OpenLDAP Konnektor
OpenLDAP Konnektor
OpenLDAP Connector ist Teil der Pro Engine, nativer Connectoren und dient zum Lesen und Schreiben von Daten in/aus dem OpenLDAP -Verzeichnis des Kunden. Er kann für alle Matrix42 Core , Pro and IGA -Lösungen verwendet werden, die Pro Engine verwenden.
OpenLDAP Connector muss entsprechend dem Anwendungsfall des Kunden konfiguriert werden. Die Konfiguration umfasst im Prinzip drei (3) Schritte:
- Connector konfigurieren – ermöglicht dem Connector, eine Verbindung zum Verzeichnis herzustellen
- Geplante Aufgabe konfigurieren - wird verwendet, wenn Daten aus dem Verzeichnis gelesen werden
- Ereignisaufgabe konfigurieren - wird verwendet, wenn Daten in das Verzeichnis geschrieben werden
- Außerdem müssen Workflow-Orchestrierungsknoten konfiguriert werden
Fair-Use-Richtlinie
Der Connector ist unter normalen Betriebsbedingungen uneingeschränkt nutzbar. Sollte die Nutzung jedoch zu einer deutlich erhöhten Auslastung führen und zusätzliche Cloud-Ressourcen (z. B. Speicher oder Rechenleistung) benötigen, können hierfür zusätzliche Kosten anfallen.
Für die Verwendung dieses Connectors zum Erstellen, Aktualisieren oder Entfernen von Benutzerkonten oder Gruppenobjekten ist eine aktive IGA Lizenz erforderlich.
Anweisungen für die Version 2024.2 und neuer
Allgemeine Funktionalitäten
Konnektoren - allgemeine Funktionalitäten
Konnektoren - allgemeine Funktionalitäten
In diesem Artikel werden allgemeine Funktionen zur Verwaltung nativer Konnektoren in der Lösung beschrieben. Alle nativen Konnektoren werden über dieselbe Benutzeroberfläche zur Konnektorverwaltung verwaltet.
Beachten Sie, dass es für jeden Konnektor eine separate Beschreibung gibt, in der die konnektorspezifischen Funktionen und Konfigurationsanweisungen detailliert beschrieben werden.
Um auf die Connector-Verwaltung zugreifen zu können, benötigt der Benutzer Administratorrechte für die Plattformkonfiguration des Kunden. Bei korrekter Zugriffsberechtigung wird die Registerkarte „Connector“ angezeigt und der Benutzer kann die Connectors verwalten.
Linkes Menü
Die Connector-Verwaltung ist in vier Registerkarten unterteilt:
- Übersicht – zum Erstellen und Aktualisieren nativer Konnektoren. Der Administrator kann deren Status und Typ sowie die Anzahl der ihnen zugeordneten geplanten oder ereignisbezogenen Aufgaben sehen.
- Authentifizierung – zum Erstellen und Aktualisieren von Authentifizierungsaufgaben. Für Secure Access ist Pro Bereitstellungsaufgabe für die Authentifizierung erforderlich, um festlegen zu können, welche Endbenutzer des Kunden auf die Anmeldeseite Matrix42 Core , Pro and IGA zugreifen können.
- Protokolle – zum Herunterladen von Native Connector- und Secure Access Protokollen von der Benutzeroberfläche.
- Einstellungen – allgemeine Einstellungen für native Konnektoren und Secure Access , einschließlich Umgebungstyp für Protokollierung und Überwachung.
Registerkarte „Konnektorenübersicht“
Auf der Übersichtsseite kann der Benutzer einfach und schnell den Status aller Konnektoren sehen.
Obere Leiste:
- Status für native Konnektoren (EPE)
- Grüner Text zeigt an, dass Native Connectors online ist. Alle benötigten Dienste sind aktiv und werden ausgeführt.
- Roter Text weist darauf hin, dass ein Problem mit Native Connectors vorliegt und nicht alle Dienste ausgeführt werden.
- Status für Secure Access ( ESA )
- Grüner Text zeigt an, dass Secure Access online ist. Alle erforderlichen Dienste sind aktiv und werden ausgeführt.
- Roter Text zeigt an, dass ein Problem mit Secure Access vorliegt und alle Dienste nicht ausgeführt werden.
- Die Versionsnummer des nativen Connectors wird in der oberen rechten Ecke angezeigt
Obere Leiste für die Listenansicht:
- Neuer Connector – öffnet ein neues Fenster zum Hinzufügen und Konfigurieren eines neuen Connectors
- Konnektor(en) entfernen – Workflow-Referenzen werden berechnet und ein Popup-Fenster wird angezeigt, um die Entfernung zu bestätigen (beachten Sie, dass die Berechnung der Referenzen mehrere Sekunden dauern kann).
- Exportieren – Der Administrator kann einen oder mehrere Konnektoren (und Aufgaben) aus der Umgebung exportieren. Wird normalerweise zum Exportieren von Konnektoren und Konnektoren (und Aufgaben) vom Test in die Produktion verwendet. Die geheimen Informationen nativer Konnektoren sind passwortgeschützt.
- Importieren – Der Administrator kann einen oder mehrere Konnektoren (und Aufgaben) in die Umgebung importieren. Wird normalerweise zum Importieren von Konnektoren (und Aufgaben) vom Test in die Produktion verwendet.
- Der Administrator kann nicht von der alten EPE-Benutzeroberfläche (älter als 2024.1) in die neue importieren. Quell- und Zielumgebung müssen dieselbe Version haben.
- Der Import schlägt fehl, wenn die Konfiguration (Vorlagen, Attribute) nicht identisch ist – zum Beispiel wenn ein Attribut fehlt
- Wenn Sie etwas mit den gleichen Connector-Details importieren, wird es unter dem vorhandenen Connector zusammengeführt
- Aktualisieren – Der Administrator kann die Connector-Ansicht aktualisieren, indem er auf die Schaltfläche klickt .
Listenansicht zur Übersicht,
- Konnektor(en) auswählen - Wählen Sie einen Konnektor aus, indem Sie das Kontrollkästchen vor der Konnektorzeile anklicken. Durch Anklicken des Kontrollkästchens in der Kopfzeile werden alle Konnektoren ausgewählt.
- ID – Automatisch generierte eindeutige ID des Connectors. Kann nicht bearbeitet oder geändert werden.
- Status – zeigt den Status der geplanten Aufgabe an
-
Grünes Häkchen - Aufgabe wird ohne Fehler ausgeführt
-
Rotes Kreuz - Aufgabe wird ausgeführt, aber es sind Fehler aufgetreten
-
Graue Uhr – Aufgabe wurde noch nicht ausgeführt, wartet auf Planung -
Orange – eine der Aufgaben hat ein Problem
- Kein Wert – geplante basierte Aufgabe fehlt
-
- Name – Konnektorname, der den Konnektoreinstellungen hinzugefügt wurde. Eindeutiger Name des Konnektors, der die Konfiguration für eine Datenquelle enthält
- Typ – gibt das Ziel-/Quellsystem an
- Geplant – informiert darüber, wie viele geplante Aufgaben konfiguriert sind
- Ereignis - informiert darüber, wie viele Ereignisaufgaben konfiguriert sind
- Verwalten
- Stiftsymbol – öffnet die Konnektoreinstellungen (durch Doppelklicken auf die Konnektorzeile werden auch die Einstellungen geöffnet)
- Papiersymbol – kopiert den Konnektor
- Stopp – Workflow-Referenzen werden berechnet und ein Popup-Fenster wird angezeigt, um die Entfernung zu bestätigen
- Suchen – Der Benutzer kann den Connector suchen, indem er den Suchbegriff in das entsprechende Feld eingibt. Die Felder ID, Status, Name, Typ, Geplant und Ereignis können durchsucht werden.
Informationen zu geplanten Aufgaben (klicken Sie auf den Pfeil vor dem Connector)
Wenn Sie auf den Pfeil am Anfang der Verbindungszeile klicken, werden alle zugehörigen geplanten und ereignisbezogenen Aufgaben angezeigt
Obere Leiste für geplante Aufgaben
- Neue Aufgabe – öffnet die Konfigurationsseite für eine neue Aufgabe
- Aufgabe(n) entfernen – entfernt die ausgewählte(n) Aufgabe(n) aus dem System und sie können nicht mehr wiederhergestellt werden.
- Aktualisieren – Aktualisieren Sie die Ansicht geplanter Aufgaben
- Suche – Der Benutzer kann nach Aufgaben suchen, indem er den Suchbegriff in das entsprechende Feld für ID, Name, aktiviert, Extrahieren/Laden-Status eingibt.
Listenansicht für geplante Aufgaben
- Aufgabe(n) auswählen - Wählen Sie die zu löschende Aufgabe aus der Listenansicht durch Ankreuzen aus.
- ID – Eindeutige ID der Aufgabe. Wird automatisch generiert und kann nicht geändert werden.
- Name – Den Aufgabeneinstellungen hinzugefügter Aufgabenname, eindeutiger Name der Aufgabe.
- Aktiviert – Zeigt an, ob die Aufgabe geplant ist oder nicht
-
Grünes Häkchen – Aufgabe ist geplant
-
Rotes Kreuz – Aufgabe ist nicht geplant
-
- Extraktionsstatus – Zeigt den Status der Datenextraktion aus dem Zielverzeichnis/-system an
- Grünes Häkchen – Daten wurden erfolgreich extrahiert
- Rotes Kreuz – Daten wurden mit Fehler(n) extrahiert oder die Extraktion ist fehlgeschlagen
-
Uhr – Aufgabe wartet auf Ausführung
-
- Ladestatus – Zeigt den Status des Datenexports aus der JSON-Datei zur Kundenlösung an
- Grünes Häkchen – Daten wurden erfolgreich in die Kundenlösung importiert
-
Rotes Kreuz – Daten wurden mit Fehler(n) importiert oder der Import ist fehlgeschlagen
-
- Verwalten
- Stiftsymbol – öffnet die Aufgabeneinstellungen in einem eigenen Fenster (durch Doppelklicken auf die Aufgabenzeile werden die Aufgabeneinstellungen ebenfalls geöffnet)
- Papiersymbol – kopiert die Aufgabe
- Uhrensymbol – öffnet die Aufgabenverlaufsansicht
- Stopp - Aufgabe entfernen, Popup-Fenster öffnet sich, um das Entfernen zu bestätigen
Verlaufsansicht geplanter Aufgaben
Durch Klicken auf das Uhrensymbol in der Zeile mit den geplanten Aufgaben wird der Zeitplanverlauf angezeigt.
Obere Leiste für den Anzeigeverlauf
- Aktualisieren – Aktualisiert den Status der geplanten Aufgabe. Dies hat keine Auswirkungen auf die Aufgabe, sondern aktualisiert lediglich die Benutzeroberfläche, um die neuesten Informationen zum Aufgabenlauf anzuzeigen.
