Benutzerdaten-Synchronisierung

yuuvis® RAD • 10.x »

In yuuvis® RAD können Daten von Benutzern und Benutzergruppen automatisch mit Verzeichnisdiensten synchronisiert werden. Bei der Synchronisation wird die yuuvis® RAD-Organisationsstruktur durch die Operation 'Organisation importieren' über die Angabe einer Konfigurationsdatei mit den Verzeichnisdiensten abgeglichen. Die Konfiguration der Operation geschieht über Konfigurationsdateien.

Synchronisierungen können Benutzer und Gruppen ändern. Die Auswirkungen von Änderungen, insbesondere auf Benutzer in Geschäftsprozessen, sollte geprüft werden.

Für die Konfiguration der Synchronisierung über das LDAP-Netzwerkprotokoll stellt Ihnen OPTIMAL SYSTEMS im Core-Service-Verzeichnis standalone\configuration\ldap-ad-sync-templates folgende Konfigurationsdateien zur Verfügung:

  • ad.properties

    Verbindungsdatei, in der die Verbindungsdaten zum Verzeichnisdienst eingetragen werden.

    Diese Daten werden sowohl vom Benutzerimport wie auch vom Gruppen- und Benutzerimport benötigt.

  • user-synchronization-config.xml

    Datei für den Benutzerimport: Alle Benutzer werden ohne Gruppen importiert.

  • usergroup-synchronization-config.xml

    Datei für den Gruppen- und Benutzerimport: Benutzergruppen werden mit den enthaltenen Benutzern importiert.

Folgende Anpassungen nehmen Sie in den Konfigurationsdateien vor:

Verbindungsdaten zum Verzeichnisdienst mit Dienst-Benutzer und Passwort wie im Beispiel eintragen:

java.naming.provider.url=ldap\://10.1.4.160\:389
java.naming.security.authentication=Simple
java.naming.security.principal=username@activdirectory.de
java.naming.security.credentials=passwort
java.naming.ldap.attributes.binary=objectGUID

Für die Gruppen- und Benutzerimport-Datei können Sie mehrere Verbindungsdateien *.properties einbinden.

Die Konfiguration ermittelt alle Benutzer, die unter dem 'rootpath' liegen, einschließlich der Benutzer aus Gruppen in Gruppen in Gruppen, die in 'rootpath' angelegt sind.

Ergebnis ist eine flache Liste von Benutzern, die dort gefunden werden und die zusätzlich die Filterkriterien erfüllen. Sie werden in die yuuvis® RAD-Gruppe importiert, die im Parameter 'initialparent' angegeben ist.

Angaben und Werte in folgenden Zeilen anpassen:

  • connectionPropertiesFilename (Konfigurationseinstellung)

    Als Wert werden die Bezeichnung und der Speicherort der Verbindungsdatei angegeben. Der Speicherort ist relativ zum Verzeichnis configuration.

    <setting name="connectionPropertiesFilename" value="ldapsync/ad.properties"/>

  • rootPath (Aktionsparameter)

    Der Zweig innerhalb des Verzeichnisbaums, aus dem Daten übernommen werden.

    <parameter name="rootPath">OU=Entwicklung-QS-Dokumentation,OU=OS Berlin,OU=OS Standorte,DC=dev,DC=optimal-systems,DC=de</parameter>

  • initialparent

    Der Zweig innerhalb der Organisationsstruktur von yuuvis® RAD, unterhalb dessen die Benutzer eingeordnet werden.

    <initialparent name="LDAP"/>

  • password (Benutzerkonten)

    Passwort für alle neu importierten Benutzer.

    <password>optimal</password>

  • deactivatedobjectsparent

    Gruppe, in die diejenigen Benutzer verschoben werden, die durch den Import entfernt werden sollen, aber auf Grund der Datenkonsistenz in yuuvis® RAD erhalten bleiben sollten. Beispiel: Benutzer, die als Bearbeiter in der Historie von Objekten eingetragen sind und deshalb nicht gelöscht, sondern in eine hier angegebene Gruppe verschoben werden.

    Falls Benutzer erneut Bestandteil der Importdaten sind, dann werden sie automatisch wieder aus dieser Gruppe entfernt.

    <deactivatedobjectsparent name="not_yet" />

    Die angegebene Gruppe darf nicht von anderen Synchronisierungen betroffen sein.

  • SIMULATION / NORMAL (Aktionsmodus)

    Simulation: Die Importdaten werden ermittelt und im Bericht gespeichert. Der Import wird nicht durchgeführt.

    Normal: Der Import wird durchgeführt.

  • classmapping

    In diesem Abschnitt werden Attribute aus dem Verzeichnisdienst auf yuuvis® RAD Benutzer-Attribute gemappt. Die Vorkonfiguration sollte nur nach Rückfrage geändert werden.

    Ergänzt werden können Mappings durch Präfix- und Postfix-Werte.

