Chatta subito con l'assistenza
Chat con il supporto

Identity Manager 8.2.1 - Administrationshandbuch für die Anbindung einer LDAP-Umgebung

Über dieses Handbuch Verwalten einer LDAP-Umgebung Synchronisieren eines LDAP Verzeichnisses
Einrichten der Initialsynchronisation mit einem LDAP Verzeichnis Anpassen der Synchronisationskonfiguration für LDAP-Umgebungen Ausführen einer Synchronisation Aufgaben nach einer Synchronisation Fehleranalyse Datenfehler bei der Synchronisation ignorieren
Managen von LDAP Benutzerkonten und Personen Managen von Mitgliedschaften in LDAP Gruppen Bereitstellen von Anmeldeinformationen für LDAP Benutzerkonten Abbildung von LDAP Objekten im One Identity Manager
LDAP Domänen LDAP Containerstrukturen LDAP Benutzerkonten LDAP Gruppen LDAP Computer Berichte über LDAP Objekte
Behandeln von LDAP Objekten im Web Portal Basisdaten für die Verwaltung einer LDAP-Umgebung Fehlerbehebung Konfigurationsparameter für die Verwaltung einer LDAP-Umgebung Standardprojektvorlagen für LDAP Einstellungen des generischen LDAP Konnektors Einstellungen des LDAP Konnektors V2

Initiales Synchronisationsprojekt für eine LDAP Domäne mit dem LDAP Konnektor V2 erstellen

HINWEIS: Der folgende Ablauf beschreibt die Einrichtung eines Synchronisationsprojekts, wenn der Synchronization Editor

  • im Standardmodus ausgeführt wird und

  • aus dem Launchpad gestartet wird.

Wenn der Projektassistent im Expertenmodus ausgeführt wird oder direkt aus dem Synchronization Editor gestartet wird, können zusätzliche Konfigurationseinstellungen vorgenommen werden. Folgen Sie in diesen Schritten den Anweisungen des Projektassistenten.

HINWEIS: Pro Zielsystem und genutzter Standardprojektvorlage kann genau ein Synchronisationsprojekt erstellt werden.

Um ein initiales Synchronisationsprojekt für eine LDAP Domäne einzurichten

  1. Starten Sie das Launchpad und melden Sie sich an der One Identity Manager-Datenbank an.

    HINWEIS: Wenn die Synchronisation über einen Anwendungsserver ausgeführt werden soll, stellen Sie die Datenbankverbindung über den Anwendungsserver her.

  2. Wählen Sie den Eintrag Zielsystemtyp LDAP und klicken Sie Starten.

    Der Projektassistent des Synchronization Editors wird gestartet.

  1. Auf der Seite Zielsystem auswählen wählen Sie LDAP Konnektor (Version 2).

  1. Auf der Seite Systemzugriff legen Sie fest, wie der One Identity Manager auf das Zielsystem zugreifen kann.

    • Ist der Zugriff von der Arbeitsstation, auf der Sie den Synchronization Editor gestartet haben, möglich, nehmen Sie keine Einstellungen vor.

    • Ist der Zugriff von der Arbeitsstation, auf der Sie den Synchronization Editor gestartet haben, nicht möglich, können Sie eine Remoteverbindung herstellen.

      Aktivieren Sie die Option Verbindung über einen Remoteverbindungsserver herstellen und wählen Sie unter Jobserver den Server, über den die Verbindung hergestellt werden soll.

  1. Auf der Seite Verbindungsinformationen erfassen Sie die Verbindungsinformationen für den Zugriff auf das LDAP System. Es wird anschließend versucht eine Verbindung zum Server aufzubauen.

    • Server: IP-Adresse oder vollständiger Name des LDAP Servers, gegen den sich der Synchronisationsserver verbindet, um auf die LDAP Objekte zuzugreifen.

    • Port: Kommunikationsport auf dem Server. LDAP Standard-Kommunikationsport ist Port 389.

