Beschleunigung der Synchronisation durch Revisionsfilterung
Beim Start der Synchronisation werden alle zu synchronisierenden Objekte geladen. Ein Teil dieser Objekte wurde gegebenenfalls seit der letzten Synchronisation nicht geändert und muss daher bei der Synchronisation nicht verarbeitet werden. Indem nur solche Objekte geladen werden, die sich seit der letzten Synchronisation geändert haben, kann die Synchronisation beschleunigt werden. Zur Beschleunigung der Synchronisation nutzt der One Identity Manager die Revisionsfilterung.
One Identity Manager unterstützt die Revisionsfilterung. Als Revisionszähler wird das Datum der letzten Änderung der Zielsystemobjekte genutzt (XDateUpdated). Jede Synchronisation speichert ihr letztes Ausführungsdatum als Revision in der One Identity Manager-Datenbank (Tabelle DPRRevisionStore, Spalte Value). Dieser Wert wird als Vergleichswert für die Revisionsfilterung bei der nächsten Synchronisation mit dem selben Workflow genutzt. Bei der Synchronisation mit diesem Workflow wird das Änderungsdatum der Zielsystemobjekte mit der in der One Identity Manager-Datenbank gespeicherten Revision verglichen. Es werden nur noch die Objekte aus dem Zielsystem gelesen, die sich seit diesem Datum verändert haben.
Die Synchronisation wird zusätzlich beschleunigt, wenn die Änderungsinformation am Schematyp auch gelöschte Objekte berücksichtigt. Wenn die Objekte eines Schematyps weder neu eingefügt noch geändert oder gelöscht wurden, kann der Synchronisationsschritt komplett ausgelassen werden. Es müssen keine Objekte für den Abgleich geladen werden. Um diese Optimierung zu nutzen, müssen in beiden verbundenen Datenbanken die Revisionsdaten für Tabellen gespeichert werden.
Um die optimierte Revisionsfilterung zu nutzen
-
Starten Sie den Designer und verbinden Sie sich mit der Zentraldatenbank.
-
Aktivieren Sie den Konfigurationsparameter Common | TableRevision.
- Speichern Sie die Änderungen.
-
Verbinden Sie den Designer mit der Arbeitsdatenbank.
-
Aktivieren Sie den Konfigurationsparameter Common | TableRevision.
- Speichern Sie die Änderungen.
Bei jeder Änderung in einer Tabelle wird nun das Revisionsdatum für diese Tabelle aktualisiert. Diese Informationen werden in der Tabelle QBMTableRevision, Spalte RevisionDate gespeichert. So erkennt der One Identity Manager Konnektor, ob in einer Tabelle Objekte hinzugefügt, geändert oder gelöscht wurden.
Bei der Synchronisation mit Revisionsfilterung wird das Revisionsdatum einer Tabelle mit der in der One Identity Manager-Datenbank gespeicherten Revision verglichen. Ist das Revisionsdatum älter, wurden seit der letzten Synchronisation keine Objekte in dieser Tabelle geändert. Der Synchronisationsschritt für den betroffenen Schematyp wird nicht ausgeführt. Wenn das Revisionsdatum neuer ist, wird der Synchronisationsschritt ausgeführt und die geänderten Objekte werden wie oben beschrieben ermittelt.
Die Revision wird zu Beginn einer Synchronisation ermittelt. Objekte, die durch die Synchronisation geändert werden, werden bei der nächsten Synchronisation nochmals geladen und überprüft. Die zweite Synchronisation nach der Initialsynchronisation ist daher noch nicht deutlich schneller.
Die Revisionsfilterung kann an den Workflows oder an den Startkonfigurationen zugelassen werden.
Um die Revisionsfilterung an einem Workflow zuzulassen
Um die Revisionsfilterung an einer Startkonfiguration zuzulassen
HINWEIS: Wenn der Konfigurationsparameter Common | TableRevision deaktiviert wird, werden alle Revisionsdaten in der Tabelle QBMTableRevision gelöscht.
Ausführliche Informationen zur Revisionsfilterung finden Sie im One Identity Manager Referenzhandbuch für die Zielsystemsynchronisation.
Provisionierung von Mitgliedschaften konfigurieren
Mitgliedschaften, beispielsweise von Benutzerkonten in Gruppen, werden in der One Identity Manager-Datenbank in Zuordnungstabellen gespeichert. Bei der Provisionierung von geänderten Mitgliedschaften werden möglicherweise Änderungen, die im Zielsystem vorgenommen wurden, überschrieben. Dieses Verhalten kann unter folgenden Bedingungen auftreten:
-
Mitgliedschaften werden im Zielsystem in Form einer Liste als Eigenschaft eines Objekts gespeichert.
