Ein Synchronisationsprojekt ist die Zusammenstellung aller Informationen, die für die Synchronisation der One Identity Manager-Datenbank mit einem Zielsystem benötigt werden. Dazu gehören die Verbindungsinformationen zum Zielsystem, Schematypen und -eigenschaften, Mappings und Synchronisationsworkflows.
Für die individuelle Einrichtung eines Synchronisationsprojekts für die Synchronisation mit dem One Identity Manager Konnektor halten Sie die folgenden Informationen bereit.
Tabelle 6: Benötigte Informationen für die Erstellung eines Synchronisationsprojektes
|
Synchronisationsserver |
Vom Synchronisationsserver werden alle Aktionen des One Identity Manager Service gegen die Zielsystemumgebung ausgeführt. Die für die Synchronisation und Administration mit der One Identity Manager-Datenbank benötigten Einträge werden vom Synchronisationsserver bearbeitet.
Installierte Komponenten:
Der Synchronisationsserver muss im One Identity Manager als Jobserver bekannt sein. Es wird der Name des Jobservers benötigt.
Weitere Informationen finden Sie unter Einrichten des Synchronisationsservers. |
|
Remoteverbindungsserver |
Um die Synchronisation mit einem Zielsystem zu konfigurieren, muss der One Identity Manager Daten aus dem Zielsystem auslesen. Dabei kommuniziert der One Identity Manager direkt mit dem Zielsystem. Mitunter ist der direkte Zugriff von der Arbeitsstation, auf welcher der Synchronization Editor installiert ist, nicht möglich, beispielsweise aufgrund der Firewall-Konfiguration oder weil die Arbeitsstation nicht die notwendigen Hard- oder Softwarevoraussetzungen erfüllt. Wenn der direkte Zugriff von der Arbeitsstation nicht möglich ist, kann eine Remoteverbindung eingerichtet werden.
Der Remoteverbindungsserver und die Arbeitsstation müssen in der selben Active Directory Domäne stehen.
Konfiguration des Remoteverbindungsservers:
Der Remoteverbindungsserver muss im One Identity Manager als Jobserver bekannt sein. Es wird der Name des Jobservers benötigt.
TIPP: Der Remoteverbindungsserver benötigt dieselbe Konfiguration (bezüglich der installierten Software sowie der Berechtigungen des Benutzerkontos) wie der Synchronisationsserver. Nutzen Sie den Synchronisationsserver gleichzeitig als Remoteverbindungsserver, indem Sie lediglich das RemoteConnectPlugin zusätzlich installieren.
Ausführliche Informationen zum Herstellen einer Remoteverbindung finden Sie im One Identity Manager Referenzhandbuch für die Zielsystemsynchronisation. |
|
Synchronisationsworkflow |
Wenn die Synchronisation Daten aus einem sekundären System importiert, aktivieren Sie in den Synchronisationsschritten die Option Datenimport. Für diese Synchronisationsschritte kann die Verarbeitungsmethode MarkAsOutstanding nicht ausgewählt werden. Diese Option wirkt in beide Richtungen, also auch bei der Synchronisation in das Zielsystem.
Ausführliche Informationen zur Synchronisation von Benutzerdaten mit verschiedenen Systemen finden Sie im One Identity Manager Referenzhandbuch für die Zielsystemsynchronisation. |
|
Basisobjekt |
Für Synchronisationen mit den Datenbankkonnektoren kann meist kein konkretes Basisobjekt festgelegt werden. Hier genügt die Zuordnung einer Basistabelle und des Synchronisationsservers.
-
Wählen Sie aus der Auswahlliste Basistabelle die Tabelle, in welche die Objekte eingelesen werden sollen. Die Basistabelle kann genutzt werden, um nachgelagerte Prozesse für die Synchronisation zu definieren. Ausführliche Informationen zu nachgelagerten Prozessen finden Sie im One Identity Manager Referenzhandbuch für die Zielsystemsynchronisation.
