Microsoft Active Directory -liitin

Microsoft Active Directory (AD) -liitin on osa Native Connectors -kokonaisuutta, ja sitä käytetään tietojen lukemiseen ja kirjoittamiseen asiakkaan Active Directoryyn ja sieltä pois. Sitä voidaan käyttää kaikissa Matrix42 Core-, Pro- ja IGA-ratkaisuissa, jotka käyttävät Native Connectorsia.

Voit lukea ja kirjoittaa Active Directoryyn ja sieltä käyttäjä-, yhteystieto-, tulostin-, tietokone-, jaettu kansio-, ryhmä- ja/tai organisaatioyksikkötyyppisiä objekteja

AD-liitin vaatii määrityksen asiakkaan käyttötapauksen mukaisesti, ja periaatteessa määrityksessä on kolme (3) vaihetta:

1. Määritä liitin – mahdollistaa liittimen yhteyden muodostamisen hakemistoon
2. Määritä ajastettu tehtävä – käytetään, kun tietoja luetaan hakemistosta
3. Määritä tapahtumatehtävä – käytetään, kun tietoja kirjoitetaan hakemistoon
   1. Määritä työnkulun orkestrointisolmu(t) kutsumaan tapahtumatehtäviä

Yleiset toiminnot

Connectors - general functionalities

Connectors - general functionalities 

In this article are described general functionalities for managing native connectors in solution. All Native Connectors are managed from the same connector management UI. 

Notice that there are separate descriptions for each connector, where connector specific functionalities and configuration instructions are described in detailed level. 

To be able to access connector management, user needs to have admin level permissions to customers Platform configuration. When accesses are granted correctly, Connector tab will be visible and user can manage connectors. 

 

Left menu

Connector management is divided into four tabs: 

 

• Overview - for creating and updating Native Connectors. The Admin User can see their status, type and how many scheduled or event tasks are associated with them.
• Authentication - for creating and updating authentication tasks. Provisioning task for authentication is needed for Secure Access to be able to define which Customers end-users can access to Matrix42 Core, Pro and IGA login page. 
• Logs - for downloading Native Connector and Secure Access logs from UI.
• Settings - general settings for Native Connectors and Secure Access, including environment type for logging and monitoring.

 

In release 26.2 left menu was moved to be on top of page as top menu. It also now contains new Certificates tab, for handling Native Connectors and Secure Access LDAP and HTTPS traffic certificates.

 

Connectors overview tab

From overview page, user can easily and quickly see status for all connectors. 

Top bar:

• Connectors
  • Green indicates that Native Connectors is online. All the needed services are up and running.
  • Red indicates that there is a problem with Native Connectors, all the services are not running.
• Authentication (Secure Access)
  • Green indicates that Secure Access is online. All the needed services are up and running.
  • Red indicates that there is a problem with Secure Access, all the services are not running.
• Native Connectors version number is displayed in top right corner
   

Top bar for list view:

• New connector - opens new window for adding and configuring new connector 
• Remove connector(s) - workflow references are calculated and pop-up window appears to confirm removal (notice that calculating references can take several seconds)
• Export - Admin can export one or more connectors (and tasks) from the environment. Usually used for exporting connectors and connectors (and tasks) from test to prod. Native connectors secret information is password protected.
• Import - Admin can import one or more connectors (and tasks) to the environment. Usually used for importing connectors (and tasks) from test to prod. 
  • Admin cannot import from old EPE UI (Older than 2024.1) to the new one. Source and target environments must have same version.
  • Import will fail if the configuration (templates, attributes) is not the same - for example when some attribute is missing 
  • If a connector with the same details already exists in the environment, the import process detects this and informs the admin that the connector already exists. The existing connector is not modified or renamed.
• Refresh - Admin can refresh connectors list view by clicking the Refesh button.

 

List view for overview, 

• Select connector(s) - Select one connector by clicking check box in front of the connector row or clicking check box in the header row will select all connectors
• Id - Automatically generated unique ID of the connector. Cannot be edited or changed.
• Status - indicates scheduled task status

 

• Green double check mark - Task is executed without any errors
• Red triangle -Task is executed, but there have been error
• Grey line - Tasks are not executed yet
• Orange - one or more of the tasks has a problem
• No value - Scheduled based-task is missing
• Name - Connector name added to connector settings. Unique name of the connector holding configuration for one data source
• Type - indicates target / source system
• Scheduled - informs how many scheduled tasks are configured
• Event - informs how many event tasks are configured
• Manage
  • Pen icon - opens connector settings (double-clicking the connector row, also opens settings)
  • Paper icon - copies the connector
  • Stop - workflow references are calculated and pop-up window appears to confirm removal
• Search - User can search connector by entering the search term in the corresponding field . Id, Status, Name, Type, Scheduled and Event fields can be searched.

 

Scheduled task information (click arrow front of the connector)

When clicking arrow at the beginning of the connector row, all related scheduled and event tasks are shown

 

Top bar for scheduled tasks

• New task - opens configuration page for new task
• Remove task(s) - removes the selected task(s) from the system and they cannot be recovered anymore.
• Refresh - refresh scheduled-based tasks view 
• Search - user can search task by entering the search term in the corresponding field for Id, name, enabled, extract/load status.

 

List view for scheduled tasks

• Select task(s) - Select task to be deleted from the list view by ticking.
• Id - Unique ID of the task. Generated automatically and cannot be changed.
• Name - Task name added to task settings, unique name of the task.
• Scheduling - Displays is the task scheduled or not
  •   Green calendar mark - Task is scheduled
  • Grey line - Task is not scheduled
• Extract status - Displays status of data extraction from the target directory/system
  •   Green double check mark - data is extracted successfully
  • Red triangle - data is extracted with error(s) or extraction is failed 
  • Grey line - Extract has not been executed yet
  • Black gears - Extraction is ongoing
• Load status - Displays status of data export from json-file to customers solution 
  •   Green double check mark - data is imported successfully to customers solution
  • Red triangle - data is imported with error(s) or import is failed 
  • Grey line - Data load has not been executed yet
  • Black gears - Load is ongoing
• Manage

• Pen icon - opens task settings in own window (double-clicking the task row also opens task settings)
• Paper icon - copies the task
• Move icon - move task under some different connector, pop-up window opens to select target connector
• Run icon - run task manually once, pop-up window opens to confirm the run
• Clock icon - opens task history view
• Minus icon - remove task, pop-up window opens to confirm the removal
   

 

Scheduled task history view 

By clicking the clock icon in the scheduled task row, history for scheduling will be shown.

It shows maximum 500 previous task runs.

 

Top bar for view history

• Refresh - refreshes scheduled task status. This doesn't affect task, this only updates UI to show latest information of task run.

List view for scheduled task history 

• Color of the row is indicating status
  •  Green double check mark - execution successful
  • Red triangle - execution failed (hover red icon to see more detailed error)
• Execution ID - unique ID for the scheduled task row
• Extract status - status for fetching data from the directory/application
• Load status - status for loading information to customers solution
• Scheduled start time - when next extract from the directory/application is scheduled to happen
• Extract actual start time - when extract was started
• Extract actual end time - when extract ended
• Load actual start time - when load actually started
• Load actual end time - when load actually ended

Task run details

• Download Group file - JSON file containing group information read from the directory/application
• Download Users file - JSON file containing user information read from the directory/application
• Download Generic file - JSON file containing generic information read from the directory/application
• Download All Failed Data Cards - JSON file containing failed objects
• Load overview - detailed information about loading the information to customers Matrix42 Pro and IGA solution
• Log data - part of logs. Full logs can be downloaded from Logs tab

 

Edit window for scheduled task

Configuration for scheduled task can be opened by clicking pen icon or double-clicking the task row. 

Left menu and attributes varies according to selected options and therefore more detailed instructions for editing tasks can be found from the connector description, but there are common functionalities for all scheduled tasks which are described below. 

Saving the task

In case mandatory information is missing from the task, hoovering mouse on top of the save button will show which attributes are still empty. 

Top bar for edit scheduled task

• Run task manually - admin can run task manually out side of the defined scheduling
• Stop task - admin can stop scheduled-based task which is currently running. Task will be stopped and status is changed to be stopped. It waits in this state until the next timing occurs. 
• Clear data cache -  Data cache for the next provisioning of Users and Groups will be cleared. It means that next run is run as first time run. 
  • By default, we clear the cache everyday at 00:00 UTC
  • If you want to clear the cache at different time, then it has to specify some different value in host file 'custom.properties'. 
  • EPE Cache is also cleared when EPE is restarted, whole environment is restarted, EPE mappings have been changed
     

 

Event task information

When clicking arrow at the beginning of the connector row, all related scheduled and event tasks are shown

 

Top bar for event tasks

• New task - opens configuration page for new event task
• Remove task(s) - removes selected task(s), pop-up window appears to confirm the removal
• Refresh - refreshes event tasks view 
• Show workflow references - calculates task related workflow relations and statuses. This is very useful if you don't know from which workflows event-based tasks are used.