    • Authentifizierungsmethode: Wählen Sie die Authentifizierungsart für die Anmeldung am LDAP System. Zulässig sind:

      • Basic: Die Standardauthentifizierung wird verwendet.

      • Negotiate: Die Negotiate-Authentifizierung von Microsoft wird verwendet.

      • Anonymous: Die Verbindung erfolgt ohne Übergabe von Anmeldeinformationen.

      • Kerberos: Die Kerberos-Authentifizierung wird verwendet.

      • NTLM: Die Windows NT-Abfrage/Rückmeldung-Authentifizierung wird verwendet.

      • External: Als externe Methode wird die zertifikatsbasierte Authentifizierung verwendet.

      Abhängig von der gewählten Authentifizierungsmethode können weitere Informationen für die Anmeldung erforderlich sein.

      • Benutzername: Name des Benutzerkontos zur Anmeldung am LDAP.

      • Kennwort: Kennwort zum Benutzerkonto.

      • Sealing aktivieren: Gibt an, ob die Nachrichtenvertraulichkeit aktiviert ist. Aktivieren Sie die Option, wenn die gewählte Authentifizierungsmethode die Nachrichtenvertraulichkeit (Sealing) unterstützt.

      • Signing aktivieren: Gibt an, ob Nachrichtenintegrität aktiviert ist. Aktivieren Sie die Option, wenn die gewählte Authentifizierungsmethode die Nachrichtenintegrität (Signing) unterstützt.

      • Clientzertifikat: Wählen Sie ein Zertifikat. Die Zertifikate werden aus den Benutzerzertifikaten (Zertifikatsspeicher Aktueller Benutzer) des Hosts ermittelt, auf den aktuell verbunden wurde. Dies ist entweder der lokale Computer auf dem der Synchronization Editor gestartet wurde oder der Jobserver, zu dem eine Remoteverbindung hergestellt wurde.

        HINWEIS: Stellen Sie sicher, dass das gewählte Zertifikat auch auf allen Jobservern installiert ist, die sich gegen das LDAP System verbinden sollen.

        TIPP: Über neben dem Eingabefeld werden zusätzliche Informationen zum gewählten Zertifikat angezeigt, beispielsweise Subjekt, Zertifizierungsstelle und Gültigkeitszeitraum.

    • Verschlüsselung: Legen Sie die Verschlüsselung für die Verbindung fest. Zur Auswahl stehen:

      • None: Es wird keinen Verschlüsselung verwendet.

      • SSL: Es wird eine SSL/TLS verschlüsselte Verbindung verwendet.

      • StartTLS: Es wird StartTLS zur Verschlüsselung verwendet.

    • Prüfung Serverzertifikat: Gibt an, ob bei der Verschlüsslung mittels SSL oder StartTLS das Serverzertifikat geprüft werden soll.

      HINWEIS: Das Serverzertifikat muss gültig sein. Das Zertifikat der Stammzertifizierungsstelle muss als Computerzertifikat (Zertifikatsspeicher Lokaler Computer) auf dem Host, auf dem der Synchronization Editor gestartet wurde oder auf dem Jobserver, zu dem eine Remoteverbindung hergestellt wurde, vorhanden sein. Stellen Sie sicher, dass das Zertifikat auch auf allen Jobservern installiert ist, die sich gegen das LDAP System verbinden sollen.

    • Protokollversion: Version des LDAP Protokolls. Standardwert ist 3.
  2. Auf der Seite Auswahl der Schemaquelle wählen Sie die Quelle für die Bereitstellung des Schemainformationen. Zur Auswahl stehen:

    • Load schema from LDAP Server: Das Schema wird vom LDAP Server geladen. (Standard)

    • Load schema from given LDIF string: Falls das Schema des LDAP Servers nicht verfügbar ist, können Sie eine alternative Quelle angeben.