Listenansicht für den Verlauf geplanter Aufgaben
- Die Farbe der Zeile zeigt den Status an
- Grün – Aufgabe erfolgreich ausgeführt
- Rot – während der Ausführung ist ein Fehler aufgetreten
-
- Ausführungs-ID – eindeutige ID für die geplante Aufgabenzeile
- Geplanter Zeitpunkt des Extrahierens – wann der nächste Extrahieren aus dem Verzeichnis/der Anwendung erfolgen soll
- Zeitpunkt der Extraktionsfertigstellung – wann die Extraktion abgeschlossen wurde
- Status extrahieren - Status zum Abrufen von Daten aus dem Verzeichnis/der Anwendung
- Ladestartzeit – wann die nächste Ladung zur Kundenlösung erfolgen soll
- Ladeabschlusszeit – wann der Ladevorgang abgeschlossen war
- Ladestatus - Status zum Laden von Informationen zur Kundenlösung
Listenansicht für den Status geplanter Aufgaben
- Tatsächliche Startzeit - Zeitstempel für den tatsächlichen Start
- Benutzerdatei – JSON-Datei mit Benutzerinformationen, die aus dem Verzeichnis/der Anwendung gelesen wurden
- Gruppendatei – JSON-Datei mit Gruppeninformationen, die aus dem Verzeichnis/der Anwendung gelesen wurden
- Generische Datei – JSON-Datei mit allgemeinen Informationen, die aus dem Verzeichnis/der Anwendung gelesen wurden
- Informationen extrahieren - detaillierte Informationen zum Lesen von Informationen aus dem Verzeichnis/der Anwendung
- Ladeinformationen - detaillierte Informationen zum Laden der Informationen für Matrix42 Core , Pro and IGA -Lösung des Kunden
Bearbeitungsfenster für geplante Aufgabe
Die Konfiguration für geplante Aufgaben kann durch Klicken auf das Stiftsymbol oder Doppelklicken auf die Aufgabenzeile geöffnet werden.
Das linke Menü und die Attribute variieren je nach den ausgewählten Optionen. Ausführlichere Anweisungen zum Bearbeiten von Aufgaben finden Sie daher in der Connector-Beschreibung. Es gibt jedoch gemeinsame Funktionen für alle geplanten Aufgaben, die unten beschrieben werden.
Speichern der Aufgabe
Falls in der Aufgabe obligatorische Informationen fehlen, können Sie durch Bewegen der Maus über die Schaltfläche „Speichern“ anzeigen, welche Attribute noch leer sind.
Obere Leiste zum Bearbeiten geplanter Aufgaben
- Aufgabe manuell ausführen – Der Administrator kann Aufgaben außerhalb der definierten Planung manuell ausführen
- Aufgabe stoppen – Der Administrator kann eine geplante Aufgabe stoppen, die aktuell ausgeführt wird. Die Aufgabe wird gestoppt und der Status auf „Gestoppt“ geändert. Die Aufgabe wartet in diesem Zustand bis zum nächsten Zeitpunkt.
- Datencache leeren – Der Datencache für die nächste Bereitstellung von Benutzern und Gruppen wird geleert. Dies bedeutet, dass der nächste Lauf wie beim ersten Lauf ausgeführt wird.
- Standardmäßig leeren wir den Cache jeden Tag um 00:00 UTC
- Wenn Sie den Cache zu einem anderen Zeitpunkt leeren möchten, müssen Sie in der Hostdatei „custom.properties“ einen anderen Wert angeben.
- Der EPE-Cache wird auch gelöscht, wenn EPE neu gestartet wird, die gesamte Umgebung neu gestartet wird und EPE-Zuordnungen geändert wurden
Informationen zur Ereignisaufgabe
Wenn Sie auf den Pfeil am Anfang der Verbindungszeile klicken, werden alle zugehörigen geplanten und ereignisbezogenen Aufgaben angezeigt
Obere Leiste für Ereignisaufgaben
- Neue Aufgabe – öffnet die Konfigurationsseite für eine neue Ereignisaufgabe
- Aufgabe(n) entfernen - entfernt ausgewählte Aufgabe(n), ein Popup-Fenster erscheint, um die Entfernung zu bestätigen
- Aktualisieren – aktualisiert die Ereignisaufgabenansicht
- Workflow-Referenzen anzeigen - berechnet aufgabenbezogene Workflow-Beziehungen und Status. Dies ist sehr nützlich, wenn Sie nicht wissen, aus welchen Workflows ereignisbasierte Aufgaben verwendet werden.
Listenansicht für Ereignisaufgaben
- Aufgabe(n) auswählen - Wählen Sie die zu löschende Aufgabe aus der Listenansicht durch Ankreuzen aus.
- ID – Eindeutige ID der Aufgabe. Wird automatisch generiert und kann nicht geändert werden.
- Name – Den Aufgabeneinstellungen hinzugefügter Aufgabenname, eindeutiger Name der Aufgabe.
- Workflow-Beziehungen
- Fragezeichen zeigt Popup-Fenster mit detaillierten Informationen zur Referenz
- Workflow-Status
- Nicht verwendet – Keine Beziehung zum Workflow
- In Verwendung – Workflow(s) an Aufgabe angehängt, Aufgabe kann nicht entfernt werden
- Verwalten
- Stiftsymbol – öffnet Aufgabeneinstellungen in einem eigenen Fenster
- Papiersymbol – kopiert die Aufgabe
- Stoppsymbol - entfernt die Aufgabe, ein Popup-Fenster wird angezeigt, um das Entfernen zu bestätigen
Bearbeitungsfenster für Ereignisaufgabe
Die Konfiguration für Ereignisaufgaben kann durch Klicken auf das Stiftsymbol oder Doppelklicken auf die Aufgabenzeile geöffnet werden.
Das linke Menü und die Attribute variieren je nach ausgewählten Optionen. Ausführlichere Anweisungen zum Bearbeiten von Aufgaben finden Sie daher in der Connector-Beschreibung. Es gibt jedoch gemeinsame Funktionen für alle Ereignisaufgaben, die unten beschrieben werden.
Fenster „Ereignisaufgabe bearbeiten“
- Aufgabennutzung, bearbeitbar? - Dies wird angezeigt, wenn die Bearbeitung einer vorhandenen Aufgabe und die Änderung des Aufgabennutzungstyps Arbeitsabläufe unterbricht.
- Zuordnungstyp, bearbeitbar? - Dies wird angezeigt, wenn die Bearbeitung einer vorhandenen Aufgabe und die Änderung des Zuordnungstyps Arbeitsabläufe unterbricht.
Speichern der Aufgabe
Falls in der Aufgabe obligatorische Informationen fehlen, können Sie durch Bewegen der Maus über die Schaltfläche „Speichern“ sehen, welche Attribute noch leer sind.
Registerkarte „Authentifizierung“
Die Authentifizierung für Matrix42 Core , Pro and IGA Lösungen wird über die Registerkarte „Authentifizierung“ konfiguriert. Beachten Sie, dass nur einige der Konnektoren (Verzeichniskonnektoren) die Authentifizierung unterstützen. Daher ist es nicht möglich, Authentifizierungsaufgaben für alle verfügbaren Konnektoren zu erstellen.
Obere Leiste zur Authentifizierung
- Neuer Connector – öffnet ein neues Fenster zum Konfigurieren eines neuen Connectors (beachten Sie, dass nicht alle Connectors die Authentifizierung unterstützen)
- Konnektor(en) entfernen – entfernt ausgewählte Aufgabe(n), ein Popup-Fenster wird angezeigt, um die Entfernung zu bestätigen
- Exportieren – Der Benutzer kann eine oder mehrere Aufgaben aus der Umgebung exportieren. Wird normalerweise zum Exportieren von Aufgaben vom Test in die Produktion verwendet. EPE-Konnektoren sind passwortgeschützt.
- Beachten Sie, dass Realm für Authentifizierungsaufgaben nicht exportiert wird. Sie müssen dies nach dem Import manuell einstellen
- Importieren – Der Benutzer kann eine oder mehrere Aufgaben in die Umgebung importieren. Wird normalerweise zum Importieren von Aufgaben vom Test in die Produktion verwendet.
- Aktualisieren – aktualisiert die Ansicht der Authentifizierungsaufgaben
Listenansicht zur Authentifizierungsübersicht
- Konnektor(en) auswählen - Wählen Sie einen Konnektor aus, indem Sie das Kontrollkästchen vor der Konnektorzeile anklicken. Durch Anklicken des Kontrollkästchens in der Kopfzeile werden alle Konnektoren ausgewählt.
- ID – Automatisch generierte eindeutige ID des Connectors. Kann nicht bearbeitet oder geändert werden.
- Name – Konnektorname, der den Konnektoreinstellungen hinzugefügt wurde. Eindeutiger Name des Konnektors, der die Konfiguration für eine Datenquelle enthält
- Typ – gibt das Ziel-/Quellsystem an
- Anzahl - informiert darüber, wie viele Authentifizierungsaufgaben konfiguriert sind
- Verwalten
- Stiftsymbol – öffnet die Authentifizierungsaufgabeneinstellung in einem eigenen Fenster
- Papiersymbol – kopiert die Aufgabe
- Stoppsymbol – entfernt ausgewählte Aufgabe
Informationen zur Authentifizierungsaufgabe
Wenn Sie auf den Pfeil am Anfang der Verbindungszeile klicken, werden alle zugehörigen geplanten und ereignisbezogenen Aufgaben angezeigt
Obere Leiste für die Authentifizierungsübersicht
- Neue Aufgabe erstellen – öffnet die Konfigurationsseite für eine neue Authentifizierungsaufgabe
- Aufgabe(n) entfernen - entfernt ausgewählte Aufgabe(n), ein Popup-Fenster erscheint, um die Entfernung zu bestätigen
- Aktualisieren – aktualisiert die Ansicht der Authentifizierungsaufgaben
Listenansicht zur Authentifizierungsübersicht,
- Aufgabe(n) auswählen - Wählen Sie die zu löschende Aufgabe aus der Listenansicht durch Ankreuzen aus.
- ID – Eindeutige ID der Aufgabe. Wird automatisch generiert und kann nicht geändert werden.
- Name – Den Aufgabeneinstellungen hinzugefügter Aufgabenname, eindeutiger Name der Aufgabe.
- Verwalten
- Stiftsymbol – öffnet die Aufgabeneinstellungen in einem eigenen Fenster (ein Doppelklick auf die Aufgabenzeile öffnet auch das Einstellungsfenster)
- Papiersymbol – kopiert die Aufgabe
- Stoppsymbol - entfernt die Aufgabe, ein Popup-Fenster wird angezeigt, um das Entfernen zu bestätigen
Registerkarte „Protokolle“
Die Registerkarte „Protokolle“ dient zum Herunterladen von Native Connector- und Secure Access Protokollen von der Benutzeroberfläche zur detaillierten Fehlerbehebung.
- epe-master -Protokolle – enthalten Warn-, Debug- und Fehlermeldungen zu nativen Konnektoren und Informationen darüber, wie lange Aufgabenaktionen ausgeführt wurden.
- epe-worker-ad- Protokolle – enthalten den Status der extrahierten Daten des Active Directory Connectors (was der Native Connector in Matrix42 Core , Pro and IGA -Lösung des Kunden lädt). Wenn die Auswahl leer ist, bedeutet dies, dass das Verzeichnis in dieser Umgebung nicht verwendet wird.
- epe-worker-azure -Protokolle – enthält den extrahierten Datenstatus der Entra ID (was der Native Connector in Matrix42 Core , Pro and IGA Lösung des Kunden lädt). Wenn die Auswahl leer ist, bedeutet dies, dass das Verzeichnis in dieser Umgebung nicht verwendet wird.
- epe-worker-ldap -Protokolle – enthalten den Status der extrahierten Daten von LDAP (was der Native Connector in Matrix42 Core , Pro and IGA Lösung des Kunden lädt). Wenn die Auswahl leer ist, bedeutet dies, dass das Verzeichnis in dieser Umgebung nicht verwendet wird.
- epe-launcher logs - enthält Informationen zu EPE-Starts
- datapump-itsm logs – Enthält Informationen zum Datenexport an Matrix42 Core , Pro and IGA Lösung des Kunden.
- esa logs – Enthält Informationen zur Secure Access Authentifizierung.
Registerkarte „Einstellungen“
Die Registerkarten „Einstellungen“ werden zum Überwachen von Umgebungen mit Konnektoren verwendet.
- Umgebungstyp – muss zwingend ausgewählt werden und die Informationen werden beispielsweise zum Definieren kritischer Warnungen verwendet.