-
Änderungen von Mitgliedschaften sind in beiden verbundenen Systemen zulässig.
-
Ein Provisionierungsworkflow und Provisionierungsprozesse sind eingerichtet.
Wird eine Mitgliedschaft im One Identity Manager geändert, wird standardmäßig die komplette Mitgliederliste in das Zielsystem übertragen. Mitgliedschaften, die zuvor im Zielsystem hinzugefügt wurden, werden dabei entfernt; zuvor gelöschte Mitgliedschaften werden wieder eingefügt.
Um das zu verhindern, kann die Provisionierung so konfiguriert werden, dass nur die einzelne geänderte Mitgliedschaft in das Zielsystem provisioniert wird. Das entsprechende Verhalten wird für jede Zuordnungstabelle separat konfiguriert.
Um die Einzelprovisionierung von Mitgliedschaften zu ermöglichen
-
Wählen Sie im Manager die Kategorie Datensynchronisation > Basisdaten zur Konfiguration > Zielsystemtypen.
-
Wählen Sie in der Ergebnisliste den Zielsystemtyp.
-
Wählen Sie die Aufgabe Konfigurieren der Tabellen zum Publizieren.
-
Wählen Sie die Zuordnungstabellen, für die Sie die Einzelprovisionierung ermöglichen möchten. Mehrfachauswahl ist möglich.
-
Klicken Sie Merge-Modus.
HINWEIS:
-
Die Option kann nur für Zuordnungstabellen aktiviert werden, deren Basistabelle eine Spalte XDateSubItem hat.
-
Zuordnungstabellen, die im Mapping in einer virtuellen Schemaeigenschaft zusammengefasst sind, müssen identisch markiert werden.
- Speichern Sie die Änderungen.
Für jede Zuordnungstabelle, die so gekennzeichnet ist, werden Änderungen, die im One Identity Manager vorgenommen werden, in einer separaten Tabelle gespeichert. Dabei werden nur die neu eingefügten und gelöschten Zuordnungen verarbeitet. Bei der Provisionierung der Änderungen wird die Mitgliederliste im Zielsystem mit den Einträgen in dieser Tabelle abgeglichen. Damit wird nicht die gesamte Mitgliederliste überschrieben, sondern nur die einzelne geänderte Mitgliedschaft provisioniert.
HINWEIS: Bei einer Synchronisation wird immer die komplette Mitgliederliste aktualisiert. Dabei werden Objekte mit Änderungen, deren Provisionierung noch nicht abgeschlossen ist, nicht verarbeitet. Diese Objekte werden im Synchronisationsprotokoll aufgezeichnet.
Die Einzelprovisionierung von Mitgliedschaften kann durch eine Bedingung eingeschränkt werden. Wenn für eine Tabelle der Merge-Modus deaktiviert wird, dann wird auch die Bedingung gelöscht. Tabellen, bei denen die Bedingung bearbeitet oder gelöscht wurde, sind durch folgendes Symbol gekennzeichnet: 
. Die originale Bedingung kann jederzeit wiederhergestellt werden.
Um die originale Bedingung wiederherzustellen
-
Wählen Sie die Zuordnungstabelle, für welche Sie die Bedingung wiederherstellen möchten.
-
Klicken Sie mit der rechten Maustaste auf die gewählte Zeile und wählen Sie im Kontextmenü Originalwerte wiederherstellen.
- Speichern Sie die Änderungen.
HINWEIS: Um in der Bedingung den Bezug zu den eingefügten oder gelöschten Zuordnungen herzustellen, nutzen Sie den Tabellenalias i.
Beispiel für eine Bedingung an der Zuordnungstabelle UNSAccountBInUNSGroupB:
exists (select top 1 1 from UNSGroupB g
where g.UID_UNSGroupB = i.UID_UNSGroupB
and <einschränkende Bedingung>)
Ausführliche Informationen zur Provisionierung von Mitgliedschaften finden Sie im One Identity Manager Referenzhandbuch für die Zielsystemsynchronisation.