 

List view for event tasks

• Select task(s) - Select task to be deleted from the list view by ticking.
• Id -  Unique ID of the task. Generated automatically and cannot be changed.
• Name - Task name added to task settings, unique name of the task.
• Workflow relations
  • Question mark shows pop-up window with detailed information about the reference
• Workflow status
  • Not used - No relations to workflow
  • In use -  Workflow(s) attached to task, task cannot be removed 
• Manage
  • Pen icon - opens task settings
  • Paper icon - copies the task
  • Move icon - moves task under different connector, pop-up window opens to select target connector
  • Stop icon - removes the task, pop-up window appears to confirm the removal

 

Edit window for event task

Configuration for event task can be opened by clicking pen icon or double-clicking the task row. 

Left menu and attributes varies according to selected options and therefore more detailed instructions for editing tasks can be found from the connector description, but there are common functionalities for all event tasks which are described below. 

• Task name - Descriptive name for task so you recognize it
• Task usage - Allow editing checkbox. When unchecked, the current task usage value is displayed in read-only form without edit indicators, so the configuration state is easy to read. Check the box to make the field editable, note that changing the task usage type on an existing task will break workflows
• Mappings type - Allow editing checkbox. When unchecked, the current mappings type value is displayed in read-only form without edit indicators. Check the box to make the field editable, note that changing the mappings type on an existing task will break workflows

Saving the task

In case mandatory information is missing from the task, hovering mouse on top of the save button will show which attributes are still empty. 

Authentication tab

Authentication for Matrix42 Core, Pro and IGA solutions are configured from authentication tab, notice that only some of the connectors (directory connectors) are supporting authentication, so its not possible to create authentication tasks to all available connectors.

 

Top bar for authentication

• New connector - opens new window for configuring new connector (notice that not all connectors are supporting authentication)
• Remove connector(s) - removes selected task(s), pop-up window appears to confirm the removal
• Export - user can export one or more tasks from the environment. Usually used for exporting tasks from test to prod. EPE connectors are password protected.
  • Note that Realm for authentication tasks is not exported, you need to set that manually after importing
• Import - user can import one or more tasks to the environment. Usually used for importing task from test to prod. 
• Refresh - refreshes authentication tasks view 

 

List view for authentication overview

• Select connector(s) - Select one connector by clicking check box in front of the connector row or clicking check box in the header row will select all connectors
• Id - Automatically generated Unique ID of the connector. Cannot be edited or changed.
• Name - Connector name added to connector settings. Unique name of the connector holding configuration for one data source
• Type - indicates target / source system
• Count -  informs how many authentication tasks are configured
• Manage
  • Pen icon - opens authentication task setting in own window
  • Paper icon - copies the task
  • Stop icon - removes selected task

 

Authentication task information

When clicking arrow at the beginning of the connector row, all related scheduled and event tasks are shown

 

Top bar for authentication overview

• Create new task - opens configuration page for new authentication task
• Remove task(s) - removes selected task(s), pop-up window appears to confirm the removal
• Refresh -  refreshes authentication tasks view 

 

List view for authentication overview, 

• Select task(s) - Select task to be deleted from the list view by ticking.
• Id - Unique ID of the task. Generated automatically and cannot be changed.
• Name - Task name added to task settings, unique name of the task.
• Manage
  • Pen icon- opens task settings in own window (double-clicking the task row, also opens settings window)
  • Paper icon - copies the task
  • Stop icon - removes the task, pop-up window appears to confirm the removal

 

Logs tab

Logs tab is for downloading Native Connector and Secure Access logs from UI for detailed troubleshooting.

 

• epe-master logs - contains warning, debug and error level messages about Native Connectors and info how long task actions has been taken. 
• epe-worker-ad logs - contains extract data status of Active Directory connector (what Native Connector is loading to to customers Matrix42 Pro and IGA solution). If selection is empty, it means that directory is not in use in this environment. 
• epe-worker-azure logs - contains extract data status of Entra ID (what Native Connector is loading to to customers Matrix42 Pro and IGA solution). If selection is empty, it means that directory is not in use in this environment. 
• epe-worker-ldap logs - contains extract data status of LDAP (what Native Connector is loading to to customers Matrix42 Pro and IGA solution). If selection is empty, it means that directory is not in use in this environment. 
• epe-launcher logs - contains information about EPE launches
• datapump-itsm logs - Contains information about data export to customers Matrix42 Pro and IGA solution.
• esa logs - Contains information about Secure Access authentication. 

 

Settings tab

Settings tabs is used for monitoring environments with connectors. 

After changing configurations, remember to save changes from bottom right corner Save -button.

 

 

• Environment type - is mandatory to be in selected and information is used for example defining alert critically. 
  • Test - select this when your environment is used as testing environment
  • Prod - select this when your environment is used as production environment
  • Demo - select this when your environment is used as demo or training environment
  • Dev - select this when your environment is used as development environment

What we are monitoring?

• Failures in scheduled based provisioning (extracting data, exporting data to ESM, outdated certificates, incorrect passwords, incorrect search base/filter, incorrect mappings, etc.)
• Failures in event based provisioning (fail to write to AD/Azure, etc.)
• Event-based provisioning - which connectors are used for writing data towards applications/directories. 
• ESA more than ten failed login attempts to one user in past 3 days
• Environment type - is mandatory to be in selected and information is used for example defining alert critically.

Show logs - when ON, logs can be seen from Logs tab on UI

Automate Secure Access Certificate reloading - when ON, Secure Access will automatically reboot at 03:00 UTC if there are new certificates that needs to be taken into use.

Data migrations - Do not click “Migrate attribute mappings” or “Migrate workflows”, if not requested to do so by Matrix42.

 

Yleisiä ohjeita ajastetuille tehtäville

How to Create New Scheduled Task to import data

For configuring scheduled-based provisioning task, you will need access to Administration / Connectors tab.

1. Open the Administration area (a cogwheel symbol).

2. Open Connectors view.

3. Choose Connector for Scheduled-based task and select New Task
   Note! If connector is not created, you have to choose first New connector and after that New task.

 

4. Continue with connector specific instructions: Native Connectors

 

 

Should I use Incremental, Full or Both?

Scheduled task can be either Incremental or Full -type.

Do not import permissions with AD and LDAP incremental task

Incremental task has issue with permissions importing. At the moment it is recommended not to import group memberships with incremental scheduled task.

On Microsoft Active Directory and OpenLDAP connectors, remove this mapping on incremental task:
 

 

 

Setting on Scheduled tasks:

Incremental type is supported only for Microsoft Active Directory, LDAP and Microsoft Graph API (formerly known as Entra ID) Connectors.

Incremental type means, that Native Connectors (EPE) fetches data from source system, using changed timestamp information, so it fetches only data which is changed or added after previous incremental task run.

When Incremental type task is run for very first time, it does a full fetch (and it marks the current timestamp to EPE database),  thereafter, task uses that timestamp to ask the data source for data that changed since that timestamp (and then EPE updates the timestamp to EPE database for next task run). Clearing task cache doesn't affect this timestamp, so Incremental task is always incremental after first run.
 

Full type is supported for all Connectors.

Full type import fetches always all data (it's configured to fetch) from source system, on every run. 
 

Tasks internal cache

Both Full and Incremental type tasks use also Task cache in EPE, which makes certain imports faster and lighter for M42 system.

Beginning from version 2026.1.1

Tasks internal cache clean scheduling was moved from properties file to Task UI.

With that change you can now also decide per scheduled task when internal cache is cleared, or if it's not cleared at all. In normal situations cache is recommended to be cleared at some point to guarantee correct data on datacards. If template and imported data doesn't contain references, cache can be cleared quite rarely. With references, it's recommended to clear cache daily or weekly to guarantee correct data on datacards.

Versions before 2026.1.1

By default that task cache is cleared ad midnight UTC time. When cache is cleared, next import after that is run without caching used to reason if data fetched should be pushed to ESM, all fetched data is pushed to ESM. But after that, next task runs until next time cache is cleared, are using EPE cache to determine if fetched data needs to be pushed to ESM or not.

You can configure at what time of day task cache is emptied, by changing global setting in EPE datapump configuration: 

/opt/epe/datapump-itsm/config/custom.properties

which is by default set to: clearCacheHours24HourFormat=0

You can also clear cache many times a day, but that needs to be thinked carefully, as it has impact on overall performance as EPE will push changes to ESM, that probably are already there, example(do not add spaces to attribute value): clearCacheHours24HourFormat=6,12

After changing this value, reboot EPE datapump container to take change into use.

Recommendations

Have always by default Full type scheduled task.

If you want to fetch changes to data fetched already by full task, more frequently than you can run full task, add also incremental task. Usually incremental task is not needed.

 

 

Recommended Scheduling Sequence

Recommended scheduling sequence, depends how much data is read from Customers system/directory to the Matrix42 Core, Pro or IGA solution and is import Incremental or Full. 