- Test – wählen Sie diese Option, wenn Ihre Umgebung als Testumgebung verwendet wird.
- Pro d - wählen Sie dies, wenn Ihre Umgebung als Produktionsumgebung verwendet wird
- Demo - wählen Sie diese Option, wenn Ihre Umgebung als Demo- oder Schulungsumgebung verwendet wird
- Dev – wählen Sie dies, wenn Ihre Umgebung als Entwicklungsumgebung verwendet wird
Was überwachen wir?
- Fehler bei der zeitplanbasierten Bereitstellung (Extrahieren von Daten, Exportieren von Daten nach ESM, veraltete Zertifikate, falsche Passwörter, falsche Suchbasis/Filter, falsche Zuordnungen usw.)
- Fehler bei der ereignisbasierten Bereitstellung (Fehler beim Schreiben in AD / Azure usw.)
- Ereignisbasierte Bereitstellung – welche Konnektoren werden zum Schreiben von Daten in Anwendungen/Verzeichnisse verwendet.
- ESA Mehr als zehn fehlgeschlagene Anmeldeversuche für einen Benutzer in den letzten drei Tagen
- Umgebungstyp – muss zwingend ausgewählt werden und die Informationen werden beispielsweise zum Definieren kritischer Warnungen verwendet.
Datenmigrationen
Klicken Sie nicht auf „Attributzuordnungen migrieren“ oder „Workflows migrieren“, wenn Sie nicht von Matrix42 dazu aufgefordert werden.
OpenLDAP Connector konfigurieren
So erstellen Sie einen neuen OpenLDAP Connector
Zum Konfigurieren der Bereitstellung benötigen Sie Zugriff auf die Plattformkonfigurationskonsole.
1. Öffnen Sie den Administrationsbereich (ein Zahnradsymbol).
2. Öffnen Sie die Connectors-Ansicht.
3. Wählen Sie Neuer Connector
4. Wählen Sie als Datenquellentyp OpenLDAP
5. Geben Sie dem Connector einen Namen und fügen Sie Verbindungseinstellungen hinzu
6. Wählen Sie den Web API Benutzer, geben Sie das Passwort ein und speichern Sie die Änderungen
7. Drücken Sie die Schaltflächen „Verbindung testen“ und „Authentifizierung testen“, um zu bestätigen, dass Verbindung und Anmeldeinformationen funktionieren.
Allgemeine uid für geplante Aufgaben
Allgemeine uid für geplante Aufgaben
So erstellen Sie eine neue geplante Aufgabe zum Importieren von Daten
Zum Konfigurieren zeitplanbasierter Bereitstellungsaufgaben benötigen Sie Zugriff auf die Registerkarte „Administration/Konnektoren“.
1. Öffnen Sie den Administrationsbereich (ein Zahnradsymbol).
2. Öffnen Sie die Connectors- Ansicht.
3. Wählen Sie Connector für geplante Aufgaben und wählen Sie Neue Aufgabe
Hinweis! Wenn kein Connector erstellt wird, müssen Sie zuerst „Neuer Connector“ und danach „ Neue Aufgabe“ auswählen.
4. Fahren Sie mit den Connector-spezifischen Anweisungen fort: Native Connectors
Soll ich inkrementell, vollständig oder beides verwenden?
Geplante Aufgaben können entweder inkrementell oder vollständig sein.
Importieren Sie keine Berechtigungen mit AD und LDAP-Inkrementalaufgaben
Bei inkrementellen Aufgaben treten Probleme beim Importieren von Berechtigungen auf. Derzeit wird empfohlen, Gruppenmitgliedschaften nicht mit inkrementellen geplanten Aufgaben zu importieren.
Entfernen Sie bei Microsoft Active Directory und OpenLDAP Konnektoren diese Zuordnung bei inkrementellen Aufgaben:
Einstellungen für geplante Aufgaben:
Der inkrementelle Typ wird nur für Microsoft Active Directory , LDAP- und Microsoft Graph API Konnektoren (früher bekannt als Entra ID ) unterstützt.
Inkrementeller Typ bedeutet, dass Native Connectors (EPE) Daten vom Quellsystem abruft und dabei geänderte Zeitstempelinformationen verwendet. Es werden also nur Daten abgerufen, die nach der vorherigen Ausführung der inkrementellen Aufgabe geändert oder hinzugefügt wurden.
Beim ersten Ausführen einer inkrementellen Aufgabe wird ein vollständiger Abruf durchgeführt (und der aktuelle Zeitstempel in der EPE-Datenbank markiert). Anschließend verwendet die Aufgabe diesen Zeitstempel, um die Datenquelle nach Daten zu fragen, die sich seit diesem Zeitstempel geändert haben (und EPE aktualisiert den Zeitstempel in der EPE-Datenbank für den nächsten Aufgabenlauf). Das Leeren des Aufgabencaches hat keinen Einfluss auf diesen Zeitstempel, daher ist die inkrementelle Aufgabe nach dem ersten Ausführen immer inkrementell.
Der vollständige Typ wird für alle Konnektoren unterstützt.
Der vollständige Typimport ruft bei jedem Durchlauf immer alle Daten (für deren Abruf er konfiguriert ist) vom Quellsystem ab.
Sowohl vollständige als auch inkrementelle Aufgaben verwenden auch den Aufgabencache in EPE, wodurch bestimmte Importe für M42 System schneller und einfacher werden.
Standardmäßig wird der Task-Cache um Mitternacht (UTC) geleert. Nach dem Leeren des Caches wird der nächste Import ohne Zwischenspeicherung ausgeführt, um zu entscheiden, ob die abgerufenen Daten an ESM gesendet werden sollen. Alle abgerufenen Daten werden an ESM gesendet. Danach wird der nächste Task ausgeführt, bis der Cache erneut geleert wird. Dabei wird der EPE-Cache verwendet, um zu bestimmen, ob die abgerufenen Daten an ESM gesendet werden sollen oder nicht.
Sie können konfigurieren, zu welcher Tageszeit der Task-Cache geleert wird, indem Sie die globalen Einstellungen in der EPE-Datapump-Konfiguration ändern:
/opt/epe/datapump-itsm/config/ benutzerdefinierte .properties
Dies ist standardmäßig auf clearCacheHours24HourFormat=0 eingestellt.
Sie können den Cache auch mehrmals täglich leeren, aber das muss sorgfältig überlegt werden, da es Auswirkungen auf die Gesamtleistung hat, da EPE Änderungen an ESM weitergibt, die wahrscheinlich bereits vorhanden sind, Beispiel (fügen Sie dem Attributwert keine Leerzeichen hinzu): clearCacheHours24HourFormat=6,12
Starten Sie den EPE-Datapump-Container nach der Änderung dieses Werts neu, um die Änderung zu übernehmen.
Empfehlungen:
Standardmäßig ist immer der vollständige Typ der geplanten Aufgabe verfügbar.
Wenn Sie Änderungen an Daten, die bereits durch die vollständige Aufgabe abgerufen wurden, häufiger abrufen möchten, als Sie die vollständige Aufgabe ausführen können, fügen Sie auch eine inkrementelle Aufgabe hinzu. Normalerweise ist eine inkrementelle Aufgabe nicht erforderlich.
Empfohlene Planungsreihenfolge
Die empfohlene Planungssequenz hängt davon ab, wie viele Daten aus dem System/Verzeichnis des Kunden in die Matrix42 Core , Pro oder IGA Lösung gelesen werden und ob der Import inkrementell oder vollständig erfolgt.
Beispiele für die Terminplanung,
| Gesamtzahl der Benutzer | Gesamtzahl der Gruppen | Volllastsequenz | Inkrementelle Ladesequenz |
| < 500 | < 1000 | Alle 30 Minuten, wenn keine Teillast genutzt wird Vier (4) Mal täglich bei Teillast |
Alle 10 Minuten |
| < 2000 | < 2000 | Alle 60 Minuten, wenn keine Teillast genutzt wird Vier (4) Mal täglich bei Teillast |
Alle 15 Minuten |
| < 5000 | < 3000 | Alle vier (4) Stunden, wenn keine Teillast verwendet wird Bei Teillast zweimal täglich |
Alle 15 Minuten |
| < 10 000 | < 5000 | Maximale Importe zweimal täglich, egal ob Teilladung genutzt wird oder nicht | Alle 30 Minuten |
| < 50 000 | < 7000 | Maximale Einfuhr einmal täglich, unabhängig davon, ob Teilladung genutzt wird oder nicht | Alle 60 Minuten |
| Über 50.000 | Über 7000 | Möglicherweise besteht Bedarf an einem weiteren EPE-Mitarbeiter. Bitte wenden Sie sich an den Pro . | Getrennt ausgewertet |
Bitte beachten Sie, dass bei gleichzeitiger Ausführung mehrerer Aufgaben möglicherweise mehr EPE-Worker benötigt werden. Die Aufgaben sollten zu unterschiedlichen Zeiten geplant und gemäß der obigen Tabelle abgeschlossen werden. Laufen jedoch mehr als sechs Aufgaben gleichzeitig, sollte die Anzahl der EPE-Worker erhöht werden. Es empfiehlt sich, Aufgaben möglichst nicht gleichzeitig auszuführen.
Empfehlungen zur Leistung
Wenn die Menge der zu importierenden Daten über 10.000 liegt, beachten Sie Folgendes:
Passen Sie die Protokollebene von ESM und DATAPUMP auf die ERROR-Ebene an, um den Protokollierungsumfang während der Taskausführung zu verringern
Sorgen Sie dafür, dass möglichst wenige Automatisierungen sofort für importierte Datenkarten (Listener, Handler, Workflows) gestartet werden, da diese dazu führen, dass ESM mehr Zeit für die Verarbeitung neuer Datenkarten benötigt.
Setzen Sie den Status entfernter Konten und Berechtigungen auf „entfernt/deaktiviert“.
Mit dieser Funktion können Sie den Status von Konten und Berechtigungen beispielsweise als „Gelöscht“ oder „Deaktiviert“ markieren, wenn das Konto oder die Berechtigung aus dem Quellsystem entfernt wird. Ab Version 2025.3 können Sie den Status auch für generische Objekte festlegen (nicht nur für Konten/Identitäten und Berechtigungen/Gruppen).
Für Version 2025.3 und neuer
In Version 2025.3 wurden diese Einstellungen aus den Eigenschaftendateien in die Task-Benutzeroberfläche verschoben. Außerdem können Sie diese Einstellungen jetzt für generische Objekte festlegen, was vor dieser Version nicht möglich war.
Für jede geplante Aufgabe und für alle Zuordnungstypen gibt es eine separate Konfiguration. Hier ist ein Beispiel für diese Konfiguration für die Aufgabe:
Für Version 2025.2 und älter
Diese Funktion ist für geplante Aufgaben des Typs „vollständig“ verfügbar.
Die Einstellungen befinden sich in der Konfigurationsdatei des Datapump-Dockers. Um diese Parameterwerte zu ändern, müssen Sie sie in der Datei /opt/epe/datapump-itsm/config/custom.properties festlegen.
Konfiguration
Um die Deaktivierungsfunktion zu aktivieren, müssen in der Datapump-Konfiguration die folgenden Parameter auf „true“ gesetzt sein:
disable.unknown. esm .users=true
disable.unknown. esm .groups=true
Diese beiden Parameter sind in den Versionen 2024.2 und 2025.1 standardmäßig „false“. In 2025.2 und neueren Versionen sind sie standardmäßig „true“.