  3. Auf der Seite Konfigurationsvoreinstellung wählen legen Sie fest, wie die Vorkonfiguration des Konnektors erfolgen soll. Anhand des erkannten Servers wird bereits eine Vorkonfiguration vorgeschlagen. Alternative können Sie die Konfiguration manuell vornehmen. In diesem Fall konfigurieren Sie Einstellungen für die Suchanfragen, die Änderung von Objekten und das Löschen von Objekten.

    • Konfigurationsvoreinstellungen verwenden: Aktivieren Sie diese Option, wenn Sie eine der vorhandenen Konfiguration für den Konnektor verwenden möchten. Anhand des erkannten LDAP Systems wird bereits eine Vorkonfiguration vorgeschlagen. Zur Auswahl stehen:

      • OpenDJ

      • Oracle DSEE

      • Microsoft AD LDS oder Active Directory

      • Novell/NetIQ eDirectory

    • Manuell konfigurieren: Aktivieren Sie diese Option, wenn Sie die Konfiguration manuell erstellen möchten. In diesem Fall werden zusätzliche Seiten angeboten, auf denen Sie die Einstellungen für die Suchanfragen, die Änderung von Objekten und das Löschen von Objekten festlegen.

  4. Auf der Seite LDAP Schemaerweiterungen konfigurieren Sie zusätzliche Schemafunktionen, die beim Laden des Schemas ausgeführt werden.

    Die Schemafunktionen sind hierarchisch aufgebaut. Eine Schemafunktion wird immer auf ihre übergeordnete Schemafunktion angewendet. Der Konnektor verarbeitet die Schemafunktionen hierarchisch von unten nach oben. Folgende Schemafunktionen sind verfügbar:

    • Load schema from LDAP Server/Load schema for LDIF string: Quelle, aus der das Schema ermittelt wird.

    • Return operational attributes: Mit dieser Schemafunktion legen Sie fest, welche Attribute zusätzlich für die LDAP Objekte ermittelt werden sollen. Funktionale Attribute werden für die Verzeichnisverwaltung verwendet. Die funktionalen Attribute werden zu jeder Schemaklasse der übergeordneten Funktion hinzugefügt.

      HINWEIS: Um die funktionalen Attribute im One Identity Manager abzubilden, sind unter Umständen kundenspezifische Erweiterungen des One Identity Manager Schemas erforderlich. Verwenden Sie dazu das Programm Schema Extension.

    • Auxillary class assigment: Mit dieser Schemafunktion weisen Sie strukturellen Klassen zusätzliche Hilfsklassen zu. Hilfsklassen sind Klassen vom Typ Auxiliary und enthalten Attribute, die die strukturelle Klasse erweitern. Die Attribute der Hilfsklassen werden wie optionale Attribute der strukturellen Klassen im Schema angeboten.

      HINWEIS: Um die Attribute der Hilfsklassen im One Identity Manager abzubilden, sind unter Umständen kundenspezifische Erweiterungen des One Identity Manager Schemas erforderlich. Verwenden Sie dazu das Programm Schema Extension.

    • Switch type of objectclasses: Mit dieser Schemafunktion können Sie den Typ einer Objektklasse ändern. Dies kann erforderlich sein, wenn ein nicht RFC-konformes LDAP System die Zuweisung mehrerer struktureller Objektklassen zu einem Eintrag zulässt obwohl nur eine strukturelle Klasse erlaubt ist.

      Mehrere zugewiesene strukturelle Klassen führen dazu, dass ein LDAP Eintrag nicht eindeutig einem Schematyp zugeordnet werden kann. Wurden strukturelle Objektklassen definiert, die lediglich als Eigenschaftserweiterungen dienen sollen (also Auxiliary-Klassen sein sollten), so kann man den Konnektor mit Hilfe dieser Einstellung dazu veranlassen, diese Objektklasse als Auxiliary zu betrachten.

      HINWEIS: Als Auxiliary konfigurierte Objektklassen werden dann nicht mehr als eigenständige Schematypen behandelt und können in Folge auch nicht separat synchronisiert werden.