Examples for scheduling, 

Total amount of users	Total amount of groups	Full load sequence	Incremental load sequence
< 500	< 1000	Every 30 minutes if partial load is not used Four (4) times a day if partial load is used	Every 10 minutes
< 2000	< 2000	Every 60 minutes, if partial load is not used Four (4) times a day if partial load is used	Every 15 minutes
< 5000	< 3000	Every four (4) hours, if partial load is not used Twice a day if partial load is used	Every 15 minutes
< 10 000	< 5000	Maximum imports twice a day, no matter if partial load is or is not used	Every 30 minutes
< 50 000	< 7000	Maximum import once a day, no matter if partial load is or is not used	Every 60 minutes
Over 50 000	Over 7000	There might be a need for another EPE-worker, please contact Product Owner	Separately evaluated

Please note that if there are several tasks running at the same time you may need more EPE-workers. The tasks should be scheduled at different times and can be completed according to the table above. However, if there are more than 6 tasks running at the same time, the number of epeworkers should be increased. It's best practice not to schedule tasks to run at same time, if possible.

Recommendations related to performance
If the amount fo data to be imported is over 10000 concider these things:
Adjust log level of ESM and DATAPUMP to ERROR-level, to lowe the amount of logging during task run
Have as few as possible automations starting immediately for imported datacards (listeners, handlers, workflows), as those make ESM to take longer time handling new datacards.

 

 

Set removed accounts and entitlements status removed/disabled

With this functionality, you can mark account and entitlement status to e.g. Deleted or Disabled, when account or entitlement is removed from source system. Starting from version 2025.3 you can also set status to generic objects (not only to accounts/identities and entitlements/groups). 

For version 2025.3 and newer

In version 2025.3 these settings are moved from properties files to Task UI. Also you can now set these settings for Generic objects, which have not been possible before this version.

There is separate configuration for each scheduled task, and for all mapping types. Here is example of this config on task:

Unique check added on 26.2 version

When this Set value for deleted objects option is enabled, at least one of the attributes mapped to the unique id must also be marked as Unique on the target template. If none of the mapped attributes are unique, the task cannot be saved and the message "Unique id must be mapped to at least one unique attribute of template" is shown.

 

For version 2025.2 and older

This functionality is available for “full” type scheduled tasks.

Settings are on datapump dockers configuration file. To change those parameter values, you need to set those in /opt/epe/datapump-itsm/config/custom.properties file.

Configuration

To enable disabling functionality, datapump config should have these parameters set to true:

disable.unknown.esm.users=true
disable.unknown.esm.groups=true

Those 2 parameters are false by default in 2024.2 and 2025.1 versions. In 2025.2 and newer version those are true by default.

 

Next are these parameters:

personTemplateStatusCodeAttributeKey=accountStatus
personTemplateStatusAttributeDisabledValueKey=Deleted
groupTemplateStatusCodeAttributeKey=status
groupTemplateStatusAttributeDisabledValueKey=5 - Removed

First two attributes should point to the DatacardHiddenState attribute in the User template, and tell which value should be send there when the user is deleted.

By default its accountStatus and Value 5 - Removed on IGA Account template.

All these needs to match with the attribute configuration:

 

Open 1.PNG

Same thing applies for the next two paramaters, but its for Groups.'

If you need to change those parameters in properties file, do changes in Datapump container to file: /opt/epe/datapump-itsm/config/custom.properties and those changes will then survive over container reboot and will be copied on reboot to /opt/epe/datapump-itsm/config/application.properties.

Description

Tasks save their __taskid__ shown as Task Id mapping in the UI to the datacards, its then used to determine if the datacard was added by this task. In case there are multiple tasks with different sets of users.

This field was previously used as datasourceid, but since we moved to the model where connector can have multiple tasks its identifier cannot be used anymore, thats why the field was repurposed as taskid instead.

 

Taking users as an example, when task runs ESM is asked for the list of users that have its taskid in Task Id mapping field, and doesn't have a personTemplateStatusAttributeDisabledValueKey value in the personTemplateStatusCodeAttributeKey

This result is then compared to what the task fetched, and the datacards of users that were not fetched have their personTemplateStatusattribute set to value specified in the config - 5 - Removedby default.

Example log below shows described process and informs that one user was removed.

 

Open 2.PNG

Same thing applies to groups but groupTemplateStatusattributes are used instead.

Notes

• Feature works only with full fetch scheduled tasks..
• No support for generic templates yet, only identity and access
• When migrating from the previous versions where datasourceid was still used it needs to run at least once to set its taskid’s in the datacards first.
• EPE identifies Disabled users or groups as the ones that were removed from the AD, at the present we do not support statuses related to the entity beign active or not.
• EPE does not enable users back on its own.
• If more than one tasks fetches the same users or groups it may overwrite the taskid in the datacard depending on which task ran last. It is suggested that many full type tasks are not fetching same user or group.
• Always do configuration file changes to custom.properties, do not change only application.properties as those changes are lost on container reboot if you have not done same changes to custom.properties.

 

 

 

Asiakasohjeet

Asiakasohjeet löytyvät täältä.

AD-liittimen määrittäminen

Tässä luvussa kuvataan AD-liittimen määritysohjeet, jotta se voi muodostaa yhteyden asiakkaan Active Directoryyn (AD).

Liitinten hallintaan pääsemiseksi käyttäjällä on oltava käyttöoikeudet Matrix42 Pro/IGA-ratkaisun määrityksiin.

1. Avaa Matrix42-hallinta-alue (hammasrataskuvake).
2. Avaa liittimet-näkymä.
3. Valitse uusi liitin

   

4. Valitse tietolähteen tyypiksi Microsoft Active Directory

   

5. Täytä asiakkaan AD:hen liittyvät tiedot
   • Connector name – anna liittimelle helposti tunnistettava nimi (nimen voi muuttaa myöhemmin)
   • AD host – isäntäosoite, jota käytetään yhteyden muodostamiseen asiakkaan AD:hen
   • AD port – porttinumero, jota käytetään yhteyden muodostamiseen asiakkaan AD:hen
   • AD username – palvelutilin nimi, jota käytetään tietojen lukemiseen ja kirjoittamiseen asiakkaan AD:hen ja sieltä
   • AD password – palvelutilin salasana
6. Täytä WebAPI-käyttäjän tiedot
   • WebAPI user – valitse oikea WebAPI-käyttäjä, jota käytetään kirjoitettaessa tietoja asiakkaan AD:stä asiakkaan Matrix42-ratkaisuun
   • WebAPI password – WebAPI-käyttäjän salasana
7. Tallenna liittimen tiedot
   • Paina Test Connection varmistaaksesi, että portti- ja host-tiedot on asetettu oikein
   • Paina Test Authentication varmistaaksesi, että AD-käyttäjän ja salasanan (palvelutili) tiedot on asetettu oikein
8. Asiakkaan Matrix42-ratkaisu pystyy nyt muodostamaan yhteyden asiakkaan AD:hen
   • Seuraava vaihe on määrittää ajastettu tehtävä tietojen lukemista varten tai tapahtumatehtävä tietojen kirjoittamista varten.

Ajastetun tehtävän määrittäminen tietojen lukemista varten

AD-liitintä käytetään käyttäjä- ja ryhmätietojen lukemiseen asiakkaan AD:stä, ja se määritetään Matrix42-alustalta luomalla ajastukseen perustuva tehtävä.

Uuden tehtävän luominen ajastettua provisiointia varten

Huom! Jos liitintä ei ole vielä luotu, sinun on ensin luotava “uusi liitin”, minkä jälkeen voit luoda uusia tehtäviä.

Ajastukseen perustuvan tehtävän määrittämiseksi tarvitset pääsyn Matrix42 Pro/IGA-ratkaisun määrityskonsoliin.

1. Avaa Matrix42-hallinta-alue (hammasrataskuvake).
2. Avaa liittimet-näkymä.
3. Valitse liitin, jolle ajastukseen perustuva tehtävä määritetään
4. Valitse uusi tehtävä oikean liittimen alla
5. Määritä tehtävän ajastus (ajetaanko ajastettu tehtävä säännöllisesti ja miten). Valitse ajastusväli, joka riippuu siitä, kuinka paljon tietoa luetaan asiakkaan Matrix42-ratkaisuun.

   

Suositeltu ajastusväli riippuu siitä, kuinka paljon tietoa luetaan asiakkaan hakemistosta Matrix42-ratkaisuun ja onko kyseessä osittainen vai täysi lataus.

Esimerkki ryhmien ja käyttäjätilien lukemisen ajastuksesta.