Als nächstes folgen diese Parameter:
personTemplateStatusCodeAttributeKey=accountStatus
personTemplateStatusAttributeDisabledValueKey=Deleted
groupTemplateStatusCodeAttributeKey=status
groupTemplateStatusAttributeDisabledValueKey=5 - Removed
Die ersten beiden Attribute sollten auf das Attribut „DatacardHiddenState“ in der Benutzervorlage verweisen und angeben, welcher Wert dorthin gesendet werden soll, wenn der Benutzer gelöscht wird.
Standardmäßig sind es accountStatus und „Value 5 - Removed in IGA Account .
All dies muss mit der Attributkonfiguration übereinstimmen:
Dasselbe gilt für die nächsten beiden Parameter, allerdings für Gruppen.‘
Wenn Sie diese Parameter in der Eigenschaftendatei ändern müssen, nehmen Sie die Änderungen im Datapump-Container in der Datei vor: /opt/ epe /datapump-itsm/config/ custom .properties. Diese Änderungen bleiben dann beim Neustart des Containers erhalten und werden beim Neustart nach /opt/ epe /datapump-itsm/config/application.properties kopiert.
Beschreibung
Aufgaben speichern ihre __taskid__ die als Task Id mapping in der Benutzeroberfläche angezeigt wird, zu den Datenkarten. Sie wird dann verwendet, um festzustellen, ob die Datenkarte von dieser Aufgabe hinzugefügt wurde. Falls es mehrere Aufgaben mit unterschiedlichen Benutzergruppen gibt.
Dieses Feld wurde zuvor als Datenquellen-ID verwendet, aber da wir zu dem Modell gewechselt sind, bei dem der Connector mehrere Aufgaben haben kann, kann seine Kennung nicht mehr verwendet werden. Deshalb wurde das Feld stattdessen als Task-ID umfunktioniert.
Nehmen wir Benutzer als Beispiel: Wenn eine Aufgabe ausgeführt wird, wird ESM nach der Liste der Benutzer gefragt, deren Task-ID im Feld Task Id mapping steht und die keinen personTemplateStatusAttributeDisabledValueKey -Wert im personTemplateStatusCodeAttributeKey haben.
Dieses Ergebnis wird dann mit dem verglichen, was die Aufgabe abgerufen hat, und bei den Datenkarten der Benutzer, die nicht abgerufen wurden, wird das Attribut personTemplateStatus auf den in der Konfiguration angegebenen Wert gesetzt – 5 - Removed .
Das folgende Beispielprotokoll zeigt den beschriebenen Vorgang und informiert darüber, dass ein Benutzer entfernt wurde.
Dasselbe gilt für Gruppen, aber stattdessen werden groupTemplateStatus Attribute verwendet.
Hinweise
- Die Funktion funktioniert nur mit geplanten Aufgaben zum vollständigen Abrufen.
- Noch keine Unterstützung für generische Vorlagen, nur Identität und Zugriff
- Bei der Migration von früheren Versionen, in denen noch die Datenquellen-ID verwendet wurde, muss sie mindestens einmal ausgeführt werden, um zuerst die Task-IDs in den Datenkarten festzulegen.
- EPE identifiziert deaktivierte Benutzer oder Gruppen als diejenigen, die aus dem AD entfernt wurden. Derzeit unterstützen wir keine Statusangaben dazu, ob die Entität aktiv ist oder nicht.
- EPE aktiviert Benutzer nicht selbstständig.
- Wenn mehrere Tasks dieselben Benutzer oder Gruppen abrufen, kann die Task-ID in der Datenkarte überschrieben werden, je nachdem, welcher Task zuletzt ausgeführt wurde. Es wird vermutet, dass viele Tasks vom Typ „vollständig“ nicht denselben Benutzer oder dieselbe Gruppe abrufen.
- Nehmen Sie Änderungen an der Konfigurationsdatei immer an benutzerdefinierten Eigenschaften vor. Ändern Sie nicht nur die Anwendungseigenschaften, da diese Änderungen beim Neustart des Containers verloren gehen, wenn Sie nicht dieselben Änderungen an benutzerdefinierten Eigenschaften vorgenommen haben.
Konfigurieren Sie die geplante Aufgabe zum Lesen von Daten
OpenLDAP Connector wird zum Lesen von Benutzer- und Gruppeninformationen aus dem Kundenverzeichnis verwendet und von der Plattform aus durch Erstellen einer zeitplanbasierten Bereitstellungsaufgabe konfiguriert.
So erstellen Sie eine neue Aufgabe für die geplante Pro
Für die Konfiguration zeitplanbasierter Bereitstellungsaufgaben benötigen Sie Zugriff auf die Plattformkonfigurationskonsole. Hinweis! Wenn kein Connector erstellt wurde, müssen Sie zunächst einen „neuen Connector“ erstellen. Anschließend können Sie neue Aufgaben erstellen.
1. Öffnen Sie die Plattformkonfigurationsansicht (ein Zahnradsymbol).
2. Öffnen Sie die Connectors-Ansicht.
3. Wählen Sie Connector für geplante Aufgaben und wählen Sie neue Aufgabe
4. Definieren Sie die Planung für die Aufgabe (ob und wie die geplante Aufgabe regelmäßig ausgeführt werden soll). Wählen Sie die Planungssequenz, die davon abhängt, wie viele Daten in die Lösung eingelesen werden.
Die empfohlene Planungsreihenfolge hängt davon ab, wie viele Daten aus dem Kundenverzeichnis in die Lösung gelesen werden und ob der Import teilweise oder vollständig erfolgt. Beispielplanung für das Lesen von Gruppen und Benutzerkonten.
| Gesamtzahl der Benutzer | Gesamtzahl der Gruppen | Volllastsequenz | Teillastsequenz |
| < 500 | < 1000 | Alle 30 Minuten, wenn keine Teillast genutzt wird Vier (4) Mal täglich bei Teillast |
Alle 10 Minuten |
| < 2000 | < 2000 | Alle 60 Minuten, wenn keine Teillast genutzt wird Vier (4) Mal täglich bei Teillast |
Alle 15 Minuten |
| < 5000 | < 3000 | Alle vier (4) Stunden, wenn keine Teillast verwendet wird Bei Teillast zweimal täglich |
Alle 15 Minuten |
| < 10 000 | < 5000 | Maximale Importe zweimal täglich, egal ob Teilladung genutzt wird oder nicht | Alle 30 Minuten |
| < 50 000 | < 7000 | Maximale Einfuhr einmal täglich, unabhängig davon, ob Teilladung genutzt wird oder nicht | Alle 60 Minuten |
| Über 50.000 | Über 7000 | Möglicherweise besteht Bedarf an einem weiteren EPE-Mitarbeiter. Bitte wenden Sie sich an den Pro . | Getrennt ausgewertet |
5. Aufgabendetails ausfüllen
- Geben Sie einen eindeutigen Aufgabennamen für die geplante Aufgabe ein. Beachten Sie, dass der Name später nicht mehr geändert werden kann.
- Die angegebene Aufgabenverwendung ist die Aufgabe, die zum Lesen, Schreiben oder zur Authentifizierung verwendet wird. Beachten Sie, dass eine nachträgliche Änderung des Ereignistyps zu Arbeitsabläufen führen kann.
- Der Zuordnungstyp hängt davon ab, welche Art von Informationen aus dem Verzeichnis gelesen werden
- Identität und Zugriffsrechte – werden verwendet, wenn Benutzerkonto- und Gruppeninformationen aus dem Verzeichnis gelesen werden
- Single (nur Identität) – werden verwendet, wenn nur Benutzerkontoinformationen aus dem Verzeichnis gelesen werden
- Einzeln (nur Zugriffsrecht) – werden verwendet, wenn nur Gruppeninformationen aus dem Verzeichnis gelesen werden
- Generisch (eine Vorlage) - werden verwendet, wenn allgemeine Informationen aus dem Verzeichnis gelesen werden, normalerweise andere als Benutzer/Gruppen
Füllen Sie die Filterdetails aus,
- Daten abrufen
- Vollständig - alle Informationen werden gemäß der definierten Filterung gelesen
- Inkrementell – nur geänderte Informationen werden an die Lösung übermittelt
- Daten aus dem LDAP-Baumstamm abrufen - Optionale Einstellung. Ermöglicht das Abrufen der Benutzer und Gruppen aus dem LDAP-Baumstamm, um die Bereitstellungsgeschwindigkeit zu erhöhen.
Filtern basierend auf OU
Filtername: OpenLDAP userBase / OpenLDAP userFilter
Dieser Filter wird üblicherweise mit dem OU-Pfad gesetzt, aus dem Benutzer gelesen werden, und schließt auch alle untergeordneten OUs in den Import ein, ermöglicht aber auch mehrere andere Filtermöglichkeiten,
Beispiele für andere häufig verwendete Benutzerfilterbeispiele:
- Das folgende Beispiel findet Benutzerobjekte: (&(objectCategory=person)(objectClass=user))
- Das folgende Beispiel findet Benutzer-, Computer- und Kontaktobjekte: (objectClass=person)
- Das folgende Beispiel findet Benutzer- und Kontaktobjekte: (objectCategory=person)
Filternde OU, aus der Benutzer gelesen werden
Filtername: OpenLDAP ignoredOsForUsers
Mit diesem Filter können bestimmte untergeordnete OUs (z.B. OU=Sales,DC=adtest,DC=local) vom Import ausgeschlossen werden. Benutzer werden ignoriert, wenn sie direkt in einer der definierten <OU> und/oder in einem Unterbaum einer der definierten OUs vorhanden sind.
Filterung basierend auf einzelnen Benutzern
Filtername: Ausgeschlossene Benutzer
Mit diesem Filter können Sie bestimmte Benutzer vom Import ausschließen. Für LDAP verwenden Sie die Distinguished Names der auszuschließenden Gruppen (getrennt durch Zeilenumbrüche).
Filtergruppen
Filtername: OpenLDAP groupBase / LDAP groupFilter
Dieser Filter wird üblicherweise auf den OU-Pfad gesetzt, aus dem Gruppen gelesen werden. Alle untergeordneten OUs werden beim Import berücksichtigt (Beispiel: OU=Finance,DC=adtest,DC=local). Benutzer werden ignoriert, wenn sie direkt in einer der definierten <OU> vorhanden sind und auch im Unterbaum einer der bereits definierten <OU> vorhanden sind.
Beispiele für andere häufig verwendete Gruppenfilter:
- Das folgende Beispiel findet Gruppenobjekte:
(Objektkategorie=Gruppe) - Das folgende Beispiel findet Gruppenobjekte, die den Wert cn haben:
(&(Objektkategorie=Gruppe)(cn=*)) - Das folgende Beispiel findet Gruppenobjekte, deren Beschreibung einen Wert enthält:
(&(Objektkategorie=Gruppe)(Beschreibung=*))
Filtern von OUs, aus denen keine Gruppen gelesen werden
Filtername: OpenLDAP ignoredOusForGroups
Dieser Filter wird üblicherweise auf den OU-Pfad gesetzt, aus dem Gruppen gelesen werden. Alle untergeordneten OUs werden beim Import berücksichtigt (Beispiel: OU=Finance,DC=adtest,DC=local). Benutzer werden ignoriert, wenn sie direkt in einer der definierten <OU> vorhanden sind und auch im Unterbaum einer der bereits definierten <OU> vorhanden sind.
Filtern einzelner Gruppen
Filtername: Ausgeschlossene Gruppen
Mit diesem Filter können Sie bestimmte Gruppen vom Import ausschließen. Für LDAP verwenden Sie die Distinguished Names der auszuschließenden Gruppen (getrennt durch Zeilenumbrüche).
Filtern von Benutzern basierend auf Gruppenmitgliedschaften
Filtername: Benutzer mit bestimmten Gruppen ausschließen
Mit diesem Filter können Sie bestimmte Benutzer basierend auf Gruppenmitgliedschaften vom Import ausschließen. Für LDAP verwenden Sie die Distinguished Names der auszuschließenden Gruppen (getrennt durch Zeilenumbrüche).