-
In der Auswahlliste Synchronisationsserver werden alle Jobserver angezeigt, für welche die Serverfunktion One Identity Manager Konnektor aktiviert ist. |
|
Variablenset |
Wenn Sie spezialisierte Variablensets einsetzen, stellen Sie sicher, dass die Startkonfiguration und das Basisobjekt das selbe Variablenset nutzen. |
Um die Synchronisation mit dem One Identity Manager Konnektor zu konfigurieren
-
Erstellen Sie im Synchronization Editor ein neues Synchronisationsprojekt.
-
Legen Sie Mappings an. Definieren Sie Property-Mapping-Regeln und Object-Matching-Regeln.
-
Erstellen Sie Synchronisationsworkflows.
-
Erstellen Sie eine Startkonfiguration.
-
Definieren Sie den Scope der Synchronisation.
-
Legen Sie das Basisobjekt der Synchronisation fest.
-
Legen Sie den Umfang des Synchronisationsprotokolls fest.
-
Führen Sie eine Konsistenzprüfung durch.
-
Aktivieren Sie das Synchronisationsprojekt.
-
Speichern Sie das neu angelegt Synchronisationsprojekt in der Datenbank.
Detaillierte Informationen zum Thema
Beim Erstellen eines Synchronisationsprojekts unterstützt Sie ein Assistent. Dieser Assistent führt Sie durch alle Schritte, die zum initialen Einrichten der Synchronisation mit einem Zielsystem erforderlich sind. Wenn Sie alle erforderlichen Angaben für einen Schritt erfasst haben, klicken Sie Weiter.
HINWEIS: Der folgende Ablauf beschreibt die Einrichtung eines Synchronisationsprojekts, wenn der Synchronization Editor
Wenn der Projektassistent im Expertenmodus ausgeführt wird oder direkt aus dem Synchronization Editor gestartet wird, können zusätzliche Konfigurationseinstellungen vorgenommen werden. Folgen Sie in diesen Schritten den Anweisungen des Projektassistenten.
Um das Synchronisationsprojekt einzurichten
-
Starten Sie das Launchpad und melden Sie sich an der One Identity Manager-Datenbank an.
HINWEIS: Wenn die Synchronisation über einen Anwendungsserver ausgeführt werden soll, stellen Sie die Datenbankverbindung über den Anwendungsserver her.
-
Wählen Sie den Eintrag One Identity Manager Konnektor und klicken Sie Starten.
Der Projektassistent des Synchronization Editors wird gestartet.
-
Auf der Seite Systemzugriff legen Sie fest, wie der One Identity Manager auf das Zielsystem zugreifen kann.
-
Ist der Zugriff von der Arbeitsstation, auf der Sie den Synchronization Editor gestartet haben, möglich, nehmen Sie keine Einstellungen vor.
-
Ist der Zugriff von der Arbeitsstation, auf der Sie den Synchronization Editor gestartet haben, nicht möglich, können Sie eine Remoteverbindung herstellen.
Aktivieren Sie die Option Verbindung über einen Remoteverbindungsserver herstellen und wählen Sie unter Jobserver den Server, über den die Verbindung hergestellt werden soll.
-
Auf der Seite Datenbanksystem auswählen wählen Sie das Datenbanksystem aus, für das Sie die Verbindung einrichten möchten.
-
Direkte Datenbankverbindung: Gibt an, ob eine direkte Verbindung zur Zentraldatenbank hergestellt werden soll.
-
Anwendungsserver: Gibt an, ob die Zentraldatenbank über einen Anwendungsserver verbunden werden soll.
Aktivieren Sie diese Option, wenn in der Zentraldatenbank andere Module installiert sind, als in der Arbeitsdatenbank, oder wenn die Zentraldatenbank mit einer älteren One Identity Manager Version betrieben wird.
-
REST API des Anwendungsservers verwenden: Gibt an, ob die REST API des Anwendungsservers für die Kommunikation mit der Zentraldatenbank genutzt werden soll.
WICHTIG: Aktivieren Sie diese Option, wenn die Zentraldatenbank mit einer älteren One Identity Manager Version betrieben wird.
-
Auf der Seite Verbindungsparameter geben Sie die Verbindungsdaten zur Zentraldatenbank an.