Täytä tehtävän tiedot

• Anna ajastukseen perustuvalle tehtävälle yksilöllinen nimi. Huomaa, että nimeä ei voi muuttaa myöhemmin.
• Task usage -kentässä ilmoitetaan, käytetäänkö tehtävää tietojen lukemiseen, kirjoittamiseen vai todentamiseen. Huomaa, että tapahtumatyypin muuttaminen jälkikäteen voi rikkoa työnkulkuja.
• Mappings type riippuu siitä, minkä tyyppistä tietoa hakemistosta luetaan
  • Identity and access rights – käytetään, kun käyttäjätili- ja ryhmätietoja luetaan hakemistosta
  • Single (identity only) – käytetään, kun hakemistosta luetaan vain käyttäjätilitietoja
  • Single (access right only) – käytetään, kun hakemistosta luetaan vain ryhmätietoja
  • Generic (one template) – käytetään, kun hakemistosta luetaan yleistä tietoa, yleensä muuta kuin käyttäjä-/ryhmätietoa
    
• Fetch data
  • Full – kaikki tieto luetaan määritetyn suodatuksen mukaisesti
  • Incremental – vain muuttunut tieto toimitetaan Matrix42-ratkaisuun
• Fetch data from the LDAP tree root – valinnainen asetus. Mahdollistaa käyttäjien ja ryhmien hakemisen LDAP-puun juuresta provisioinnin nopeuden kustannuksella.
  Jos olet ottanut tämän käyttöön eikä se toimi, etsi tämä teksti worker-lokista:
  Caused by: javax.naming.CommunicationException:
  Sen jälkeen pitäisi näkyä palvelimen nimi, esimerkiksi:
  Caused by: javax.naming.CommunicationException: dev.master.efecte.com
  Tämä tarkoittaa, että AD Native Connector -worker ei pysty hakemaan tietoa AD Context Referrals -toiminnon kautta. Se ei pysty selvittämään kyseistä hostia DNS:stä.
  Korjataksesi tilanteen sinun on pyydettävä M42:ta lisäämään kyseisen palvelimen nimi ja IP-osoite dns/hosts-tiedostoon.
  
• Seuraava esimerkki löytää User-objektit: (&(objectCategory=person)(objectClass=user))
• Seuraava esimerkki löytää käyttäjä-, tietokone- ja yhteystieto-objektit: (objectClass=person)
• Seuraava esimerkki löytää käyttäjä- ja yhteystieto-objektit: (objectCategory=person)
• Seuraava esimerkki löytää kaikki käytössä olevat käyttäjäobjektit: (&(objectCategory=person)(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
• Seuraava esimerkki löytää käyttäjä- ja yhteystieto-objektit, joilla on sähköposti ja SAMAccountName (&(objectCategory=person)(sAMAccountName=*)(mail=*))
• Seuraava esimerkki löytää ryhmäobjektit:
  (objectCategory=group)
• Seuraava esimerkki löytää ryhmäobjektit, joilla on arvo kentässä cn:
  (&(objectCategory=group)(cn=*))
• Seuraava esimerkki löytää ryhmäobjektit, joilla on arvo kuvauskentässä:
  (&(objectCategory=group)(description=*))
• Seuraava esimerkki löytää kaikki suojausryhmäobjektit:
  (groupType:1.2.840.113556.1.4.803:=2147483648)
• Failure template – valitse tietokortin malli, joka luodaan, jos provisioinnin aikana tapahtuu virheitä (yhteys tietolähteisiin, aikakatkaisut jne.)
• Failure folder – valitse kansio, johon virhetietokortti tallennetaan.
• Failure attribute – valitse attribuutti, johon virhetieto tallennetaan Failure Template -mallissa. Valitse tekstityyppinen attribuutti.
  

Täytä Identity Mappings

Käyttäjät tuodaan IGA Account -malliin, ja on pakollista asettaa Target folder, datasourceid ja yksilölliset arvot, joita käytetään käyttäjien tunnistamiseen asiakkaan AD:n ja Matrix42-ratkaisun välillä. Esimerkiksi.

• Target template – valitse malli, jolle attribuuttikartoitukset määritetään
• Target folder – valitse kansio kansioluettelosta. Luettelo on rajattu vastaamaan valitun mallin yhteensopivuutta.
• Data Source Type mapping – valinnainen. Jos tämä on asetettu, se kirjoittaa liittimen tyypin kyseiseen attribuuttiin.
• Task Id mapping – tehtävän ID-numero kirjoitetaan tähän attribuuttiin. Tämän on oltava ei-yksilöllinen attribuutti.
• Set value to datacard fo object deleted from source system – tämä toiminto otetaan käyttöön valintaruudulla. Kun objekti, joka on aiemmin luettu kolmannen osapuolen järjestelmästä ratkaisuun, poistetaan kolmannen osapuolen järjestelmästä (eli tämä tehtävän kysely ei enää palauta sitä), tämä ajastettu tehtävä huomaa poiston ja merkitsee tietokortin valitun attribuutin haluamallasi arvolla. Tätä voidaan käyttää esimerkiksi asettamaan Status-attribuutti arvoon Deleted (kuten alla olevassa esimerkkikuvakaappauksessa). Tämä toiminto toimii vain Full-tyyppisille tehtäville, ei Incremental-tehtäville.
• Attribute mappings
  1. External attribute – mikä hakemiston/järjestelmän attribuutti kartoitetaan
  2. Local attribute – mihin mallin attribuuttiin kartoitus tehdään
     

On mahdollista asettaa lisäattribuutteja, jotka luetaan käyttäjätileiltä AD:stä, valitsemalla New attribute

Täytä Access Rights Mappings

Ryhmät luetaan IGA Entitlement -malliin, ja on pakollista asettaa target folder, datasourceid ja yksilölliset arvot, joita käytetään käyttäjien tunnistamiseen asiakkaan AD:n ja Matrix42-ratkaisun välillä.

• Target template – valitse malli, jolle attribuuttikartoitukset määritetään
• Target folder – valitse kansio kansioluettelosta. Luettelo on rajattu vastaamaan valitun mallin yhteensopivuutta.
• Data Source Type mapping – valinnainen. Jos tämä on asetettu, se kirjoittaa liittimen tyypin kyseiseen attribuuttiin.
• Task Id mapping – tehtävän ID-numero kirjoitetaan tähän attribuuttiin. Tämän on oltava ei-yksilöllinen attribuutti.
• Set value to datacard fo object deleted from source system – tämä toiminto otetaan käyttöön valintaruudulla. Kun objekti, joka on aiemmin luettu kolmannen osapuolen järjestelmästä ratkaisuun, poistetaan kolmannen osapuolen järjestelmästä (eli tämä tehtävän kysely ei enää palauta sitä), tämä ajastettu tehtävä huomaa poiston ja merkitsee tietokortin valitun attribuutin haluamallasi arvolla. Tätä voidaan käyttää esimerkiksi asettamaan Status-attribuutti arvoon Deleted (kuten alla olevassa esimerkkikuvakaappauksessa). Tämä toiminto toimii vain Full-tyyppisille tehtäville, ei Incremental-tehtäville.
• Attribute mappings
  1. External attribute – mikä hakemiston/järjestelmän attribuutti kartoitetaan
  2. Local attribute – mihin mallin attribuuttiin kartoitus tehdään
• On mahdollista asettaa lisäattribuutteja, jotka luetaan käyttäjätileiltä hakemistosta, valitsemalla New attribute

Kartoitukset yleiselle mallille (generic template)

Yleinen tieto luetaan mihin tahansa käyttäjän haluamaan malliin, ja on pakollista asettaa target folder, datasourceid ja yksilölliset arvot, joita käytetään tiedon tunnistamiseen asiakkaan AD:n ja Matrix42-ratkaisun välillä.

• Target template – valitse malli, jolle attribuuttikartoitukset määritetään
• Target folder – valitse kansio kansioluettelosta. Luettelo on rajattu vastaamaan valitun mallin yhteensopivuutta.
• Data Source Type mapping – valinnainen. Jos tämä on asetettu, se kirjoittaa liittimen tyypin kyseiseen attribuuttiin.
• Task Id mapping – tehtävän ID-numero kirjoitetaan tähän attribuuttiin. Tämän on oltava ei-yksilöllinen attribuutti.
• Set value to datacard fo object deleted from source system – tämä toiminto otetaan käyttöön valintaruudulla. Kun objekti, joka on aiemmin luettu kolmannen osapuolen järjestelmästä ratkaisuun, poistetaan kolmannen osapuolen järjestelmästä (eli tämä tehtävän kysely ei enää palauta sitä), tämä ajastettu tehtävä huomaa poiston ja merkitsee tietokortin valitun attribuutin haluamallasi arvolla. Tätä voidaan käyttää esimerkiksi asettamaan Status-attribuutti arvoon Deleted (kuten alla olevassa esimerkkikuvakaappauksessa). Tämä toiminto toimii vain Full-tyyppisille tehtäville, ei Incremental-tehtäville.
• Attribute mappings
  1. External attribute – mikä hakemiston/järjestelmän attribuutti kartoitetaan
  2. Local attribute – mihin mallin attribuuttiin kartoitus tehdään
• On mahdollista asettaa lisäattribuutteja, jotka luetaan käyttäjätileiltä AD:stä, valitsemalla New attribute -painike.

6. Tallenna provisiointitehtävä Save-painikkeesta. Jos joitakin pakollisia attribuutteja puuttuu, Save-painike näkyy harmaana ja se ilmoittaa, mitä asetuksista puuttuu.

   

7. Olet nyt määrittänyt ajastukseen perustuvan liitintehtävän AD-tietojen lukemista varten.
   • Voit nyt odottaa, kunnes tehtävä käynnistyy ajastuksen mukaisesti, tai
   • Suorita tehtävä manuaalisesti – napsauttamalla “Run Task” -painiketta tehtävä käynnistyy välittömästi. Tätä käytetään yleensä testiajoihin tai kun et halua muuttaa ajastusasetuksia, mutta haluat suorittaa tehtävän heti.