Fehlerinformationen eingeben
Optionale Einstellungen für die Fehlerbehandlung. Bei Fehlschlagen einer geplanten Aufgabe kann eine Datenkarte erstellt werden, die den Fehler anzeigt. Wenn Fehlereinstellungen definiert sind, muss der Administrator den Status geplanter Aufgaben nicht manuell überprüfen.
- Fehlervorlage – Wählen Sie eine Datenkartenvorlage aus, die im Falle von Fehlern während der Bereitstellung (Verbindung zu Datenquellen, Zeitüberschreitungen usw.) erstellt wird.
- Fehlerordner – Wählen Sie den Ordner aus, in dem die Fehlerdatenkarte gespeichert ist.
- Fehlerattribut – Wählen Sie ein Attribut aus, in dem in der Fehlervorlage die Fehlerinformationen gespeichert werden sollen. Wählen Sie das Attribut vom Typ „Text“ aus.
6. Identitätszuordnungen ausfüllen
Benutzer werden in IGA Kontovorlage importiert. Es ist zwingend erforderlich, Zielordner, Datenquellen-ID und eindeutige Werte festzulegen, die zur Identifizierung von Benutzern zwischen OpenLDAP des Kunden und dieser Lösung verwendet werden. Beispiel:
- Zielvorlage – Wählen Sie eine Vorlage aus, um Attributzuordnungen zu definieren
- Zielordner – Wählen Sie einen Ordner aus einer Liste aus. Die Liste wird entsprechend der Kompatibilität mit der ausgewählten Vorlage eingegrenzt.
- Attributzuordnungen
- Externes Attribut - welches Attribut aus dem Verzeichnis/System wird zugeordnet
- Lokales Attribut - welches Attribut im Vorlagenattribut wird zugeordnet
- Es ist möglich, zusätzliche Attribute festzulegen, die aus Benutzerkonten im Verzeichnis gelesen werden, indem Sie Neues Attribut wählen
8. Füllen Sie die Zugriffsrechtezuordnungen aus
Gruppen werden in IGA Berechtigungsvorlage gelesen und es ist obligatorisch, Zielordner, Datenquellen-ID und eindeutige Werte festzulegen, die zur Identifizierung von Benutzern zwischen dem Kundenverzeichnis und dieser Lösung verwendet werden.
- Zielvorlage – Wählen Sie eine Vorlage aus, um Attributzuordnungen zu definieren
- Zielordner – Wählen Sie einen Ordner aus einer Liste aus. Die Liste wird entsprechend der Kompatibilität mit der ausgewählten Vorlage eingegrenzt.
- Attributzuordnungen
- Externes Attribut - welches Attribut aus dem Verzeichnis/System wird zugeordnet
- Lokales Attribut - welches Attribut im Vorlagenattribut wird zugeordnet
- Es ist möglich, zusätzliche Attribute festzulegen, die aus Benutzerkonten im Verzeichnis gelesen werden, indem Sie Neues Attribut wählen
9. Zuordnungen für generische Vorlagen
Generische Daten werden in jede vom Benutzer gewünschte Vorlage eingelesen und es ist zwingend erforderlich, Zielordner, Datenquellen-ID und eindeutige Werte festzulegen, die zur Identifizierung von Daten zwischen Kunden AD und dieser Lösung verwendet werden.
- Zielvorlage – Wählen Sie eine Vorlage aus, um Attributzuordnungen zu definieren
- Zielordner – Wählen Sie einen Ordner aus einer Liste aus. Die Liste wird entsprechend der Kompatibilität mit der ausgewählten Vorlage eingegrenzt.
- Attributzuordnungen
- Externes Attribut - welches Attribut aus dem Verzeichnis/System wird zugeordnet
- Lokales Attribut - welches Attribut im Vorlagenattribut wird zugeordnet
- Es ist möglich, zusätzliche Attribute festzulegen, die aus Benutzerkonten im Verzeichnis gelesen werden, indem Sie Neues Attribut wählen
10. Speichern Sie die Bereitstellungsaufgabe über die Schaltfläche „Speichern“. Wenn einige erforderliche Attribute fehlen, wird die Schaltfläche „Speichern“ grau angezeigt und zeigt an, was in den Einstellungen fehlt.
11. Sie haben jetzt eine zeitgesteuerte Connector-Aufgabe zum Lesen von OpenLDAP -Daten konfiguriert.
Administratoraktionen aus den Aufgabeneinstellungen
- Aufgabe manuell ausführen - Durch Klicken auf die Schaltfläche wird die Aufgabe so konfiguriert, dass sie sofort gestartet wird. Dies ist normalerweise für Testläufe oder wenn Sie die Zeitplaneinstellungen nicht ändern, die Aufgabe aber sofort ausführen möchten.
- Aufgabe stoppen - Geplante Aufgaben können durch Klicken auf die Schaltfläche gestoppt werden. Der Aufgabenstatus wurde auf „Beendet“ geändert und wartet auf die nächste manuelle oder geplante Ausführung.
- Cache leeren - Durch Klicken auf die Schaltfläche wird der Datencache für die NÄCHSTE Bereitstellung von Benutzern und Gruppen geleert. Die nächste Aufgabe wird wie beim ersten Mal ausgeführt.
Beispiel einer Meldung zum Starten der manuellen Aufgabenausführung:
Wenn die Aufgabe manuell ausgeführt wird ( Aufgabe ausführen ) oder gemäß Zeitplan ausgeführt wird, kann der Aufgabenstatus unter „ Verlauf anzeigen“ überprüft werden:
Beispiel für die Verlaufsansicht geplanter Aufgaben:
Administratorbenutzer können auch von der Seite „Connector-Protokolle“ auf die Connector-Protokolle zugreifen.
Wenn die Fehlerinformationen korrekt eingegeben wurden, erstellt der Connector eine Datenkarte, die über einen eigenen Prozess verfügen kann.
Beispiel einer IGA -Administratoraufgabe, die dem Administrator auch Anleitungen zur Lösung des Problems uid .
Konfigurieren Sie eine ereignisbasierte Aufgabe zum Schreiben von Daten
Die Ereignisaufgabe wird beim Schreiben von Daten in Richtung OpenLDAP des Kunden verwendet. Diese Pro -Engine-Funktionen für Konten, Gruppen und Berechtigungen sind nur für die Matrix42 IGA Lösung verfügbar und für deren Verwendung ist IGA Lizenz erforderlich.
Alle Konfigurationen im Zusammenhang mit Pro Engine und ereignisbasierten Bereitstellungsaufgaben werden in der Connector-Ansicht der Plattform konfiguriert.
- Öffnen Sie die Plattformkonfigurationsansicht (ein Zahnradsymbol).
- Ansicht „Konnektoren öffnen“
- Wählen Sie den Connector, der die Ereignisaufgabe verwendet
- Wählen Sie unter dem richtigen Connector „Neue Aufgabe“ aus
- Aufgabendetails ausfüllen
- Aufgabenname – Geben Sie der Aufgabe einen Namen, er wird in der Konnektoransicht angezeigt.
- Es empfiehlt sich, eine Aufgabe so zu benennen, dass ihr Zweck beschrieben wird, zum Beispiel [Vorlagenname]:[Aktivität] IGA -Serviceanfrage:Benutzer überprüfen
- Die angegebene Taskverwendung ist die Task, die zum Lesen oder Schreiben von Daten verwendet wird. Kann nachträglich geändert werden, wird aber nicht empfohlen, wenn eine Ereignistask verwendet wird. Dadurch werden Arbeitsabläufe unterbrochen.
- Der Zuordnungstyp hängt davon ab, welche Art von Informationen aus dem Verzeichnis gelesen werden. Die Auswahl der Identitätszuordnungen wird basierend auf dieser Einstellung angezeigt.
- Identität und Zugriffsrechte – werden verwendet, wenn Benutzerkonto- und Gruppeninformationen aus dem Verzeichnis gelesen (oder in dieses geschrieben) werden
- Single (nur Identität) – wird verwendet, wenn nur Benutzerkontoinformationen aus dem Verzeichnis gelesen (oder in dieses geschrieben) werden
- Einzeln (nur Zugriffsrecht) – wird verwendet, wenn nur Gruppeninformationen aus dem Verzeichnis gelesen (oder in dieses geschrieben) werden
- Allgemein (eine Vorlage) – wird verwendet, wenn allgemeine Informationen aus dem Verzeichnis gelesen (oder in das Verzeichnis geschrieben) werden. Normalerweise handelt es sich dabei um andere Daten als Benutzer- oder Gruppeninformationen.
- Aufgabenname – Geben Sie der Aufgabe einen Namen, er wird in der Konnektoransicht angezeigt.
6. Sicherheitsinformationen eingeben
Diese Informationen werden benötigt, wenn der Aufgabe ein Benutzererstellungsprozess im Workflow zugeordnet ist.
- Passwort für die erste Anmeldung – Standardpasswort, das für alle Benutzer gleich ist. Im Workflow wird ein zufälliges Passwort generiert, das normalerweise eindeutig ist.
- Standardkennwort / geben Sie es in das Feld unten ein
- Standardkennwort - Geben Sie ein Standardkennwort ein, das für alle Benutzer gleich ist und den Verzeichnisanforderungen für das Kennwort entspricht. Beachten Sie, dass die Anzahl der Zeichen nicht der tatsächlichen Länge des Kennworts entspricht.
- Es wird nicht empfohlen, in einer Produktionsumgebung für alle Konten dasselbe Kennwort zu verwenden
- Zufälliges Passwort / im Workflow generieren
- Generiertes Passwort
- Standardkennwort / geben Sie es in das Feld unten ein
7. Identitätszuordnungen definieren
- Zielvorlage – Wählen Sie eine Vorlage aus, um Attributzuordnungen zu definieren
- Zielordner – Wählen Sie einen Ordner aus einer Liste aus. Die Liste wird entsprechend der Kompatibilität mit der ausgewählten Vorlage eingegrenzt.
- Attributzuordnungen
- Externes Attribut - welches Attribut aus dem Verzeichnis/System wird zugeordnet
- Lokales Attribut - welches Attribut im Vorlagenattribut wird zugeordnet
- Neues Attribut hinzufügen – Durch Auswahl der Schaltfläche „Neues Attribut“ können zusätzliche Attribute festgelegt werden, die aus Benutzerkonten in AD gelesen werden.
7. Definieren Sie die Zuordnungen der Zugriffsrechte
- Zielvorlage – Wählen Sie eine Vorlage aus, um die Zuordnung von Zugriffsrechten zu definieren
- Zielordner – Wählen Sie einen Ordner aus einer Liste aus. Die Liste wird entsprechend der Kompatibilität mit der ausgewählten Vorlage eingegrenzt.
- Attributzuordnungen
- Externes Attribut - welches Attribut aus dem Verzeichnis/System wird zugeordnet
- Lokales Attribut - welches Attribut im Vorlagenattribut wird zugeordnet
- Neues Attribut hinzufügen – Durch Auswahl der Schaltfläche „Neues Attribut“ können zusätzliche Attribute festgelegt werden, die aus Gruppen in AD gelesen werden.
Optional, wenn generische Zuordnungen verwendet werden: Generische Zuordnungen definieren
- Zielvorlage – Wählen Sie eine Vorlage aus, um Attributzuordnungen zu definieren
- Zielordner – Wählen Sie einen Ordner aus einer Liste aus. Die Liste wird entsprechend der Kompatibilität mit der ausgewählten Vorlage eingegrenzt.
