecenie

Sprawdź w katalogu wartości atrybutu objectClass podobnego obiektu, aby mieć pewność, że używasz poprawnych wartości.

Do provisioningu hasła konta w katalogu służy atrybut unicodePwd.

Active Directory oczekuje w unicodePwd wartości zakodowanej w UTF-16 i przesłanej w postaci binarnej: konektor sam wykonuje tę konwersję, zarówno przy tworzeniu, jak i przy modyfikacji. Podaj hasło w regule w postaci jawnej, bez wcześniejszego kodowania. Charakter „hasła” wartości jest zachowywany podczas kopiowania atrybutów.

Uwaga

Active Directory akceptuje zapis unicodePwd wyłącznie przez połączenie szyfrowane. Repozytorium musi więc być skonfigurowane w trybie LDAPS (domyślnie port 636), gdy tylko trzeba ustawiać lub modyfikować hasła, a konto usługi konektora musi mieć prawo do resetowania hasła danych obiektów.

Uwaga

Jeśli objectClass nie jest wypełniony, konektor domyślnie stosuje dla użytkownika wartości top, person, organizationalPerson i user w Active Directory lub top, person, organizationalPerson i inetOrgPerson w OpenLDAP. Nie polegaj na tych wartościach: zawsze wypełniaj objectClass jawnie, jak wskazano powyżej.

Tworzenie/modyfikowanie reguł modyfikacji¶

Reguła modyfikacji polega na zdefiniowaniu, z jednej strony, wartości atrybutu identyfikacyjnego używanego przy zapisie modyfikacji, a z drugiej — opcjonalnie — atrybutów i ich wartości, które zostaną udostępnione w źródle docelowym dla wszystkich obiektów określonych do modyfikacji. Trzeba zauważyć, że w obiektach określonych do modyfikacji wyniki reguł porównywania są automatycznie wpisywane do reguły modyfikacji.

W regule „Matching” reguły modyfikacji definiuje się w czwartej ramce ekranu. Kliknij „New ”, aby utworzyć nową regułę. Wybierz regułę i kliknij „Modify”, aby ją zmodyfikować, lub „Delete”, aby ją usunąć.

Regułę modyfikacji tworzy się z operacji. Zajrzyj na stronę Lista operacji dostępnych dla poszczególnych reguł, aby wybrać operację odpowiadającą Twojemu przypadkowi użycia.

Przykład reguły modyfikacji: Definicja atrybutu identyfikacyjnego obiektu, który ma być zmodyfikowany w źródle docelowym (katalogu). Atrybut „DNuser” jest wskazywany za pomocą wyrażenia, które używa słowa kluczowego „SyncAttDst”, aby pobrać wartość atrybutu DN w źródle docelowym.

Tworzenie/modyfikowanie reguł usuwania¶

Reguła usuwania polega na zdefiniowaniu, z jednej strony, wartości atrybutu identyfikacyjnego używanego przy zapisie usunięć, a z drugiej — opcjonalnie — atrybutów i ich wartości, które zostaną zasilone do źródła docelowego dla wszystkich obiektów określonych do usunięcia. Zmiana atrybutów obiektów określonych do usunięcia jest możliwa tylko wtedy, gdy obiekt nie jest rzeczywiście usuwany. Obiekt jest określany do usunięcia, gdy jest obecny w źródle docelowym, ale nie w źródle autorytatywnym. W konsekwencji wartości atrybutów mogą pochodzić wyłącznie z atrybutów skonfigurowanych w regułach konwersji albo być wskazane bezpośrednio w regułach usuwania za pomocą operacji i słów kluczowych.

Uwaga

Od wersji 7.1 operacje reguły usuwania nie mogą już odwoływać się do źródła docelowego. Ponieważ wszystko, co zostało wykryte do usunięcia, znajduje się z definicji w źródle docelowym, nie ma już potrzeby wskazywania, że informacje będą tam wyszukiwane. Użyj słowa kluczowego „SyncAttSrc” lub operacji COPY, MULTCOPY itd. Podczas aktualizacji wersji istniejące konektory są migrowane automatycznie.

Ta migracja odbywa się podczas ładowania konfiguracji: silnik stosuje następujące odwzorowanie.

W regule usuwania, przed wersją 7.1	Zastąpione przez
`SyncAttDst` (na przykład `<SyncAttDst:attribut>`)	`SyncAttSrc`
`DSTCOPY`	`COPY`
`MULTDSTCOPY`	`MULTCOPY`

Mimo to popraw reguły, które używają tych słów kluczowych: wyświetlana konfiguracja będzie wtedy odpowiadać temu, co wykonuje silnik. ⚠ Zastąpienie dotyczy tekstu reguły, bez względu na wielkość liter: obejmuje również słowa kluczowe, które zawierają te ciągi, takie jak SyncAttDstOperation lub SyncAttDstType. Sprawdź te przypadki po aktualizacji wersji.

W regule „Matching” reguły usuwania definiuje się w piątej ramce ekranu. Kliknij „New ”, aby utworzyć nową regułę. Wybierz regułę i kliknij „Modify”, aby ją zmodyfikować, lub „Delete”, aby ją usunąć.

Regułę usuwania tworzy się z operacji. Zajrzyj na stronę Lista operacji dostępnych dla poszczególnych reguł, aby wybrać operację odpowiadającą Twojemu przypadkowi użycia.

Przykład reguły usuwania: definicja atrybutu identyfikacyjnego obiektu do usunięcia w źródle docelowym (katalogu). Atrybut „DNuser” jest określany za pomocą wyrażenia, które używa słowa kluczowego „SyncAttSrc” do pobrania wartości atrybutu DN w źródle docelowym.

Można skonfigurować kilka reguł usuwania; wszystkie zostaną zastosowane do wszystkich obiektów rozpoznanych do usunięcia.