Tapahtumatehtävän määrittäminen tietojen kirjoittamista varten

Tapahtumatehtävää käytetään kirjoitettaessa tietoja asiakkaan Active Directoryyn. Nämä käyttäjätileihin, ryhmiin ja käyttöoikeuksiin liittyvät Native Connectors -ominaisuudet ovat saatavilla vain IGA-ratkaisulle, ja niiden käyttö edellyttää IGA-lisenssiä.

Kaikki Native Connectorsiin ja tapahtumapohjaiseen provisiointitehtävään liittyvät määritykset tehdään Matrix42 Core-, Pro- ja IGA-alustalla.

1. Avaa Matrix42 Pro/IGA-ratkaisun määritysnäkymä (hammasrataskuvake).
2. Avaa liittimet-näkymä
3. Valitse liitin, joka käyttää tapahtumatehtävää
4. Valitse “new task” oikean liittimen alla

5. Täytä tehtävän tiedot
   • Task name – anna tehtävälle nimi, joka näkyy liittimet-näkymässä.
     • On hyvä käytäntö nimetä tehtävä siten, että nimi kuvaa sen tarkoitusta, esimerkiksi [Mallin nimi]:[Toiminto] IGA Service request:Verify user
   • Task usage ilmoittaa, käytetäänkö tehtävää tietojen lukemiseen vai kirjoittamiseen. Sen voi muuttaa jälkikäteen, mutta sitä ei suositella, jos tapahtumatehtävä on käytössä. Se rikkoo työnkulkuja.
   • Mappings type riippuu siitä, minkä tyyppistä tietoa hakemistosta luetaan; identity mappings -valinnat näytetään tämän asetuksen perusteella.
     • Identity and access rights – käytetään, kun käyttäjätili- ja ryhmätietoja luetaan hakemistosta (tai kirjoitetaan sinne)
     • Single (identity only) – käytetään, kun hakemistosta luetaan (tai sinne kirjoitetaan) vain käyttäjätilitietoja
     • Single (access right only) – käytetään, kun hakemistosta luetaan (tai sinne kirjoitetaan) vain ryhmätietoja
     • Generic (one template) – käytetään, kun hakemistosta luetaan (tai sinne kirjoitetaan) yleistä tietoa. Yleensä muuta kuin käyttäjä- tai ryhmätietoa.
6. Täytä Security Information -tiedot

Näitä tietoja tarvitaan, jos käyttäjän luontiprosessi työnkulussa on liitetty tehtävään.

• Password for first login – oletussalasana, joka on sama kaikille käyttäjille; satunnainen salasana luodaan työnkulussa, ja se on yleensä yksilöllinen.
  • Default password / kirjoita alla olevaan kenttään
    • Default password – kirjoita oletussalasana, joka on sama kaikille käyttäjille ja täyttää hakemiston salasanavaatimukset. Huomaa, ettei merkkien määrä vastaa salasanan todellista pituutta
    • Ei suositella tuotantoympäristöissä, että kaikilla uusilla tileillä on sama salasana
  • Random password / luodaan työnkulussa
    • Generated password
• Read OU path from the data card – liitin lukee tästä
• Kirjoita search base / search filter alla olevaan kenttään
  • AD userBase / AD userFilter – esimerkkejä tässä
  • AD ignored OusForUser – esimerkkejä tässä
• Read OU path from the data card – liitin lukee tästä
• Kirjoita search base / search filter alla olevaan kenttään
  • AD groupBase / AD userFilter – esimerkkejä tässä
  • AD ignored OusForGroup – esimerkkejä tässä

7. Määritä identity mappings
   • Target template – valitse malli, jolle attribuuttikartoitukset määritetään
   • Target folder – valitse kansio kansioluettelosta. Luettelo on rajattu vastaamaan valitun mallin yhteensopivuutta.
   • Attribute mappings
     1. External attribute – mikä hakemiston/järjestelmän attribuutti kartoitetaan
     2. Local attribute – mihin mallin attribuuttiin kartoitus tehdään
   • Add new attribute – on mahdollista asettaa lisäattribuutteja, jotka luetaan käyttäjätileiltä AD:stä, valitsemalla New attribute -painike.
8. Määritä Access Rights mappings
   • Target template – valitse malli, jolle käyttöoikeuskartoitukset määritetään
   • Target folder – valitse kansio kansioluettelosta. Luettelo on rajattu vastaamaan valitun mallin yhteensopivuutta.
   • Attribute mappings
     1. External attribute – mikä hakemiston/järjestelmän attribuutti kartoitetaan
     2. Local attribute – mihin mallin attribuuttiin kartoitus tehdään
   • Add new attribute – on mahdollista asettaa lisäattribuutteja, jotka luetaan ryhmiltä AD:stä, valitsemalla New attribute -painike.
9. Määritä generic mappings
   • Target template – valitse malli, jolle attribuuttikartoitukset määritetään
   • Target folder – valitse kansio kansioluettelosta. Luettelo on rajattu vastaamaan valitun mallin yhteensopivuutta.
   • Attribute mappings
     1. External attribute – mikä hakemiston/järjestelmän attribuutti kartoitetaan
     2. Local attribute – mihin mallin attribuuttiin kartoitus tehdään
   • Add new attribute – on mahdollista asettaa lisäattribuutteja, jotka luetaan AD:stä, valitsemalla New attribute -painike.
10. Tallenna provisiointitehtävä “save”-painikkeesta

Jos pakollisia tietoja puuttuu, tehtävää ei voi tallentaa, ja Save-painike näyttää puuttuvat tiedot.

Seuraava vaihe on määrittää työnkulun orkestrointisolmu käyttämään tätä tapahtumapohjaista tehtävää. Työnkulkumoottorista on mahdollista suorittaa provisiointitoimintoja asiakkaan hakemistopalveluita kohti. Tämä tarkoittaa, että mitä tahansa saatavilla olevaa orkestrointisolmun toimintoa voidaan suorittaa missä tahansa työnkulun vaiheessa.

Työnkulkuviittaukset näkyvät liittimen yleiskatsaussivulla:

Todennustehtävän määrittäminen

Todennustehtävää tarvitaan, kun asiakkaan AD:tä käytetään käyttäjien todentamiseen asiakkaan Matrix42-ratkaisuihin.

Uuden todennustehtävän luomiseen on kaksi vaihtoehtoa. Ensimmäinen vaihtoehto on kopioida olemassa oleva provisiointitehtävä todennustehtäväksi, jos todennusmenetelmä käyttää samoja asetuksia. Toinen vaihtoehto on luoda uusi todennustehtävä.

Vaihtoehto 1: Luo uusi todennustehtävä provisiointitehtävästä

1. Avaa hallinta-alue (hammasrataskuvake)
2. Valitse Connectors-välilehti, kopioi haluttu tehtävä Clone-painikkeesta

3. Anna nimi uudelle todennustehtävälle ja vaihda task usage arvoon authentication

4. Täytä pakolliset kentät ja tallenna tehtävä

Vaihtoehto 2: Luo uusi todennustehtävä

1. Avaa hallinta-alue (hammasrataskuvake)
2. Valitse Connectors-moduuli
3. Valitse Authentication-välilehti
4. Valitse liitin ja luo uusi tehtävä (Create New Task)

5. Anna nimi todennustehtävällesi

6. Valitse task usage arvoksi authentication

7. Määritä suodattimet käyttäjille

• AD-todennuksessa käytetään yleisimmin OU-polkuja määrittämään, kenellä on pääsy Matrix42-ratkaisuihin

8. Määritä suodattimet ryhmille

• Mistä tarvittavat ryhmät voidaan lukea Matrix42-ratkaisuun asiakkaan AD:stä

9. Valitse Authentication realm.

• Realm, jolle todennusmääritys luodaan Secure Accessissa (ESA)

10. Tallenna tehtävä ja suorita Secure Access (ESA) -synkronointi

• Tietojen synkronointi täyttää Matrix42 Secure Accessin määritykset automaattisesti

11. Seuraava vaihe on siirtyä Matrix42 Secure Access -määritysohjeisiin vaaditun todennusmenetelmän mukaisesti.

Työnkulun toiminnot (orkestrointisolmut)

Matrix42 Native Connectors (Native Connectors (EPE)) tarjoaa mahdollisuuden orkestroida seuraavat toiminnot Microsoft Active Directoryyn.

Activate / Deactive User

Yllä olevassa kuvassa admin on valinnut oikean Active Directory-”Targetin”, ja voi tarkastella valituille AD-tehtäville määritettyjä Identity Mappings -kartoituksia. Tässä orkestrointinäkymässä admin ei voi muuttaa kartoituksia, ne näytetään vain visuaalisena apuna. Jos kartoituksiin tarvitaan muutoksia, ne on tehtävä Provisioning task -määritysnäkymässä.