- Attributzuordnungen
- Externes Attribut - welches Attribut aus dem Verzeichnis/System wird zugeordnet
- Lokales Attribut - welches Attribut im Vorlagenattribut wird zugeordnet
- Neues Attribut hinzufügen – Durch Auswahl der Schaltfläche „Neues Attribut“ können zusätzliche Attribute festgelegt werden, die aus AD gelesen werden.
8. Speichern Sie die Bereitstellungsaufgabe über die Schaltfläche „Speichern“. Wenn obligatorische Informationen fehlen, können Sie die Aufgabe nicht speichern und die Schaltfläche „Speichern“ zeigt fehlende Informationen an.
9. Im nächsten Schritt konfigurieren Sie den Workflow-Orchestrierungsknoten für diese ereignisbasierte Aufgabe. Über die Workflow-Engine in der Plattform können Bereitstellungsaktivitäten für Kundenverzeichnisdienste ausgeführt werden. Das bedeutet, dass jede Aktivität des verfügbaren Orchestrierungsknotens an jedem Punkt des Workflows ausgeführt werden kann.
Workflow-Referenzen werden auf der Connector-Übersichtsseite angezeigt:
Authentifizierungsaufgabe konfigurieren
Wie erstelle ich eine neue Aufgabe zur Authentifizierung?
Es gibt zwei Möglichkeiten, eine neue Authentifizierungsaufgabe zu erstellen. Option eins besteht darin, eine vorhandene Bereitstellungsaufgabe in die Authentifizierungsaufgabe zu kopieren, wenn die Authentifizierungsmethode dieselben Einstellungen verwendet. Option zwei besteht darin, eine neue Authentifizierungsaufgabe zu erstellen.
Hinweis: Das Synchronisieren von Authentifizierungsaufgaben mit Security Access funktioniert bei Versionen vor 2025.2 nicht. Es wird daher empfohlen, diese nicht für ältere Versionen zu erstellen. Melden Sie sich stattdessen bei Secure Access ( ESA )-Admin-Konsole an und erstellen Sie den Pro direkt dort .
Option 1: Neue Authentifizierungsaufgabe aus Bereitstellungsaufgabe erstellen
1. Öffnen Sie den Administrationsbereich (Zahnradsymbol)
2. Wählen Sie die Registerkarte „Konnektoren“ und kopieren Sie die gewünschte Aufgabe über die Schaltfläche „Klonen“.
3. Geben Sie der neuen Authentifizierungsaufgabe einen Namen und ändern Sie die Aufgabenverwendung in Authentifizierung
4. Füllen Sie die erforderlichen Felder aus und speichern Sie die Aufgabe
Option 2: Neue Authentifizierungsaufgabe erstellen
1. Öffnen Sie den Administrationsbereich (Zahnradsymbol)
2. Wählen Sie das Connectors-Modul
3. Wählen Sie die Registerkarte Authentifizierung
4. Connector auswählen und neue Aufgabe erstellen
5. Pflichtangaben ausfüllen
6. Filter für Benutzer und Gruppen definieren
7. Wählen Sie den Authentifizierungsbereich. Bereich, für den die Authentifizierungskonfiguration in ESA erstellt wird
8. Aufgabe speichern und ESA Sync ausführen
9. Wechseln Sie zu den Konfigurationsanweisungen Efecte Secure Access gemäß dem Authentifizierungsprotokoll
Anweisungen für Version 2024.1 und ältere Versionen
Konfigurieren Sie geplante Aufgaben
Efecte Provisioning Engine wird zum Lesen von Benutzer- und Gruppeninformationen aus OpenLDAP Verzeichnis des Kunden verwendet und wird von der Efecte Service Management-Plattform durch die Erstellung zeitplanbasierter Bereitstellungsaufgaben konfiguriert.
Die empfohlene Planungsreihenfolge hängt davon ab, wie viele Daten aus dem Kundenverzeichnis in die Efecte-Lösung gelesen werden und ob der Import teilweise oder vollständig erfolgt.
| Gesamtzahl der Benutzer | Gesamtzahl der Gruppen | Volllastsequenz | Teillastsequenz |
| < 500 | < 1000 | Alle 30 Minuten, wenn keine Teillast genutzt wird Vier (4) Mal täglich bei Teillast |
Alle 10 Minuten |
| < 2000 | < 2000 | Alle 60 Minuten, wenn keine Teillast genutzt wird Vier (4) Mal täglich bei Teillast |
Alle 15 Minuten |
| < 5000 | < 3000 | Alle vier (4) Stunden, wenn keine Teillast verwendet wird Bei Teillast zweimal täglich |
Alle 15 Minuten |
| < 10 000 | < 5000 | Maximale Importe zweimal täglich, egal ob Teilladung genutzt wird oder nicht | Alle 30 Minuten |
| < 50 000 | < 7000 | Maximale Einfuhr einmal täglich, unabhängig davon, ob Teilladung genutzt wird oder nicht | Alle 60 Minuten |
| Über 50.000 | Über 7000 | Möglicherweise besteht Bedarf an einem weiteren EPE-Mitarbeiter. Bitte wenden Sie sich an den Pro . | Getrennt ausgewertet |
So erstellen Sie eine neue Aufgabe für die geplante Pro
Zum Konfigurieren zeitplanbasierter Bereitstellungsaufgaben benötigen Sie Zugriff auf die Konfigurationskonsole der Efecte-Plattform.
1. Öffnen Sie den Efecte-Administrationsbereich (ein Zahnradsymbol).
2. IGA Ansicht öffnen
3. Wählen Sie „Neue Aufgabe hinzufügen“ für die zeitgesteuerte Pro
4. Wählen Sie OpenLDAP aus der Liste Neue Aufgabe hinzufügen
5. Geben Sie einen eindeutigen Namen für die Bereitstellungsaufgabe ein
6. Wählen Sie den Web API Benutzer und geben Sie das Passwort ein
7. Wählen Sie eine Fehlervorlage der Datenkarte aus, die im Falle von Fehlern während der Bereitstellung (Verbindung zu Datenquellen, Zeitüberschreitungen usw.) erstellt wird.
8. Wählen Sie die Planungssequenz, die davon abhängt, wie viele Daten an die Efecte-Lösung des Kunden gelesen werden
9. Füllen Sie den Abschnitt Pro Eigenschaften“ aus, in dem Informationen zur Verbindung und Filter zum Lesen von Benutzer- und Gruppeninformationen aus OpenLDAP des Kunden definiert werden.
10. Benutzer werden in IGA -Kontovorlage importiert. Es ist obligatorisch, Zielordner, Datenquellen-ID und eindeutige Werte festzulegen, die zur Identifizierung der Benutzer zwischen OpenLDAP des Kunden und der Efecte-Lösung verwendet werden. Es ist möglich, zusätzliche Attribute festzulegen, die aus Benutzerkonten in OpenLDAP gelesen werden, indem Sie Eigenschaft hinzufügen wählen.
12. Gruppen werden in IGA Berechtigungsvorlage eingelesen. Zielordner, Datenquellen-ID und eindeutige Werte zur Identifizierung von Benutzern zwischen OpenLDAP des Kunden und der Efecte-Lösung müssen zwingend festgelegt werden. Zusätzliche Attribute, die aus Benutzerkonten in OpenLDAP gelesen werden, können durch Auswahl von „Eigenschaft hinzufügen“ festgelegt werden.
14. Bereitstellungsaufgabe über die obere Leiste speichern
15. Sie haben nun die zeitgesteuerte Bereitstellungsaufgabe konfiguriert und können
- Testen der Verbindung
- Testauthentifizierung
- Aufgabe manuell ausführen
16. Wenn die Aufgabe manuell ausgeführt wird (Aufgabe manuell ausführen) oder gemäß Zeitplan ausgeführt wird, kann der Aufgabenstatus unter der Registerkarte „Status extrahieren/laden“ überprüft werden.
Ereignisbasierte Aufgabe konfigurieren
Beim Schreiben von Daten in OpenLDAP wird eine ereignisbasierte Pro verwendet. Diese Funktionen Efecte Provisioning Engine sind nur für die Efecte IGA Lösung verfügbar und für ihre Verwendung ist IGA Lizenz erforderlich.
Alle Konfigurationen im Zusammenhang mit Efecte Provisioning Engine und ereignisbasierten Bereitstellungsaufgaben werden in der Efecte Service Management-Plattform konfiguriert.
1. Wählen Sie OpenLDAP aus der Liste Neue Aufgabe hinzufügen
2. Wählen Sie den Pro Ereignisbasierte Bereitstellung
3. Zuordnungstyp auswählen
4. Geben Sie den Namen und den eindeutigen Namen für die Bereitstellungsaufgabe ein (z. B. [Vorlagenname]:[Aktivität] IGA -Serviceanforderung:Benutzer überprüfen ).
5. Füllen Sie den Abschnitt Pro “ aus, in dem Informationen zur Verbindung definiert und Filter für Benutzer- und Gruppeninformationen aus OpenLDAP des Kunden erstellt werden. Hinweis! Es wird empfohlen, die Verbindung zwischen Efecte Provisioning Engine und den Verzeichnisdiensten stets zu sichern.
6. Definieren Sie Attributzuordnungen.
- Sie können zusätzliche Attribute festlegen, indem Sie „Benutzerdefinierte Eigenschaft hinzufügen“ auswählen.
- Im ereignisbasierten Bereitstellungsvorgang kann definiert werden, welche Attributinformationen der IGA Lösung in das Verzeichnis geschrieben werden.
- Es kann mehrere Bereitstellungsaufgaben für unterschiedliche Zwecke geben, beispielsweise eine zum Erstellen von Benutzern und eine zum Entfernen von Benutzern aus dem Verzeichnis.
7. Bereitstellungsaufgabe über die obere Leiste speichern
8. Sie haben jetzt die ereignisbasierte Bereitstellungsaufgabe konfiguriert und können Verbindung und Authentifizierung testen.
9. Der nächste Schritt besteht darin, den Workflow für die ereignisbasierte Aufgabe zu konfigurieren. Über die Workflow-Engine der Efecte Service Management-Plattform können Bereitstellungsaktivitäten für Kundenverzeichnisdienste ausgeführt werden. Das bedeutet, dass jede der verfügbaren Aktivitäten zu jedem Zeitpunkt des Workflows ausgeführt werden kann.
Authentifizierungsaufgabe konfigurieren
Es gibt zwei Möglichkeiten, eine neue Authentifizierungsaufgabe zu erstellen. Option eins besteht darin, eine vorhandene Bereitstellungsaufgabe in die Authentifizierungsaufgabe zu kopieren, wenn die Authentifizierungsmethode dieselben Einstellungen verwendet. Option zwei besteht darin, eine neue Authentifizierungsaufgabe zu erstellen.
Option 1: Neue Authentifizierungsaufgabe aus Bereitstellungsaufgabe erstellen
1. Öffnen Sie den Administrationsbereich (Zahnradsymbol)
2. Wählen Sie die Registerkarte IGA und kopieren Sie die gewünschte Aufgabe über die Schaltfläche „Klonen“.
3. Geben Sie der neuen Authentifizierungsaufgabe einen Namen
4. Ändern Sie nach dem Speichern den Bereitstellungstyp der Authentifizierung
5. Füllen Sie die erforderlichen Felder aus und speichern Sie die Aufgabe
Option 2: Neue Authentifizierungsaufgabe erstellen
1. Öffnen Sie den Administrationsbereich (Zahnradsymbol)
2. Wählen Sie die Registerkarte IGA
3. Wählen Sie „Neue Aufgabe hinzufügen“ und „Verzeichnis korrigieren“
4. Stellen Sie den Bereitstellungstyp auf Authentifizierung ein
5. Pflichtangaben ausfüllen
6. Filter für Benutzer und Gruppen definieren
7. Aufgabe speichern und Synchronisierung mit ESA ausführen
8. Wechseln Sie zu den Konfigurationsanweisungen Efecte Secure Access gemäß dem Authentifizierungsprotokoll
Workflow-Aktivitäten
Die Pro Engine (EPE) bietet die Möglichkeit, die folgenden Aktivitäten für OpenLDAP zu orchestrieren.