-
Für eine direkte Datenbankverbindung erfassen Sie folgende Daten:
-
Server: Datenbankserver.
-
(Optional) Windows Authentifizierung: Gibt an, ob integrierte Windows-Authentifizierung verwendet wird. Die Verwendung dieser Authentifizierung wird nicht empfohlen. Sollten Sie dieses Verfahren dennoch einsetzen, stellen Sie sicher, dass Ihre Umgebung Windows-Authentifizierung unterstützt.
-
Nutzer: SQL Server Anmeldename des Benutzer.
-
Kennwort: Kennwort für die SQL Server Anmeldung des Benutzer.
-
Datenbank: Wählen Sie die Datenbank.
-
Für eine Verbindung über einen Anwendungsserver erfassen Sie die URL und das Kennwort des Synchronisationsbenutzers.
-
Um zusätzliche Informationen zur Datenbankverbindung zu erfassen, klicken Sie Erweiterte Optionen.
-
Klicken Sie Testen.
-
Auf der Seite Verschlüsselung geben Sie den privaten Schlüssel zur Entschlüsselung der Datenbank an.
-
Auf der Seite Weitere Einstellungen definieren Sie weitere Einstellungen, um das Verhalten des Konnektors anzupassen.
-
Versuche Datenfehler zu ignorieren: Gibt an, ob Objekte mit fehlerhaften Daten in die Zentraldatenbank synchronisiert werden sollen.
Standardmäßig werden Objekte mit fehlerhaften Daten nicht synchronisiert. Diese Objekte können synchronisiert werden, sobald die fehlerhaften Daten korrigiert wurden. In einzelnen Situationen kann es notwendig sein, solche Objekte dennoch zu synchronisieren und nur die fehlerhaften Objekteigenschaften zu ignorieren.
WICHTIG: Wenn Datenfehler ignoriert werden, wird die Performance beeinträchtigt. Die Synchronisation kann außerdem zu Datenverlust führen. Aktivieren Sie die Option nur im Ausnahmefall, wenn eine Korrektur der fehlerhaften Daten vor der Synchronisation nicht möglich ist.
HINWEIS:
-
Die Option kann nicht aktiviert werden, wenn die REST API des Anwendungsservers verwendet wird.
-
Diese Option ist nur wirksam, wenn am Synchronisationsworkflow Bei Fehler fortsetzen eingestellt ist.
-
Fehler in Standardspalten, wie Primärschlüssel oder UID-Spalten, und Pflichteingabespalten können nicht ignoriert werden.
-
Auf der letzten Seite des Systemverbindungsassistenten können Sie die Verbindungsdaten speichern.
- Aktivieren Sie die Option Verbindung lokal speichern, um die Verbindungsdaten zu speichern. Diese können Sie bei der Einrichtung weiterer Synchronisationsprojekte nutzen.
- Um den Systemverbindungsassistenten zu beenden und zum Projektassistenten zurückzukehren, klicken Sie Fertig.
-
Auf der Seite One Identity Manager Verbindung überprüfen Sie die Verbindungsdaten zur One Identity Manager-Datenbank. Die Daten werden aus der verbundenen Datenbank geladen. Geben Sie das Kennwort erneut ein.
HINWEIS:
-
Wenn Sie mit einer unverschlüsselten One Identity Manager-Datenbank arbeiten und noch kein Synchronisationsprojekt in der Datenbank gespeichert ist, erfassen Sie alle Verbindungsdaten neu.
-
Wenn bereits ein Synchronisationsprojekt gespeichert ist, wird diese Seite nicht angezeigt.
-
Der Assistent lädt das Zielsystemschema. Abhängig von der Art des Zielsystemzugriffs und der Größe des Zielsystems kann dieser Vorgang einige Minuten dauern.
-
Auf der Seite Projektvorlage auswählen wählen Sie die Projektvorlage, mit der die Synchronisationskonfiguration erstellt werden soll.
HINWEIS: Der One Identity Manager Konnektor stellt keine Standard-Projektvorlage zum Einrichten der Synchronisation bereit. Wenn Sie eigene Projektvorlagen erstellt haben, können Sie diese auswählen, um das Synchronisationsprojekt zu konfigurieren. Andernfalls wählen Sie Leeres Projekt erstellen.