    Beispiel: <fieldmapping sourceName="sAMAccountName" targetName="sysname" prefix="" postfix="@test.org"/>

Die Konfiguration ermittelt alle Gruppen und Benutzer, die unter dem 'rootpath' liegen und die zusätzlich die Filterkriterien erfüllen. Damit bleibt die Gruppenstruktur aus dem Verzeichnisdienst in yuuvis® RAD erhalten.

Sie werden in die yuuvis® RAD-Gruppe importiert, die im Parameter 'initialparent' angegeben ist.

Angaben und Werte in folgenden Zeilen anpassen:

  • domain

    Mehrere 'domain'-Abschnitte mit unterschiedlichen Parametern und unterschiedlichen Verbindungsdateien *.properties können angelegt werden.

  • connectionPropertiesFilename (Konfigurationseinstellung)

    Als Wert werden für eine Domain die Bezeichnung und der Speicherort der Verbindungsdatei angegeben. Der Speicherort ist relativ zum Verzeichnis configuration.

    <setting name="connectionPropertiesFilename" value="ldapsync/ad.properties"/>

  • rootPath (Aktionsparameter)

    Der Zweig innerhalb des Verzeichnisbaums, aus dem Daten übernommen werden.

    <parameter name="rootPath">ou=OS Standorte,DC=optimal-systems,DC=de</parameter>

    Falls aus dem Verzeichnisbaum Daten aus unterschiedlichen Zweigen übernommen werden sollen, dann können Sie über den Tag <domain name="name"> weitere Bereiche mit anderem RootPath und Parametern anlegen. Der Import wird nur durchgeführt, wenn alle Bereiche valide sind.

  • groupNames (Aktionsparameter)

    Die Gruppen aus rootPath, deren Daten für einen Gruppenimport importiert werden sollen.

    <parameter name="groupNames">OS-Hannover; OS-Wien; OS-Hamburg; OS-Stuttgart; OS-Bielefeld; OS-München; OS-Jena; OS-Schweiz; OS-Hamburg; OS-Konstanz; OS-BERLIN</parameter>

    Leerzeichen als erste oder letzte Zeichen von Gruppennamen müssen mit dem Slash-Zeichen (\) maskiert werden.

  • initialparent

    Der Zweig innerhalb der Organisationsstruktur von yuuvis® RAD, unterhalb dessen die Gruppen eingeordnet werden.

    <initialparent name="LDAP"/>

  • password (Benutzerkonten)

    Passwort für alle neu importierten Benutzer.

    <password>optimal</password>

  • danglingobjectsparent

    Gruppe, in die Benutzer verschoben werden, die in einer Verzeichnisdienst-Gruppe waren, die durch den Import entfernt wird.

    <danglingobjectsparent name="LDAP"/>

  • deactivatedobjectsparent

    Gruppe, in die Benutzer verschoben werden, die durch den Import entfernt werden, aber auf Grund der Datenkonsistenz in yuuvis® RAD erhalten werden müssen.

    Falls Benutzer erneut Bestandteil der Importdaten sind, dann werden sie automatisch wieder aus dieser Gruppe entfernt.

    <deactivatedobjectsparent name="default-suborganisation" />

    Die angegebene Gruppe darf nicht von anderen Synchronisierungen betroffen sein.

  • SIMULATION / NORMAL (Aktionsmodus)

    Simulation: Die Importdaten werden ermittelt und im Bericht gespeichert. Der Import wird nicht durchgeführt.

    Normal: Der Import wird durchgeführt.

  • classmapping

    In diesem Abschnitt werden Attribute aus dem Verzeichnisdienst auf yuuvis® RAD Benutzer-Attribute gemappt. Die Vorkonfiguration sollte nur nach Rückfrage geändert werden.

    Ergänzt werden können Mappings durch Präfix- und Postfix-Werte.

    Beispiel: <fieldmapping sourceName="sAMAccountName" targetName="sysname" prefix="test.local\" postfix="@test.org"/>

    Postfix-Werte unterstützen insbesondere die Anbindung von LDAP-Verzeichnisdiensten.

Benutzerdaten-Synchronisierung mit Filterausdrücken

Über die beiden Konfigurationsdateien der Benutzerdaten-Synchronisierung können LDAP-Synchronisierungsfunktionen mit Filterausdrücken parametrisiert werden. Importiert werden nur Daten, die den Filtern entsprechen.

Unter folgendem xml-tag werden die Filter konfiguriert:

<?xml version="1.0" encoding="UTF-8"?>
 <synchronization>
   <configuration type="Active Directory">
     <common>
       <setting name="filterExpression.<Nummer>value="(&(objectCategory=person)(objectClass=user))"/>

Es können mehrere Filterausdrücke angeben werden, wobei die <Nummer> eindeutig sein muss. Beispiel:

<setting name="filterExpression.1" value="(|(objectCategory=organizationalUnit)(objectCategory=group))"/>
<setting name="filterExpression.2" value="(&(objectCategory=person)(objectClass=user))"/>

Diese Filter werden nacheinander abgefragt und die Ergebnisse der Anfragen aufsummiert. Sonderzeichen müssen nach XML-Standard notiert werden.