Benutzer aktivieren/deaktivieren
In der obigen Abbildung haben Administratoren das richtige OpenLDAP -Ziel ausgewählt und können die für ausgewählte OpenLDAP Aufgaben konfigurierten Identitätszuordnungen einsehen. In dieser Orchestrierungsansicht können Administratoren keine Zuordnungen ändern; diese werden nur als visuelle Hilfe angezeigt. Sollten Änderungen an den Zuordnungen erforderlich sein, müssen diese in der Konfigurationsansicht der Pro vorgenommen werden.
Innerhalb desselben Knotens können Administratoren die Aktion auswählen, die sie bevorzugen: „ Aktivieren “ oder „ Deaktivieren “.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzer zur Gruppe hinzufügen
In der obigen Abbildung sollte die Konfiguration des Personenattributs auf die Vorlage verweisen, in der der Orchestrierungsknoten die Benutzerdaten findet (normalerweise IGA Konto). Das Rollenattribut muss konfiguriert werden, um zu definieren, wo der Orchestrierungsknoten die verfügbaren Rollen findet (Verzeichnisgruppen, aus denen der Benutzer entfernt werden soll). In einem Rollenattribut können eine oder mehrere Attributgruppen konfiguriert sein. Die Liste der verfügbaren registrierten Verzeichnisaufgaben wird vom EPE-Master abgerufen.
Es ist erforderlich, die Verzeichnisaufgabe auszuwählen, da der Orchestrierungsknoten Pro Engine die Zuordnung der Felder für Identität und Zugriffsrechte verwendet, um zu wissen, unter welchem Attributcode die eindeutigen Namen des Benutzers und der Verzeichnisgruppe gespeichert sind.
Ausnahmebehandlung:
- Das Ergebnis eines Knotens befindet sich nur dann im Status „Abgeschlossen“, wenn alle Gruppenmitgliedschaften des Benutzers erfolgreich aktualisiert wurden. Wenn der Benutzer beispielsweise erfolgreich aus fünf von sechs Gruppen entfernt wird, befindet sich das Ergebnis eines Knotens im Status „Ausnahme“.
- Daher ist die Zuordnung für das JSON-Feld „distinguishedName“ sowohl für die Identität als auch für das Zugriffsrecht erforderlich. Wenn keine Zuordnung gefunden wird, führt der Orchestrierungsknoten zu einem Ausnahmezustand.
- Der Versuch, einen Benutzer aus einer Gruppe zu entfernen, zu der er nicht gehört, schlägt fehl.
- Der Versuch, einen Benutzer zu einer Gruppe hinzuzufügen, zu der er bereits gehört, schlägt fehl.
- Details zur erfolgreich/nicht erfolgreich aktualisierten Gruppenmitgliedschaft des Benutzers finden Sie in den Protokollen.
- Ausnahmen Pro Bereitstellung und Gruppenmitgliedschaft sind optionale Eigenschaften dieses Workflow-Knotens. Administratoren können diese Eigenschaften so konfigurieren, dass Ausnahmen geschrieben werden können, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzer erstellen
In der obigen Abbildung werden die Identitätsattributzuordnungen aus Pro übernommen. Administratoren wählen das richtige Verzeichnisziel aus und können die für ausgewählte Verzeichnisaufgaben konfigurierten Identitätszuordnungen einsehen. In dieser Orchestrierungsansicht dürfen Administratoren keine Zuordnungen ändern; diese werden als visuelle Hilfe dargestellt. Sollten Änderungen an den Zuordnungen erforderlich sein, müssen diese in der Pro der Bereitstellungsaufgabe vorgenommen werden.
Der neue Benutzer-Orchestrierungsknoten liest Attribute aus den betreffenden Datenkarten und führt einen LDAP-Befehl an OpenLDAP aus. Es ist wichtig sicherzustellen, dass die Identitätszuordnung, die im Orchestrierungsknoten „Benutzer erstellen“ verwendet wird, mindestens zwei zusätzliche Active Directory Zuordnungen enthält: für die Attribute „cn“ und „sAMAccountName“. Fehlen diese beiden Zuordnungen in einer Konfiguration, wird sie nicht in der Dropdown-Liste angezeigt.
Erstellen neuer Benutzeraktivitätsnotizen:
- Es gibt zwei Möglichkeiten, das Passwort für einen neuen Benutzer bei seiner ersten Anmeldung zu erstellen.
- Definieren Sie das „Standard“-Passwort in der Konfigurationsansicht der Pro .
- Dieses Passwort wird nur von Benutzern verwendet, wenn sie sich zum ersten Mal in das System einloggen
- Generieren Sie im Workflow ein zufälliges Kennwort und wählen Sie aus, in welches Attribut auf der Identity Mapping-Datenkarte es geschrieben wurde.
- Möglichkeit zur Auswahl, ob das Kennwort bei der ersten Anmeldung geändert werden muss oder nicht. Administratoren können dies direkt im Workflow-Orchestrierungsknoten „Benutzererstellung“ auswählen.
- Definieren Sie das „Standard“-Passwort in der Konfigurationsansicht der Pro .
- Es gibt verschiedene Möglichkeiten, das Passwort für die erste Anmeldung des Endbenutzers bereitzustellen. Je nach Kundenbedarf können Workflow-Funktionen genutzt werden, um das Passwort direkt per E-Mail oder SMS an den Endbenutzer zu senden. Alternativ kann das Passwort für die erste Anmeldung an den Manager gesendet werden, der es dem Endbenutzer bereitstellt. Der Orchestrierungsknoten von EPE selbst bietet diese Funktion NICHT an; sie muss an anderer Stelle definiert werden.
- Die Konfiguration von „Ziel“ erfolgt in der Konfigurationsansicht der Bereitstellungsaufgabe. Beim Anlegen neuer Benutzer müssen Administratoren sicherstellen, dass nur eine LDAP-Benutzerbasis/ein LDAP-Benutzerfilter vorhanden ist, um Konflikte im Workflow zu vermeiden.
- Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden können, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Gruppe erstellen
In der obigen Abbildung werden die Attributzuordnungen der Zugriffsrechte aus Pro übernommen. Administratoren wählen das richtige OpenLDAP -Ziel aus und können die für ausgewählte OpenLDAP Aufgaben konfigurierten Zugriffsrechtezuordnungen einsehen. In dieser Orchestrierungsansicht dürfen Administratoren keine Zuordnungen ändern; diese werden als visuelle Hilfe dargestellt. Sollten Änderungen an den Zuordnungen erforderlich sein, müssen diese in der Konfigurationsansicht der Pro vorgenommen werden.
Der neu erstellte Benutzerorchestrierungsknoten liest Attribute von den betreffenden Datenkarten und führt den LDAP-Befehl an OpenLDAP aus.
Es muss sichergestellt werden, dass die im Orchestrierungsknoten „Gruppe erstellen“ verwendete Zugriffsrechtezuordnung mindestens zwei zusätzliche OpenLDAP Zuordnungen enthält: für die Attribute „cn“ und „sAMAccountName“.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Gruppe löschen
In der obigen Abbildung können Administratoren das richtige OpenLDAP -Ziel auswählen. Der Orchestrierungsknoten „Gruppe löschen“ liest Attribute von den betreffenden Datenkarten und führt einen LDAP-Befehl an OpenLDAP aus.
Bei LDAP-basierten Konfigurationen sollte das „Rollengruppenattribut“ den DistinguishedName der Gruppe enthalten.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzer löschen
In der obigen Abbildung können Administratoren das richtige OpenLDAP -Ziel auswählen. Der gelöschte Benutzerorchestrierungsknoten liest Attribute von den betreffenden Datenkarten und führt einen LDAP-Befehl an OpenLDAP aus.
Bei Active Directory -basierten Konfigurationen sollte das „Personenattribut“ den DistinguishedName des Benutzers enthalten.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzerattribut entfernen
In der obigen Abbildung können Administratoren das richtige OpenLDAP -Ziel auswählen. Der Orchestrierungsknoten zum Entfernen von Benutzerattributen liest Attribute aus den betreffenden Datenkarten und führt einen LDAP-Befehl an OpenLDAP aus. In der Eigenschaft „Zu entfernende(s) Attribut(e)“ kann der Administrator das Attribut definieren, das aus dem Verzeichnis entfernt werden soll. Geben Sie dem zu entfernenden Attribut einen Namen. Die Zeichenfolge kann Attribute mit mehreren Werten enthalten, z. B. „Stadt“, „Kostenstelle“, „Mobiltelefon“.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzer aus Gruppe entfernen
In der obigen Abbildung können Administratoren das richtige OpenLDAP -Ziel auswählen. Der Orchestrierungsknoten zum Entfernen von Benutzerattributen liest Attribute von den entsprechenden Datenkarten und führt einen LDAP-Befehl an das Verzeichnis aus. In der Eigenschaft „Zu entfernende Attribute“ können Administratoren das Attribut definieren, das aus dem Verzeichnis entfernt werden soll.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden können, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzerkennwort zurücksetzen
In der obigen Abbildung können Administratoren das richtige OpenLDAP -Ziel auswählen. Der Orchestrierungsknoten „Benutzerkennwort zurücksetzen“ liest Attribute aus den betreffenden Datenkarten und führt einen LDAP-Befehl an das Verzeichnis aus. Die Attribute „Person“ und „Kennwort“ sollten auf die Vorlage verweisen, in der der Orchestrierungsknoten die Benutzerdaten findet.
Der Administrator kann wählen, ob das Kennwort bei der ersten Anmeldung geändert werden muss oder nicht. Administratoren können dies direkt im Workflow-Orchestrierungsknoten „Benutzerkennwort zurücksetzen“ auswählen.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden können, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzer entsperren
In der obigen Abbildung können Administratoren das richtige OpenLDAP -Ziel auswählen. Der entsperrte Benutzerorchestrierungsknoten liest Attribute von den betreffenden Datenkarten und führt einen LDAP-Befehl an das Verzeichnis aus.
Es ist wichtig, bei den Konfigurationen zu berücksichtigen, dass das „Personenattribut“ den DistinguishedName des Benutzers enthalten sollte.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden können, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Gruppe „Aktualisieren“
In der obigen Abbildung werden die Attributzuordnungen für Zugriffsrechte aus Pro ausgefüllt. Administratoren wählen das richtige OpenLDAP -Ziel aus und können die für ausgewählte OpenLDAP Aufgaben konfigurierten Zugriffsrechtezuordnungen anzeigen.
In dieser Orchestrierungsansicht dürfen Administratoren keine Zuordnungen ändern. Diese werden nur als visuelle Hilfe angezeigt. Sollten Änderungen an den Zuordnungen erforderlich sein, müssen diese in der Konfigurationsansicht der Pro vorgenommen werden.
Der Orchestrierungsknoten der Update-Gruppe liest Attribute von den betreffenden Datenkarten und führt einen LDAP-Befehl an OpenLDAP aus.
Die Konfiguration von „Ziel“ erfolgt in der Konfigurationsansicht der Bereitstellungsaufgabe. Beim Aktualisieren von Gruppen müssen Administratoren sicherstellen, dass nur eine OpenLDAP Gruppenbasis/ein LDAP-Gruppenfilter vorhanden ist, um Konflikte im Workflow zu vermeiden.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden können, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzer aktualisieren
In der obigen Abbildung werden die Identitätsattributzuordnungen aus Pro übernommen. Administratoren wählen das richtige OpenLDAP -Ziel und können die für ausgewählte OpenLDAP Aufgaben konfigurierten Identitätszuordnungen einsehen. In dieser Orchestrierungsansicht können Administratoren keine Zuordnungen ändern; diese werden nur als visuelle Hilfe dargestellt. Sollten Änderungen an den Zuordnungen erforderlich sein, müssen diese in der Pro der Bereitstellungsaufgabe vorgenommen werden.