Tässä samassa solmussa ylläpitäjät voivat valita haluamansa toiminnon, “Activate” tai “Deactivate”. Active Directoryssa tämä ‘aktivointi/deaktivointi’-toiminto tarkoittaa Active Directoryn 'useraccountcontrol’-attribuutin asettamista arvoon ‘512/514’ (Enable/Disable)

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Add User to Group

Yllä olevassa kuvassa Person attribute -määrityksen tulisi osoittaa malliin, josta orkestrointisolmu löytää käyttäjän tiedot (yleensä IGA account). Role attribute on määritettävä, jotta orkestrointisolmu löytää käytettävissä olevat roolit (hakemistoryhmät, joista käyttäjä tulisi poistaa). “Role attribute” -kohtaan voidaan määrittää yksi tai useampi attribuuttiryhmä. Luettelo käytettävissä olevista rekisteröidyistä hakemistotehtävistä (Tasks) haetaan Native Connectors (EPE) -masterilta.

Hakemistotehtävä (Task) on valittava, koska Matrix42 Native Connectors -orkestrointisolmu käyttää identity- ja access rights -kenttien kartoitusta tietääkseen, missä attribuuttikoodissa käyttäjän ja hakemistoryhmän distinguished name -arvot ovat tallennettuna.

Person attribute odottaa attribuuttia, joka sisältää käyttäjän AD-tilin Distinguished Namen (DN).

Poikkeusten käsittely:

• Solmun tulos on tilassa “Completed” vain, kun kaikki käyttäjän ryhmäjäsenyydet päivittyvät onnistuneesti. Jos esimerkiksi käyttäjä poistetaan onnistuneesti 5:stä 6 ryhmästä, solmun tulos on tilassa “Exception”.
• Tästä syystä distinguishedName-JSON-kentän kartoitus vaaditaan sekä Identity- että Access Right -puolelle. Jos kartoitusta ei löydy, orkestrointisolmun tulos on “Exception”-tilassa.
• Yritys poistaa käyttäjä ryhmästä, johon hän ei kuulu, päättyy epäonnistumiseen.
• Yritys lisätä käyttäjä ryhmään, johon hän jo kuuluu, päättyy epäonnistumiseen.
• Tiedot käyttäjän ryhmäjäsenyyden onnistuneesta/epäonnistuneesta päivityksestä löytyvät lokeista.
• Provisioning- ja ryhmäjäsenyyspoikkeukset ovat valinnaisia ominaisuuksia tässä työnkulun solmussa. Admin voi ottaa nämä ominaisuudet käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Create custom object

Yllä olevassa kuvassa Identity Attribute Mappings täyttyvät provisiointitehtävistä. Admin on valinnut oikean hakemiston AD:n ”Targetiksi” ja voi tarkastella valituille hakemistotehtäville määritettyjä Identity Mappings -kartoituksia. Tässä orkestrointinäkymässä admin ei voi muuttaa kartoituksia, ne näytetään vain visuaalisena apuna. Jos kartoituksiin tarvitaan muutoksia, ne on tehtävä Provisioning task -määritysnäkymässä.

Uuden custom objectin luova orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn. On tärkeää varmistaa, että Create custom object -orkestrointisolmussa käytetään Identity Mappingia.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Create user

Yllä olevassa kuvassa Identity Attribute Mappings täyttyvät provisiointitehtävistä. Admin valitsee oikean hakemiston ”Targetiksi” ja voi tarkastella valituille hakemistotehtäville määritettyjä Identity Mappings -kartoituksia. Tässä orkestrointinäkymässä admin ei voi muuttaa kartoituksia, ne näytetään vain visuaalisena apuna. Jos kartoituksiin tarvitaan muutoksia, ne on tehtävä Provisioning task -määritysnäkymässä.

Uutta käyttäjää luova orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn. On tärkeää varmistaa, että Create User -orkestrointisolmussa käytettävä Identity Mapping sisältää vähintään kaksi lisäkartoitusta Active Directoryyn: attribuuteille “cn” ja “sAMAccountName”. Jos nämä kaksi kartoitusta puuttuvat annetusta määrityksestä, sitä ei näytetä pudotusvalikossa.

Huomioita uuden käyttäjän luonnista (Create user):

• Uuden käyttäjän ensimmäisen kirjautumisen salasanan luomiseen on kaksi tapaa.
  • Määritä “Default”-salasana Provisioning Task -määritysnäkymässä
    • Tätä salasanaa käyttävät käyttäjät vain silloin, kun he kirjautuvat järjestelmään ensimmäistä kertaa
  • Luo satunnainen salasana työnkulussa ja valitse, mihin Identity Mapping -tietokortin attribuuttiin se kirjoitetaan
  • Molemmissa tapauksissa ensimmäisen kirjautumisen salasanan “pwdLastSet”-arvoksi asetetaan nolla (0), jotta käyttäjä pakotetaan vaihtamaan salasanansa ensimmäisen kirjautumisen jälkeen
  • Mahdollisuus valita, onko salasana vaihdettava ensimmäisellä kirjautumiskerralla vai ei. Ylläpitäjät voivat tehdä tämän valinnan suoraan työnkulun User Creation -orkestrointisolmusta.
• Ensimmäisen kirjautumisen salasanan toimittamiseen loppukäyttäjälle on eri tapoja. Asiakkaan tarpeista riippuen työnkulun toimintoja voidaan käyttää lähettämään salasana suoraan loppukäyttäjälle sähköpostitse tai tekstiviestillä. Toinen vaihtoehto on lähettää ensimmäisen kirjautumisen salasana esimiehelle, joka toimittaa sen loppukäyttäjälle. Native Connectors (EPE):n orkestrointisolmu itsessään EI tarjoa tätä toimintoa, vaan se on määriteltävä muualla.
• “Targetin” määritys tehdään provisiointitehtävän määritysnäkymässä. Uusien käyttäjien luomista varten adminin on varmistettava, että olemassa on vain yksi LDAP userbase / LDAP userfilter, jotta vältetään ristiriidat työnkulussa
• Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

2025.1-julkaisusta ja uudemmista versioista alkaen työnkulkueditorin orkestrointisolmun "Create user" -toiminnossa voit nyt asettaa luodun entiteetin ID:n suoraan attribuuttiin (Created Entity Id) ilman erillistä “Read User's data”-toimintoa:

Create Group

Yllä olevassa kuvassa Access Rights Attribute Mappings täyttyvät provisiointitehtävistä. Admin valitsee oikean Active Directory ”Targetin” ja voi tarkastella valituille AD-tehtäville määritettyjä Access Rights Mappings -kartoituksia. Tässä orkestrointinäkymässä admin ei voi muuttaa kartoituksia, ne näytetään vain visuaalisena apuna. Jos kartoituksiin tarvitaan muutoksia, ne on tehtävä Provisioning task -määritysnäkymässä.

Uutta käyttäjää luova orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn.

On tärkeää varmistaa, että Create Group -orkestrointisolmussa käytettävä Access Rights Mapping sisältää vähintään kaksi lisäkartoitusta Active Directoryyn: attribuuteille “cn” ja “sAMAccountName”.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

2025.1-julkaisusta ja uudemmista versioista alkaen työnkulkueditorin orkestrointisolmun "Create group" -toiminnossa voit nyt asettaa luodun entiteetin ID:n suoraan attribuuttiin (Created Entity Id) ilman erillistä “Read Group's data”-toimintoa:

Delete custom object

Yllä olevassa kuvassa Object name attribute määrittää, minkä objektin Native Connectors (EPE) poistaa. Tässä esimerkissä Native Connectors (EPE) poistaa DN:n.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Delete Group

Yllä olevassa kuvassa ylläpitäjät voivat valita oikean Active Directory ”Targetin”. Delete group -orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn. Active Directory -pohjaisissa määrityksissä ‘Role group attribute’ -kentän tulisi sisältää ryhmän distinguishedName-arvo.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Delete User

Yllä olevassa kuvassa ylläpitäjät voivat valita oikean Active Directory ”Targetin”. Delete user -orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn. Active Directory -pohjaisissa määrityksissä ‘Person Attribute’ -kentän tulisi sisältää käyttäjän distinguishedName-arvo.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Person attribute odottaa attribuuttia, joka sisältää käyttäjän AD-tilin Distinguished Namen (DN).

Manage ProxyAddresses

Käytettävissä on kolme eri vaihtoehtoa: Set, Update ja Remove proxyaddresses-toiminnolle.

Käytettävissä on kolme eri vaihtoehtoa: Set, Update ja Remove proxyaddresses-toiminnolle.

• Set: admin valitsee yhden attribuutin ESM:n Workflow-käyttöliittymässä (voi olla yksi- tai monirivinen attribuutti). Tämän jälkeen Workflow Node ottaa yhteyden AD:hen, löytää käyttäjätilin ja asettaa arvon proxyAddresses-kenttään (tätä toimintoa käytetään, kun proxyAddresses-arvo asetetaan ensimmäistä kertaa – aiempi arvo AD:ssä on null).
• Update: admin valitsee kaksi attribuuttia ESM:n Workflow-käyttöliittymässä – toisen NYKYISELLE arvolle ja toisen UUDELLE arvolle. Tämän jälkeen Workflow Node ottaa yhteyden AD:hen, löytää käyttäjätilin ja päivittää olemassa olevan proxyAddresses-kentän: se löytää NYKYISEN arvon listalta ja muuttaa sen etuliitteen muodosta SMTP: muotoon smtp: sekä lisää UUDEN arvon etuliitteellä SMTP: (muut arvot säilyvät proxyAddresses-kentässä).
• Remove: admin valitsee yhden attribuutin ESM:n Workflow-käyttöliittymässä (voi olla yksi- tai monirivinen attribuutti). Tämän jälkeen Workflow Node ottaa yhteyden AD:hen, löytää käyttäjätilin ja poistaa arvon proxyAddresses-listalta (muut arvot säilyvät proxyAddresses-kentässä).