-
Auf der Seite Allgemein erfassen Sie die allgemeinen Einstellungen für das Synchronisationsprojekt.
Tabelle 7: Allgemeine Eigenschaften des Synchronisationsprojekts
|
Anzeigename |
Anzeigename für das Synchronisationsprojekt. |
|
Beschreibung |
Freitextfeld für zusätzliche Erläuterungen. |
- Um den Projektassistenten zu beenden, klicken Sie Fertig.
- Speichern Sie das Synchronisationsprojekt in der Datenbank.
Verwandte Themen
Während ein Synchronisationsprojekt bearbeitet wird, stehen alle Schemadaten (Schematypen und Schemaeigenschaften) des Zielsystemschemas und des One Identity Manager Schemas zur Verfügung. Für eine Synchronisationskonfiguration wird jedoch nur ein Teil dieser Daten benötigt. Wenn ein Synchronisationsprojekt fertig gestellt wird, werden die Schemas komprimiert, um die nicht benötigten Daten aus dem Synchronisationsprojekt zu entfernen. Dadurch kann das Laden des Synchronisationsprojekts beschleunigt werden. Die entfernten Schemadaten können zu einem späteren Zeitpunkt wieder in die Synchronisationskonfiguration aufgenommen werden.
Wenn sich das Zielsystemschema oder das One Identity Manager Schema geändert hat, müssen diese Änderungen ebenfalls in die Synchronisationskonfiguration aufgenommen werden. Anschließend können die Änderungen in das Mapping der Schemaeigenschaften eingearbeitet werden.
Um Schemadaten, die beim Komprimieren entfernt wurden, und Schemaänderungen in der Synchronisationskonfiguration berücksichtigen zu können, aktualisieren Sie das jeweilige Schema im Synchronisationsprojekt. Das kann erforderlich sein, wenn:
-
ein Schema geändert wurde, durch:
-
Änderungen am Zielsystemschema
-
unternehmensspezifische Anpassungen des One Identity Manager Schemas
-
eine Update-Migration des One Identity Manager
-
ein Schema im Synchronisationsprojekt komprimiert wurde, durch:
-
die Aktivierung des Synchronisationsprojekts
-
erstmaliges Speichern des Synchronisationsprojekts
-
Komprimieren eines Schemas
Um das Schema einer Systemverbindung zu aktualisieren
-
Öffnen Sie im Synchronization Editor das Synchronisationsprojekt.
-
Wählen Sie die Kategorie Konfiguration > Zielsystem.
- ODER -
Wählen Sie die Kategorie Konfiguration > One Identity Manager Verbindung.
-
Wählen Sie die Ansicht Allgemein und klicken Sie Schema aktualisieren.
- Bestätigen Sie die Sicherheitsabfrage mit Ja.
Die Schemadaten werden neu geladen.
Um ein Mapping zu bearbeiten
-
Öffnen Sie im Synchronization Editor das Synchronisationsprojekt.
-
Wählen Sie die Kategorie Mappings.
-
Wählen Sie in der Navigationsansicht das Mapping.
Der Mappingeditor wird geöffnet. Ausführliche Informationen zum Bearbeiten von Mappings finden Sie im One Identity Manager Referenzhandbuch für die Zielsystemsynchronisation.
HINWEIS: Wenn das Schema eines aktivierten Synchronisationsprojekts aktualisiert wird, wird das Synchronisationsprojekt deaktiviert. Damit Synchronisationen ausgeführt werden, aktivieren Sie das Synchronisationsprojekt erneut.
Mitgliedschaften, beispielsweise von Benutzerkonten in Gruppen, werden in der One Identity Manager-Datenbank in Zuordnungstabellen gespeichert. Bei der Provisionierung von geänderten Mitgliedschaften werden möglicherweise Änderungen, die im Zielsystem vorgenommen wurden, überschrieben. Dieses Verhalten kann unter folgenden Bedingungen auftreten:
-
Mitgliedschaften werden im Zielsystem in Form einer Liste als Eigenschaft eines Objekts gespeichert.
