Criar/modificar as regras de importação

Uma regra de importação escreve as ações (criação, modificação, eliminação) que devem ser realizadas e que figuram na imagem DELTA.

Devem definir-se limiares de segurança para que as importações sejam realizadas. Estes limiares permitem também detetar possíveis erros e, por conseguinte, bloquear as escritas. Uma importação bloqueada pelos limiares pode ser consultada e é possível intervir para a validar ou rejeitar.

Consoante o tipo de repositório de destino, as regras de importação que devem ser configuradas são diferentes.

Importar dados num repositório do tipo diretório (LDAP, AD, AD/LDS, OpenLDAP, etc.)

• Atributo DN: indique o nome do atributo de mapeamento que contém a informação DN (Distinguished Name)
• Classe de objeto: defina o tipo de objeto que se vai criar/modificar/eliminar. Só é possível um tipo de objeto por importação.
• Opção de criação de um grupo de segurança se este não existir: esta opção pode ser ativada se for necessário (é possível que os grupos de segurança não existam no momento do aprovisionamento).
  • Indique a OU de destino dos grupos de segurança. Tenha em conta que só pode indicar-se uma OU, pelo que todos os grupos serão criados na mesma localização.
• Opção de adicionar operações que devem ser realizadas após uma ação de criação ou de modificação, ou em caso de eliminação. (Exemplo: mover um objeto para outra OU em caso de eliminação)
  • Operações possíveis sobre as criações/modificações/eliminações:
    • EXEC: será executada após a ação de criação/modificação/eliminação
  • Operações possíveis sobre as eliminações:
    • DELETE: por predefinição, os objetos não são realmente eliminados do diretório. Para eliminar fisicamente o objeto, é necessário adicionar a operação DELETE.
    • MOVE: permite mover o objeto para outra OU. A OU de destino deve ser indicada na expressão.
    • MOVESUB: permite mover os objetos filhos do objeto avaliado para outra OU. A OU de destino deve ser indicada na expressão.
• Opções para um conector com a solução Systancia Access:
  • Script que deve ser executado quando um acesso é modificado
  • Perfil de acesso (DN) a indicar se a opção de criação de um contentor estiver ativada
  • O tipo de objeto que deve ser criado no contentor se a opção de criação de um contentor estiver ativada
• Add SID object
• Filtros dos grupos que devem ser geridos ou excluídos nas ações de eliminação:
  • Se a opção «Exclude group from list» estiver selecionada: a lista de grupos indica os que não devem ser eliminados
  • Se a opção «Exclude group from list» não estiver selecionada: a lista de grupos indica os que podem ser eliminados

Importar dados num repositório do tipo ficheiro plano (CSV)

• Colunas: lista de atributos que devem ser adicionados ao ficheiro de destino. Deve utilizar-se a operação COPY para adicionar o valor do atributo à coluna do ficheiro. O separador de colunas e de valores múltiplos define-se no repositório.

Importar dados num repositório do tipo base de dados (SQL Server, Oracle, etc.)

Para cada ação (criação, modificação e eliminação), é possível definir um ou vários comandos que devem ser executados na base de dados de destino.

Para cada comando, deve definir-se uma das operações seguintes:

• EXEC: permite lançar um comando de execução (batch, PowerShell, etc.)
• FOREACH: permite executar uma consulta sobre vários atributos.
  • Lista de atributos: indique os códigos dos atributos que devem ser atualizados. Tenha em conta que os códigos devem corresponder tanto ao nome da coluna na base de dados de destino como ao nome do atributo no ficheiro DELTA. Cada atributo deve ser separado pelo carácter «|».
  • Consulta SQL: consulta que deve ser aplicada a cada atributo definido na lista. Utilize a cadeia <uid>, que será substituída pelos nomes dos atributos.
• FOREACHVALUES: permite gerir um atributo multivalor criando/modificando tantas linhas quantos os valores contidos no atributo.
  • A condição de execução é obrigatória e deve conter o nome do atributo multivalor (do repositório de destino) sobre o qual se realizará um ciclo.
  • A expressão é obrigatória e deve conter a consulta que deve ser executada. O atributo multivalor sobre o qual se realiza o ciclo (indicado na condição de execução) deve ser substituído na consulta pela cadeia «<param:uid_value>».