Update-toiminnossa käytä yksirivisiä attribuutteja sekä nykyiselle osoitteelle että päivitettävälle osoitteelle, näin:

Read User's data

Yllä olevassa kuvassa Identity Attribute Mappings täyttyvät provisiointitehtävistä. Admin valitsee oikean Active Directory ”Targetin” ja voi tarkastella valituille AD-tehtäville määritettyjä kartoituksia. Tässä orkestrointinäkymässä admin ei voi muuttaa kartoituksia, ne näytetään vain visuaalisena apuna. Jos kartoituksiin tarvitaan muutoksia, ne on tehtävä Provisioning task -määritysnäkymässä.

Person attribute odottaa attribuuttia, joka sisältää käyttäjän AD-tilin Distinguished Namen (DN).

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Remove User Attribute

Yllä olevassa kuvassa ylläpitäjät voivat valita oikean Active Directory ”Targetin”. Remove user attribute -orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn. “Attribute(s) to remove” -ominaisuudessa ylläpitäjä voi määrittää attribuutin, joka poistetaan valitulta käyttäjältä Active Directorysta. Nimeä (NAME) se, mitä haluat poistaa. Yksi merkkijono voi sisältää useita attribuutteja, esim. "City, CostCenter, mobile".

Person attribute odottaa attribuuttia, joka sisältää käyttäjän AD-tilin Distinguished Namen (DN).

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Remove User from Group

Yllä olevassa kuvassa ylläpitäjät voivat valita oikean Active Directory ”Targetin”. Remove user attribute -orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn. “Attribute(s) to remove” -ominaisuudessa ylläpitäjä voi määrittää attribuutin, joka poistetaan Active Directorysta.

Person attribute odottaa attribuuttia, joka sisältää käyttäjän AD-tilin Distinguished Namen (DN).

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Reset User Password

Yllä olevassa kuvassa ylläpitäjät voivat valita oikean Active Directory ”Targetin”. Reset user password -orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn. Person- ja Password-attribuuttien tulisi osoittaa malliin, josta orkestrointisolmu löytää käyttäjän tiedot.

Käyttäjän salasanan “pwdLastSet”-arvoksi asetetaan nolla (1), mikä tarkoittaa, ettei käyttäjän tarvitse vaihtaa salasanaansa ensimmäisellä kirjautumiskerralla. Native Connectors (EPE) -version 2022.3 alkaen on toteutettu mahdollisuus valita, onko salasana vaihdettava ensimmäisellä kirjautumiskerralla vai ei. Ylläpitäjät voivat tehdä tämän valinnan suoraan työnkulun Reset User password -orkestrointisolmusta.

Person attribute odottaa attribuuttia, joka sisältää käyttäjän AD-tilin Distinguished Namen (DN).

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Run provisioning task

Tätä toimintoa käytetään, kun kaikki hakemiston tieto tarvitaan välittömästi takaisin.

Yllä olevassa kuvassa ylläpitäjät voivat valita oikean hakemiston ”Targetin”. Run provisioning task -orkestrointisolmu lukee attribuutteja Active Directorysta IGA Accounts -kortteihin.

Vaatimukset “Targetin” Native Connectors (EPE) -tehtävälle ovat:

• Tehtävän tyypin on oltava "Schedulable task", ei tapahtumapohjainen
• Työnkulun mallin on oltava sama kuin Identity mapping -mallin
• Tehtävälle on asetettava ajastus jossain vaiheessa – tämä merkitsee tehtävän tilaksi "enabled"
• Kartoitusten on oltava yksilöllisiä, tehtävässä ei saa olla päällekkäisiä kartoituksia
  

Tässä orkestrointinäkymässä kartoituksia ei voi muuttaa, ne näytetään vain visuaalisena apuna. Jos attribuuttikartoituksia täytyy muuttaa, ne on määritettävä provisiointitehtävän määritysnäkymässä, jotta muutokset näkyvät orkestrointisolmussa.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Unlock User

Yllä olevassa kuvassa ylläpitäjät voivat valita oikean Active Directory ”Targetin”. Unlock user -orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn.

Määrityksissä on tärkeää huomioida, että ‘Person Attribute’ -kentän tulisi sisältää käyttäjän distinguishedName-arvo.

Person attribute odottaa attribuuttia, joka sisältää käyttäjän AD-tilin Distinguished Namen (DN).

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Update Custom Object

Yllä olevassa kuvassa ylläpitäjät voivat valita oikean Active Directory ”Targetin”. Custom object class määrittää, minkä objektin Native Connectors (EPE) päivittää; tässä esimerkissä kyseessä on Contact. Se lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn.

Tässä orkestrointinäkymässä kartoituksia ei voi muuttaa, ne näytetään vain visuaalisena apuna. Jos attribuuttikartoituksia täytyy muuttaa, ne on määritettävä provisiointitehtävän määritysnäkymässä, jotta muutokset näkyvät orkestrointisolmussa.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Update group

Yllä olevassa kuvassa Access Rights Attribute Mappings täyttyvät provisiointitehtävistä. Admin valitsee oikean Active Directory ”Targetin” ja voi tarkastella valituille AD-tehtäville määritettyjä Access Rights Mappings -kartoituksia.

Tässä orkestrointinäkymässä admin ei voi muuttaa kartoituksia, ne näytetään vain visuaalisena apuna. Jos kartoituksiin tarvitaan muutoksia, ne on tehtävä Provisioning task -määritysnäkymässä.

Update group -orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn.

“Targetin” määritys tehdään provisiointitehtävän määritysnäkymässä. Ryhmien päivittämistä varten adminin on varmistettava, että olemassa on vain yksi LDAP groupbase / LDAP groupfilter, jotta vältetään ristiriidat työnkulussa.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Update User

Yllä olevassa kuvassa Identity Attribute Mappings täyttyvät provisiointitehtävistä. Admin valitsee oikean Active Directory ”Targetin” ja voi tarkastella valituille AD-tehtäville määritettyjä Identity Mappings -kartoituksia. Update user -orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn.

Tässä orkestrointinäkymässä admin ei voi muuttaa kartoituksia, ne näytetään vain visuaalisena apuna. Jos kartoituksiin tarvitaan muutoksia, ne on tehtävä Provisioning task -määritysnäkymässä.

Huomaa, ettei käyttäjän salasanan päivitys ole tuettu tässä orkestrointitoiminnossa.

“Targetin” määritys tehdään provisiointitehtävän määritysnäkymässä. Käyttäjien päivittämistä varten adminin on varmistettava, että olemassa on vain yksi LDAP userbase / LDAP userfilter, jotta vältetään ristiriidat työnkulussa.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Update User Distinguished Name value

Yllä olevassa kuvassa ylläpitäjät voivat valita oikean Active Directory ”Targetin”. Update user Distinguished Name Value -orkestrointisolmu lukee attribuutteja kyseisistä tietokorteista ja suorittaa LDAP-komennon Active Directoryyn.

Kentässä “Current Distinguished Name Value*” adminin on valittava, mistä annetun mallin/tietokortin attribuutista AD-sijainnin ‘vanha’ nimi luetaan. Kenttä “New Distinguished Name Value*” valitsee attribuutin annetusta mallista/tietokortista, jota käytetään uuden AD-sijainnin nimenä.

Tällä toiminnolla adminit voivat esimerkiksi rajata päivitystoiminnon ‘commonname’-attribuuttiin, mutta koko Distinguished-arvo on annettava, esimerkki:

Current Distinguished Name Value: CN=DemoAccount,OU=DemoUsers,DC=testad,DC=local

New Distinguished Name Value: CN= DemoAccount,OU=OldDemoUsers,DC=testad,DC=local

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Verify Group

Yllä olevassa kuvassa Access Rights Attribute Mappings täyttyvät provisiointitehtävistä. Ylläpitäjät valitsevat oikean Active Directoryn ”Targetista” ja voivat tarkastella, mitkä Access Rights Mappings on määritetty valitulle AD-tehtävälle.

Tässä orkestrointinäkymässä kartoituksia ei voi muuttaa, ne näytetään vain visuaalisena apuna. Jos attribuuttikartoituksia täytyy muuttaa, ne on määritettävä provisiointitehtävän määritysnäkymässä, jotta muutokset näkyvät orkestrointisolmussa.