-
Änderungen von Mitgliedschaften sind in beiden verbundenen Systemen zulässig.
-
Ein Provisionierungsworkflow und Provisionierungsprozesse sind eingerichtet.
Wird eine Mitgliedschaft im One Identity Manager geändert, wird standardmäßig die komplette Mitgliederliste in das Zielsystem übertragen. Mitgliedschaften, die zuvor im Zielsystem hinzugefügt wurden, werden dabei entfernt; zuvor gelöschte Mitgliedschaften werden wieder eingefügt.
Um das zu verhindern, kann die Provisionierung so konfiguriert werden, dass nur die einzelne geänderte Mitgliedschaft in das Zielsystem provisioniert wird. Das entsprechende Verhalten wird für jede Zuordnungstabelle separat konfiguriert.
Um die Einzelprovisionierung von Mitgliedschaften zu ermöglichen
-
Wählen Sie im Manager die Kategorie Datensynchronisation > Basisdaten zur Konfiguration > Zielsystemtypen.
-
Wählen Sie in der Ergebnisliste den Zielsystemtyp.
-
Wählen Sie die Aufgabe Konfigurieren der Tabellen zum Publizieren.
-
Wählen Sie die Zuordnungstabellen, für die Sie die Einzelprovisionierung ermöglichen möchten. Mehrfachauswahl ist möglich.
-
Klicken Sie Merge-Modus.
HINWEIS:
-
Die Option kann nur für Zuordnungstabellen aktiviert werden, deren Basistabelle eine Spalte XDateSubItem hat.
-
Zuordnungstabellen, die im Mapping in einer virtuellen Schemaeigenschaft zusammengefasst sind, müssen identisch markiert werden.
- Speichern Sie die Änderungen.
Für jede Zuordnungstabelle, die so gekennzeichnet ist, werden Änderungen, die im One Identity Manager vorgenommen werden, in einer separaten Tabelle gespeichert. Dabei werden nur die neu eingefügten und gelöschten Zuordnungen verarbeitet. Bei der Provisionierung der Änderungen wird die Mitgliederliste im Zielsystem mit den Einträgen in dieser Tabelle abgeglichen. Damit wird nicht die gesamte Mitgliederliste überschrieben, sondern nur die einzelne geänderte Mitgliedschaft provisioniert.
HINWEIS: Bei einer Synchronisation wird immer die komplette Mitgliederliste aktualisiert. Dabei werden Objekte mit Änderungen, deren Provisionierung noch nicht abgeschlossen ist, nicht verarbeitet. Diese Objekte werden im Synchronisationsprotokoll aufgezeichnet.
Die Einzelprovisionierung von Mitgliedschaften kann durch eine Bedingung eingeschränkt werden. Wenn für eine Tabelle der Merge-Modus deaktiviert wird, dann wird auch die Bedingung gelöscht. Tabellen, bei denen die Bedingung bearbeitet oder gelöscht wurde, sind durch folgendes Symbol gekennzeichnet: 
. Die originale Bedingung kann jederzeit wiederhergestellt werden.
Um die originale Bedingung wiederherzustellen
-
Wählen Sie die Zuordnungstabelle, für welche Sie die Bedingung wiederherstellen möchten.
-
Klicken Sie mit der rechten Maustaste auf die gewählte Zeile und wählen Sie im Kontextmenü Originalwerte wiederherstellen.
- Speichern Sie die Änderungen.
HINWEIS: Um in der Bedingung den Bezug zu den eingefügten oder gelöschten Zuordnungen herzustellen, nutzen Sie den Tabellenalias i.
Beispiel für eine Bedingung an der Zuordnungstabelle UNSAccountBInUNSGroupB:
exists (select top 1 1 from UNSGroupB g
where g.UID_UNSGroupB = i.UID_UNSGroupB
and <einschränkende Bedingung>)
Ausführliche Informationen zur Provisionierung von Mitgliedschaften finden Sie im One Identity Manager Referenzhandbuch für die Zielsystemsynchronisation.