    • Cache Schema: Mit dieser Schemafunktion wird das LDAP Schema lokal im Cache gehalten. Es wird empfohlen, diese Funktion möglichst nach dem Laden des Schemas anzuordnen. Dadurch kann die Synchronisation und Provisionierung von LDAP Objekten beschleunigt werden.

      Der Cache befindet sich auf dem Computer mit dem die Verbindung hergestellt wird unter %Appdata%\...\Local\One Identity\One Identity Manager\Cache\LdapConnector.

    • Load AD LDS schema extension: Mit dieser Schemafunktion werden zusätzliche Informationen geladen, die für die Synchronisation eines Active Directory Lightweight Directory Services erforderlich sind.

  5. Auf der Seite Suchbasis legen Sie den Wurzeleintrag (in der Regel die Domäne) fest, der als Basis für die Suchanfragen dient. Wählen Sie in der Auswahlliste Suchbasis einen Eintrag aus oder erfassen Sie einen Wurzeleintrag.

  6. Auf der letzten Seite des Systemverbindungsassistenten können Sie die Verbindungsdaten speichern.

    • Aktivieren Sie die Option Verbindung lokal speichern, um die Verbindungsdaten zu speichern. Diese können Sie bei der Einrichtung weiterer Synchronisationsprojekte nutzen.

    • Um den Systemverbindungsassistenten zu beenden und zum Projektassistenten zurückzukehren, klicken Sie Fertig.

  1. Auf der Seite One Identity Manager Verbindung überprüfen Sie die Verbindungsdaten zur One Identity Manager-Datenbank. Die Daten werden aus der verbundenen Datenbank geladen. Geben Sie das Kennwort erneut ein.

    HINWEIS:

    • Wenn Sie mit einer unverschlüsselten One Identity Manager-Datenbank arbeiten und noch kein Synchronisationsprojekt in der Datenbank gespeichert ist, erfassen Sie alle Verbindungsdaten neu.

    • Wenn bereits ein Synchronisationsprojekt gespeichert ist, wird diese Seite nicht angezeigt.

  2. Der Assistent lädt das Zielsystemschema. Abhängig von der Art des Zielsystemzugriffs und der Größe des Zielsystems kann dieser Vorgang einige Minuten dauern.

  1. Auf der Seite Zielsystemzugriff einschränken legen Sie fest, wie der Systemzugriff erfolgen soll. Zur Auswahl stehen:
    Tabelle 6: Zielsystemzugriff festlegen
    Option Bedeutung

    Das Zielsystem soll nur eingelesen werden.

    Gibt an, ob nur ein Synchronisationsworkflow zum initialen Einlesen des Zielsystems in die One Identity Manager-Datenbank eingerichtet werden soll.

    Der Synchronisationsworkflow zeigt folgende Besonderheiten:

    • Die Synchronisationsrichtung ist In den One Identity Manager.

    • In den Synchronisationsschritten sind die Verarbeitungsmethoden nur für die Synchronisationsrichtung In den One Identity Manager definiert.

    Es sollen auch Änderungen im Zielsystem durchgeführt werden.

    Gibt an, ob zusätzlich zum Synchronisationsworkflow zum initialen Einlesen des Zielsystems ein Provisionierungsworkflow eingerichtet werden soll.

    Der Provisionierungsworkflow zeigt folgende Besonderheiten:

    • Die Synchronisationsrichtung ist In das Zielsystem.

    • In den Synchronisationsschritten sind die Verarbeitungsmethoden nur für die Synchronisationsrichtung In das Zielsystem definiert.

    • Synchronisationsschritte werden nur für solche Schemaklassen erstellt, deren Schematypen schreibbar sind.

  1. Auf der Seite Synchronisationsserver wählen Sie den Synchronisationsserver, der die Synchronisation ausführen soll.

    Wenn der Synchronisationsserver noch nicht als Jobserver in der One Identity Manager-Datenbank bekannt gegeben wurde, können Sie einen neuen Jobserver anlegen.