Access Rights Mappings -paneelissa admin voi antaa “IF”-lausekkeen, josta muodostetaan LDAP-kysely ryhmän olemassaolon varmistamiseksi. Tietokortilta voidaan valita niin monta attribuuttia kuin tarvitaan ryhmän yksilöllisyyden vahvistamiseksi. Kun toiminto suoritetaan, kyseiset attribuutit luetaan kyseisestä tietokortista ja niitä verrataan vastaaviin AD-attribuutteihin “Target*“-Active Directory-määrityksen mukaisesti. Admin voi myös valita käytettäväksi “equal” tai “not equal” -vertailun vastaavaan AD-attribuuttiin muuttamalla “IF”-lauseketta. “Save result*”-kenttää käytetään määrittämään, mihin onnistuneen LDAP-kyselyn tulokset tallennetaan: “true”, jos ryhmä löytyi, tai “false”, jos ei.

Ylläpitäjillä on mahdollisuus valita (“check”) Include OU subtree -ominaisuus tässä orkestrointisolmussa varmistaakseen, onko ryhmä olemassa määritetyssä organisaatioyksikön (OU) alipuussa. Jos ylläpitäjä ei valitse tätä vaihtoehtoa, orkestrointisolmu tarkistaa vain määrityksessä määritetyn tietyn OU:n.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Uudelleenyritysasetukset (Retry settings)

Solmu tukee sisäänrakennettua uudelleenyrityslogiikkaa tilanteisiin, joissa kohdehakemisto ei välttämättä heijasta heti äskettäin provisioitua ryhmää — esimerkiksi Active Directoryn replikointiviiveen vuoksi.

Number of repeats määrittää, kuinka monta kertaa varmistustarkistusta yritetään. Oletusarvo on 1 (yksi yritys ilman uudelleenyrityksiä). Jos tarkistus onnistuu millä tahansa yrityksellä, solmu pysähtyy välittömästi ja jatkaa työnkulkua. Vain jos kaikki yritykset palauttavat kielteisen tuloksen, solmu käsittelee varmistuksen epäonnistuneena. Jätä tyhjäksi, jos uudelleenyrityslogiikkaa ei tarvita.

Repeat delay (milliseconds) määrittää odotusajan peräkkäisten yritysten välillä. Oletusarvo on 0 (ei viivettä). Viive lisätään ennen toista ja sitä seuraavia yrityksiä — ensimmäinen yritys suoritetaan aina välittömästi. Jätä tyhjäksi, jos uudelleenyrityslogiikkaa ei tarvita.

Repeat logic (script) on valinnainen Python-skripti, joka suoritetaan ennen jokaista varmistusyritystä, myös ensimmäistä. Skriptillä on pääsy entiteetin tietoihin muuttujina. Sitä voidaan käyttää hakuehtoihin vaikuttavien attribuuttiarvojen muokkaamiseen tai muihin valmisteleviin toimiin ennen kuin varmistuskysely lähetetään hakemistoon. Jätä tyhjäksi, jos esikäsittelylogiikkaa ei tarvita.

Verify Group Membership

Yllä olevassa kuvassa Identity Attribute Mappings täyttyvät provisiointitehtävistä. Ylläpitäjät valitsevat oikean Active Directoryn ”Targetista” ja voivat tarkastella, mitkä Identity Mappings on määritetty valitulle AD-tehtävälle.

Tässä orkestrointinäkymässä kartoituksia ei voi muuttaa, ne näytetään vain visuaalisena apuna. Jos attribuuttikartoituksia täytyy muuttaa, ne on määritettävä provisiointitehtävän määritysnäkymässä, jotta muutokset näkyvät orkestrointisolmussa.

“Save result*”-kenttää käytetään määrittämään, mihin onnistuneen LDAP-kyselyn tulokset tallennetaan: “true”, jos käyttäjä löytyi, tai “false”, jos ei.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Verify User

Yllä olevassa kuvassa Identity Attribute Mappings täyttyvät provisiointitehtävistä. Ylläpitäjät valitsevat oikean Active Directoryn ”Targetista” ja voivat tarkastella, mitkä Identity Mappings on määritetty valitulle AD-tehtävälle. Tässä orkestrointinäkymässä kartoituksia ei voi muuttaa, ne näytetään vain visuaalisena apuna. Jos attribuuttikartoituksia täytyy muuttaa, ne on määritettävä provisiointitehtävän määritysnäkymässä, jotta muutokset näkyvät orkestrointisolmussa.

Identity Mappings -paneelissa admin voi antaa “IF”-lausekkeen, josta muodostetaan LDAP-kysely käyttäjän olemassaolon varmistamiseksi. Person Data Cardilta voidaan valita niin monta attribuuttia kuin tarvitaan käyttäjän yksilöllisyyden vahvistamiseksi. Kun toiminto suoritetaan, kyseiset attribuutit luetaan kyseisestä tietokortista ja niitä verrataan vastaaviin AD-attribuutteihin “Target*“-Active Directory-määrityksen mukaisesti. Admin voi myös valita käytettäväksi “equal” tai “not equal” -vertailun vastaavaan AD-attribuuttiin muuttamalla “IF”-lauseketta. “Save result*”-kenttää käytetään määrittämään, mihin onnistuneen LDAP-kyselyn tulokset tallennetaan: “true”, jos käyttäjä löytyi, tai “false”, jos ei.

Esimerkiksi, jos admin on määrittänyt Identity Mappingin näin:

ja orkestrointisolmussa valitsee IF-lausekkeeksi:

Kun työnkulku sitten suoritetaan, se lukee Personin Titlen ja Full Namen (oletetaan, että ne olivat 'Test' ja 'Me'), ja kysyy Active Directorylta käyttäjän olemassaoloa seuraavalla kyselyllä:

(&(name='Test')(cn='Me'))

Tärkeä huomio tämän solmun toiminnasta on, että IF-lauseketta muodostettaessa adminin on käytettävä mallin attribuutteja, mutta todellisuudessa niistä luetut arvot käännetään (kartoitetaan) oikeiksi Active Directory-attribuuteiksi Identity Mapping -määrityksen mukaisesti ja välitetään Active Directorylle hakukyselynä.

Ylläpitäjillä on mahdollisuus valita (“check”) Include OU subtree -ominaisuus tässä orkestrointisolmussa varmistaakseen, onko käyttäjä olemassa määritetyssä organisaatioyksikön (OU) alipuussa. Jos ylläpitäjä ei valitse tätä vaihtoehtoa, orkestrointisolmu tarkistaa vain määrityksessä määritetyn tietyn OU:n.

Provisioning exception on valinnainen ominaisuus tässä työnkulun solmussa. Admin voi määrittää tämän ominaisuuden käyttöön, jolloin poikkeukset voidaan kirjoittaa, jos provisiointitoimien aikana ilmenee poikkeuksia.

Uudelleenyritysasetukset (Retry settings)

Solmu tukee sisäänrakennettua uudelleenyrityslogiikkaa tilanteisiin, joissa kohdehakemisto ei välttämättä heijasta heti äskettäin provisioitua tiliä — esimerkiksi Active Directoryn replikointiviiveen vuoksi.

Number of repeats määrittää, kuinka monta kertaa varmistustarkistusta yritetään. Oletusarvo on 1 (yksi yritys ilman uudelleenyrityksiä). Jos tarkistus onnistuu millä tahansa yrityksellä, solmu pysähtyy välittömästi ja jatkaa työnkulkua. Vain jos kaikki yritykset palauttavat kielteisen tuloksen, solmu käsittelee varmistuksen epäonnistuneena. Jätä tyhjäksi, jos uudelleenyrityslogiikkaa ei tarvita.

Repeat delay (milliseconds) määrittää odotusajan peräkkäisten yritysten välillä. Oletusarvo on 0 (ei viivettä). Viive lisätään ennen toista ja sitä seuraavia yrityksiä — ensimmäinen yritys suoritetaan aina välittömästi. Jätä tyhjäksi, jos uudelleenyrityslogiikkaa ei tarvita.

Repeat logic (script) on valinnainen Python-skripti, joka suoritetaan ennen jokaista varmistusyritystä, myös ensimmäistä. Skriptillä on pääsy entiteetin tietoihin muuttujina. Sitä voidaan käyttää hakuehtoihin vaikuttavien attribuuttiarvojen muokkaamiseen tai muihin valmisteleviin toimiin ennen kuin varmistuskysely lähetetään hakemistoon. Jätä tyhjäksi, jos esikäsittelylogiikkaa ei tarvita.

Kuvan provisiointi

Ohjeet varmenteiden asentamiseen

On erittäin suositeltavaa ohjeistaa asiakasta luomaan prosessi varmenteiden uusimiseksi ennen kuin ne vanhenevat ja yhteys katkeaa. Tämä tarkoittaisi, etteivät asiakkaan loppukäyttäjät pysty kirjautumaan Matrix42-ratkaisuihin ja/tai tietoja ei voida lukea tai kirjoittaa AD:hen.

Ohjeet

Vianmääritys

• Jos failure template on käytössä, tarkista virhetiedot oikealta tietokortilta
• Tarkista ajastetun tehtävän historia liitinten hallinnasta
• Tarkista Matrix42 Native Connectors -lokit, jotka löytyvät Connectors-välilehden Logs-osiosta
• Tarkista FAQ-dokumentit