Der Knoten zur Aktualisierung der Benutzerorchestrierung liest Attribute von den betreffenden Datenkarten und führt den LDAP-Befehl an OpenLDAP aus.
Beachten Sie, dass die Aktualisierung des Benutzerkennworts bei dieser Orchestrierungsaktivität nicht unterstützt wird.
Die Konfiguration von „Ziel“ erfolgt in der Konfigurationsansicht der Bereitstellungsaufgabe. Für die Aktualisierung von Benutzern müssen Administratoren sicherstellen, dass nur eine OpenLDAP Benutzerbasis/ein LDAP-Benutzerfilter vorhanden ist, um Konflikte im Workflow zu vermeiden.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Wert des Benutzer-Distinguished Name aktualisieren
In der obigen Abbildung können Administratoren das richtige OpenLDAP -Ziel auswählen. Der Orchestrierungsknoten „Benutzer-Distinguished Name Value aktualisieren“ liest Attribute von den betreffenden Datenkarten und führt einen LDAP-Befehl an OpenLDAP aus.
Im Feld „Aktueller Distinguished Name-Wert*“ muss der Administrator auswählen, aus welchem Attribut der angegebenen Vorlage/Datenkarte der „alte“ Name des OpenLDAP Standorts gelesen wird. Das Feld „Neuer Distinguished Name-Wert*“ wählt das Attribut aus der angegebenen Vorlage/Datenkarte aus, das als Name des neuen OpenLDAP Standorts verwendet wird.
Mit dieser Aktivität können Administratoren beispielsweise die Aktualisierungsaktion auf das Attribut „Commonname“ beschränken, es ist jedoch erforderlich, den gesamten Distinguished-Wert anzugeben, Beispiel:
Aktueller Distinguished Name-Wert: CN=DemoAccount,OU=DemoUsers,DC=testad,DC=local
Neuer Distinguished Name-Wert: CN=DemoAccount,OU=OldDemoUsers,DC=testad,DC=local
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Gruppe überprüfen
In der obigen Abbildung werden die Attributzuordnungen der Zugriffsrechte aus den Pro übernommen. Administratoren wählen das richtige OpenLDAP unter „Ziel“ aus und können sehen, welche Zugriffsrechtezuordnungen für die ausgewählte OpenLDAP Aufgabe konfiguriert sind. In dieser Orchestrierungsansicht können keine Zuordnungen geändert werden; diese dienen nur als visuelle Hilfe. Sollten Änderungen an den Attributzuordnungen erforderlich sein, müssen diese Attribute in der Konfigurationsansicht der Bereitstellungsaufgabe definiert werden, damit sie im Orchestrierungsknoten geändert werden können.
Im Admin-Bereich „Zugriffsrechtezuordnungen“ können Administratoren „IF“-Ausdrücke eingeben, die eine LDAP-Abfrage erstellen, um zu überprüfen, ob die Gruppe existiert. Es können beliebig viele Attribute aus der Datenkarte ausgewählt werden, um die Eindeutigkeit einer Gruppe zu bestätigen. Bei einer Aktion werden diese Attribute aus der entsprechenden Datenkarte gelesen und gemäß der OpenLDAP Konfiguration „Ziel*“ mit den entsprechenden OpenLDAP Attributen verglichen. Administratoren können durch Ändern des „IF“-Ausdrucks auch „gleich“ oder „ungleich“ zum entsprechenden OpenLDAP Attribut verwenden. Das Feld „Ergebnis speichern*“ definiert, wo die Ergebnisse der erfolgreichen LDAP-Abfrage gespeichert werden: „true“, wenn die Gruppe gefunden wurde, andernfalls „false“.
Administratoren haben die Möglichkeit, die Eigenschaft „OU-Unterbaum einschließen“ auf diesem Orchestrierungsknoten zu aktivieren, um zu überprüfen, ob die Gruppe im definierten Organisationseinheit-Unterbaum vorhanden ist. Wenn der Administrator diese Option nicht auswählt, überprüft der Orchestrierungsknoten nur die in der Konfiguration definierte Organisationseinheit.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden können, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Überprüfen der Gruppenmitgliedschaft
In der obigen Abbildung wählen Administratoren das richtige OpenLDAP unter „Ziel“ aus und können anzeigen, welche Identitätszuordnungen für die ausgewählte Aufgabe konfiguriert sind.
Das Feld „Ergebnis speichern*“ wird verwendet, um zu definieren, wo die erfolgreichen LDAP-Abfrageergebnisse gespeichert werden, „true“, wenn der Benutzer gefunden wurde, und andernfalls „false“.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzer überprüfen
In der obigen Abbildung werden die Identitätsattributzuordnungen aus den Pro übernommen. Administratoren wählen das richtige OpenLDAP unter „Ziel“ aus und können sehen, welche Identitätszuordnungen für die ausgewählte OpenLDAP Aufgabe konfiguriert sind. In dieser Orchestrierungsansicht können keine Zuordnungen geändert werden; diese werden nur als visuelle Hilfe angezeigt. Sollten Änderungen an den Attributzuordnungen erforderlich sein, müssen diese Attribute in der Konfigurationsansicht der Bereitstellungsaufgabe definiert werden, damit sie im Orchestrierungsknoten geändert werden können.
Im Administratorenbereich „Identitätszuordnungen“ können Administratoren „IF“-Ausdrücke eingeben, die eine LDAP-Abfrage zur Überprüfung der Benutzerexistenz erstellen. Es können beliebig viele Attribute aus der Datenkarte ausgewählt werden, um die Eindeutigkeit eines Benutzers zu bestätigen. Bei einer Aktion werden diese Attribute aus der entsprechenden Datenkarte gelesen und gemäß der OpenLDAP Konfiguration „Ziel*“ mit den entsprechenden OpenLDAP Attributen verglichen. Administratoren können durch Ändern des „IF“-Ausdrucks auch „gleich“ oder „ungleich“ zum entsprechenden OpenLDAP -Attribut verwenden. Das Feld „Ergebnis speichern*“ definiert, wo die Ergebnisse der erfolgreichen LDAP-Abfrage gespeichert werden: „true“, wenn der Benutzer gefunden wurde, andernfalls „false“.
Der entscheidende Punkt zum Verständnis der Funktionsweise dieses Knotens ist: Beim Bilden des IF-Ausdrucks muss der Administrator die Attribute der Vorlage verwenden. Tatsächlich werden die daraus gelesenen Werte jedoch gemäß der Identitätszuordnungskonfiguration in die richtigen Verzeichnisattribute übersetzt (abgebildet) und als Suchabfrage an OpenLDAP übergeben.
Administratoren haben die Möglichkeit, die Eigenschaft „OU-Unterstruktur einschließen“ auf diesem Orchestrierungsknoten zu aktivieren, um zu überprüfen, ob der Benutzer in der definierten Organisationseinheit (Unterstruktur) vorhanden ist. Wenn der Administrator diese Option nicht auswählt, überprüft der Orchestrierungsknoten nur die in der Konfiguration definierte Organisationseinheit.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzerdefiniertes Objekt erstellen
In der obigen Abbildung werden die Identitätsattributzuordnungen aus Pro gefüllt. Der Administrator hat das richtige Verzeichnis OpenLDAP als „Ziel“ ausgewählt und kann die für ausgewählte Verzeichnisaufgaben konfigurierten Identitätszuordnungen anzeigen. In dieser Orchestrierungsansicht dürfen Administratoren keine Zuordnungen ändern; diese werden als visuelle Hilfe dargestellt. Sollten Änderungen an den Zuordnungen erforderlich sein, müssen diese in der Konfigurationsansicht der Pro vorgenommen werden. Die benutzerdefinierte Objektklasse definiert, welches Objekt EPE erstellt (in diesem Beispiel ist es die Organisation). Sie liest Attribute von den betreffenden Datenkarten und führt den LDAP-Befehl an OpenLDAP aus.
Der neue benutzerdefinierte Objektorchestrierungsknoten liest Attribute aus den betreffenden Datenkarten und führt einen LDAP-Befehl an OpenLDAP aus. Es ist wichtig sicherzustellen, dass beim Erstellen des benutzerdefinierten Objektorchestrierungsknotens die Identitätszuordnung verwendet wird.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzerdefiniertes Objekt aktualisieren
In der obigen Abbildung können Administratoren das richtige OpenLDAP „Ziel“ auswählen, es liest Attribute von den betreffenden Datenkarten und führt den LDAP-Befehl an OpenLDAP aus.
In dieser Orchestrierungsansicht können Sie keine Zuordnungen ändern. Diese werden nur als visuelle Hilfe angezeigt. Wenn die Attributzuordnungen geändert werden müssen, müssen diese Attribute in der Konfigurationsansicht der Bereitstellungsaufgabe definiert werden, damit sie im Orchestrierungsknoten geändert werden können.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzerdefiniertes Objekt löschen
In der obigen Abbildung können Administratoren das richtige OpenLDAP „Ziel“ auswählen, es liest Attribute von den betreffenden Datenkarten und führt den LDAP-Befehl an OpenLDAP aus.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Benutzerdaten lesen
In der obigen Abbildung werden die Identitätsattributzuordnungen aus Pro übernommen. Administratoren wählen das richtige OpenLDAP -Ziel aus und können die für ausgewählte OpenLDAP Aufgaben konfigurierten Zuordnungen einsehen. In dieser Orchestrierungsansicht dürfen Administratoren keine Zuordnungen ändern; diese werden als visuelle Hilfe dargestellt. Sollten Änderungen an den Zuordnungen erforderlich sein, müssen diese in der Pro der Bereitstellungsaufgabe vorgenommen werden.
„Personenattribut“ sollte den DistinguishedName-Namen des Benutzers oder ein anderes eindeutiges Attribut enthalten.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden können, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Bereitstellungsaufgabe ausführen
In der obigen Abbildung können Administratoren das richtige Verzeichnis „Ziel“ auswählen. Führen Sie den Bereitstellungstask-Orchestrierungsknoten aus, um Attribute von OpenLDAP in IGA -Konten zu lesen.
Anforderungen für die EPE-Aufgabe „Ziel“ sind:
- Die Aufgabe muss vom Typ „Planbare Aufgabe“ sein und darf nicht ereignisbasiert sein.
- Die Vorlage des Workflows muss mit der Vorlage für die Identitätszuordnung identisch sein.
- Die Aufgabe muss zu einem bestimmten Zeitpunkt geplant werden - es markiert eine Aufgabe, die dann "aktiviert" werden soll
- Zuordnungen müssen eindeutig sein, keine doppelten Zuordnungen in der Aufgabe
In dieser Orchestrierungsansicht können Sie keine Zuordnungen ändern. Diese werden nur als visuelle Hilfe angezeigt. Wenn die Attributzuordnungen geändert werden müssen, müssen diese Attribute in der Konfigurationsansicht der Bereitstellungsaufgabe definiert werden, damit sie im Orchestrierungsknoten geändert werden können.
Die Pro ist eine optionale Eigenschaft dieses Workflowknotens. Administratoren können diese Eigenschaft so konfigurieren, dass Ausnahmen geschrieben werden können, wenn während der Bereitstellungsaktionen Ausnahmen auftreten.
Fehlerbehebung
Bei Fehlern überprüfen Sie bitte die EPE-Protokolle und FAQ