Einzelobjektsynchronisation konfigurieren
Änderungen an einem einzelnen Objekt im Zielsystem können sofort in die One Identity Manager-Datenbank übertragen werden, ohne dass eine vollständige Synchronisation der Zielsystem-Umgebung gestartet werden muss. Die Einzelobjektsynchronisation kann nur für Objekte ausgeführt werden, die in der One Identity Manager-Datenbank bereits vorhanden sind. Es werden die Änderungen an den gemappten Objekteigenschaften übernommen. Ist das Objekt im Zielsystem nicht mehr vorhanden, wird es in der One Identity Manager-Datenbank gelöscht.
Voraussetzungen
-
Es gibt einen Synchronisationsschritt, der die Änderungen am geänderten Objekt in den One Identity Manager einlesen kann.
-
Für die Tabelle, die das geänderte Objekt enthält, ist der Pfad zum Basisobjekt der Synchronisation festgelegt.
Um den Pfad zum Basisobjekt der Synchronisation für eine Tabelle festzulegen
-
Wählen Sie im Manager die Kategorie Datensynchronisation > Basisdaten zur Konfiguration > Zielsystemtypen.
-
Wählen Sie in der Ergebnisliste den Zielsystemtyp.
-
Wählen Sie die Aufgabe Synchronisationstabellen zuweisen.
-
Weisen Sie im Bereich Zuordnungen hinzufügen die Tabelle zu, für die Sie die Einzelobjektsynchronisation nutzen möchten.
- Speichern Sie die Änderungen.
-
Wählen Sie die Aufgabe Konfigurieren der Tabellen zum Publizieren.
-
Wählen Sie die Tabelle und erfassen Sie den Pfad zum Basisobjekt.
-
Wenn für das Zielsystem ein konkretes Basisobjekt festgelegt ist, geben Sie den Pfad zum Basisobjekt in der ObjectWalker-Notation der VI.DB an.
Beispiel: FK(UID_GAPCustomer).XObjectKey
-
Wenn für das Zielsystem kein konkretes Basisobjekt festgelegt ist, erfassen Sie den XOjectKey der Basistabelle.
Beispiel: <Key><T>DialogTable</T><P>RMB-T-Org</P></Key>
- Speichern Sie die Änderungen.
Synchronisation starten
Synchronisationen werden über zeitgesteuerter Prozessaufträge gestartet. Ein zeitgesteuerter Prozessauftrag wird angelegt, sobald einer Startkonfiguration ein Zeitplan zugeordnet wird. Zeitpläne legen die Ausführungszeiten für die Synchronisation fest.
HINWEIS: Eine Synchronisation kann nur gestartet werden, wenn das Synchronisationsprojekt aktiviert ist.
Um regelmäßige Synchronisationen auszuführen, konfigurieren und aktivieren Sie einen Zeitplan. Wenn kein Zeitplan aktiviert ist, können Sie die Synchronisation auch manuell starten.
Wichtig: Solange eine Synchronisation ausgeführt wird, sollte keine weitere Synchronisation für dasselbe Zielsystem gestartet werden. Das gilt insbesondere, wenn dieselben Synchronisationsobjekte verarbeitet werden.
-
Wenn eine weitere Synchronisation mit derselben Startkonfiguration gestartet wird, wird dieser Prozess gestoppt und erhält den Ausführungsstatus Frozen. Es wird eine Fehlermeldung in die Protokolldatei des One Identity Manager Service geschrieben.
-
Stellen Sie sicher, dass Startkonfigurationen, die in Startfolgen verwendet werden, nicht gleichzeitig einzeln gestartet werden. Weisen Sie den Startfolgen und Startkonfigurationen unterschiedliche Zeitpläne zu.
-
Wenn eine weitere Synchronisation mit einer anderen Startkonfiguration gestartet wird, die dasselbe Zielsystem anspricht, kann das zu Synchronisationsfehlern oder Datenverlust führen. Legen Sie an den Startkonfigurationen fest, wie sich der One Identity Manager in diesem Fall verhalten soll.
-
Stellen Sie über den Zeitplan sicher, dass die Startkonfigurationen nacheinander ausgeführt werden.
-
Gruppieren Sie die Startkonfigurationen mit gleichem Startverhalten.
Wenn verschiedene Zielsysteme immer in einer vorher festgelegten Reihenfolge synchronisiert werden sollen, nutzen Sie Startfolgen, um die Synchronisation zu starten. In einer Startfolge können beliebige Startkonfigurationen aus verschiedenen Synchronisationsprojekten zusammengestellt und in eine Ausführungsreihenfolge gebracht werden. Ausführliche Informationen zu Startfolgen finden Sie im One Identity Manager Referenzhandbuch für die Zielsystemsynchronisation.