Exemplo de consulta:

INSERT INTO WikiApp 
(Login, Password, Nom, 
Prenom, Matricule, droit) 
VALUES 
('<SyncAttSrc:login>', '<SyncAttSrc:password>', '<SyncAttSrc:nom>', 
'<SyncAttSrc:prenom>', '<SyncAttSrc:matricule>', '<param:uid_value>')

No exemplo, se o atributo contiver 3 valores, serão criadas 3 linhas. Os atributos login, password, nom, prenom e matricule terão valores idênticos. O atributo right terá um valor diferente em cada linha.

Tenha em conta que só pode definir-se um atributo multivalor por operação.

• SELECT: permite recuperar valores adicionais para enriquecer o objeto atual.
  • A condição de execução é obrigatória. Pode conter uma fórmula que devolva 0 se for falsa ou 1 se for verdadeira. Deve introduzir-se 1 se não se desejar estabelecer nenhuma condição.
  • Consulta SQL: a consulta do tipo SELECT é obrigatória. Os atributos selecionados na consulta serão adicionados automaticamente ao objeto atual, com os resultados da consulta como valores.
• SQL. Permite executar uma consulta UPDATE ou DELETE indicando uma condição de execução.
  • A condição de execução é obrigatória. Pode conter uma fórmula que devolva 0 se for falsa ou 1 se for verdadeira. Deve introduzir-se 1 se não se desejar estabelecer nenhuma condição.
• Consulta SQL: consulta UPDATE ou DELETE. Os atributos presentes no delta devem ser passados com a palavra-chave <syncattrsrc>.

Importar dados em Systancia Identity

• Tipo de objeto a importar: indique o tipo de importação entre os da lista seguinte:
  • ACCOUNT: só permite atualizar os atributos das contas existentes em Identity.
  • ENUM_ACCOUNT: para importar valores de enumeração dos atributos do tipo conta.
  • ENUM_PERSON: para importar valores de enumeração dos atributos do tipo identidade.
  • ENUM_RESOURCE: para importar valores de enumeração dos atributos do tipo dotação.
  • ENUM_STRUCTURE: para importar valores de enumeração dos atributos do tipo estrutura.
  • MATCHINGTABLE: para importar valores para as tabelas de correspondência.
  • PERSON: para importar identidades.
  • PERSONACCESS: não suportado em importação.
  • RESOURCE: para importar dotações.
  • RIGHT: para importar autorizações.
  • ROLE: para importar papéis.
  • STATUS: para importar os estados de aprovisionamento das contas, dos papéis ou das autorizações.
    • Indique o repositório. Deve ser único.
  • STRUCTURE: para importar estruturas.
  • HABILITATIONCALC: permite lançar um recálculo em massa das regras de autorização e de SoD para todos.
  • PERSON_ROLES: para importar os vínculos identidade-papel.
  • PERSON_RIGHTS: para importar os vínculos identidade-papel-autorização.
  • ACCOUNTCALC: permite recalcular as contas do repositório em questão.

Ao importar objetos como identidades, estruturas ou dotações, existe uma opção para desativar o cálculo imediato das regras de autorização e de SoD. Deve selecionar-se a caixa de verificação em todos os conectores de aprovisionamento ascendente afetados pela sincronização diária para desativar os cálculos.

Se esta opção tiver sido selecionada, será necessário lançar uma importação de recálculo das regras no final dos conectores de aprovisionamento ascendente para iniciar o cálculo por lotes.

Desativar os cálculos de contas

Desde o SP3 de CyberElements Identity 7.0, está disponível uma nova opção nas importações dos conectores ascendentes de pessoas, estruturas, dotações e regras de autorização.

Esta opção permite desativar os cálculos imediatos de contas ao criar, modificar ou eliminar objetos que possam ter repercussão nas contas.

Recomenda-se selecionar esta opção quando a sequência de aprovisionamento tiver de tratar grandes volumes.

Se selecionar esta opção, é necessário executar uma importação de cálculo dos tipos de conta indicados na configuração no final das importações em CyberElements Identity para dispor de dados corretos.