    1. Klicken Sie , um einen neuen Jobserver anzulegen.

    2. Erfassen Sie die Bezeichnung des Jobservers und den vollständigen Servernamen gemäß DNS-Syntax.

    3. Klicken Sie OK.

      Der Synchronisationsserver wird als Jobserver für das Zielsystem in der One Identity Manager-Datenbank bekannt gegeben.

    4. HINWEIS: Stellen Sie nach dem Speichern des Synchronisationsprojekts sicher, dass dieser Server als Synchronisationsserver eingerichtet ist.

  1. Um den Projektassistenten zu beenden, klicken Sie Fertig.

    Es wird ein Standardzeitplan für regelmäßige Synchronisationen erstellt und zugeordnet. Aktivieren Sie den Zeitplan für die regelmäßige Synchronisation.

    Das Synchronisationsprojekt wird erstellt, gespeichert und sofort aktiviert.

    HINWEIS:

    • Beim Aktivieren wird eine Konsistenzprüfung durchgeführt. Wenn dabei Fehler auftreten, erscheint eine Meldung. Sie können entscheiden, ob das Synchronisationsprojekt dennoch aktiviert werden soll.

      Bevor Sie das Synchronisationsprojekt nutzen, prüfen Sie die Fehler. In der Ansicht Allgemein auf der Startseite des Synchronization Editor klicken Sie dafür Projekt prüfen.

    • Wenn das Synchronisationsprojekt nicht sofort aktiviert werden soll, deaktivieren Sie die Option Synchronisationsprojekt speichern und sofort aktivieren. In diesem Fall speichern Sie das Synchronisationsprojekt manuell vor dem Beenden des Synchronization Editor.

    • Die Verbindungsdaten zum Zielsystem werden in einem Variablenset gespeichert und können bei Bedarf im Synchronization Editor in der Kategorie Konfiguration > Variablen angepasst werden.

Verwandte Themen

Synchronisationsprotokoll konfigurieren

Im Synchronisationsprotokoll werden alle Informationen, Hinweise, Warnungen und Fehler, die bei der Synchronisation auftreten, aufgezeichnet. Welche Informationen aufgezeichnet werden sollen, kann für jede Systemverbindung separat konfiguriert werden.

Um den Inhalt des Synchronisationsprotokolls zu konfigurieren

  1. Um das Synchronisationsprotokoll für die Zielsystemverbindung zu konfigurieren, wählen Sie im Synchronization Editor die Kategorie Konfiguration > Zielsystem.

    - ODER -

    Um das Synchronisationsprotokoll für die Datenbankverbindung zu konfigurieren, wählen Sie im Synchronization Editor die Kategorie Konfiguration > One Identity Manager Verbindung.

  2. Wählen Sie den Bereich Allgemein und klicken Sie Konfigurieren.

  3. Wählen Sie den Bereich Synchronisationsprotokoll und aktivieren Sie Synchronisationsprotokoll erstellen.

  4. Aktivieren Sie die zu protokollierenden Daten.

    HINWEIS: Einige Inhalte erzeugen besonders viele Protokolldaten. Das Synchronisationsprotokoll soll nur die für Fehleranalysen und weitere Auswertungen notwendigen Daten enthalten.

  5. Klicken Sie OK.

Synchronisationsprotokolle werden für einen festgelegten Zeitraum aufbewahrt.

Um den Aufbewahrungszeitraum für Synchronisationsprotokolle anzupassen

  • Aktivieren Sie im Designer den Konfigurationsparameter DPR | Journal | LifeTime und tragen Sie die maximale Aufbewahrungszeit ein.

Verwandte Themen

Anpassen der Synchronisationskonfiguration für LDAP-Umgebungen

Mit dem Synchronization Editor haben Sie ein Synchronisationsprojekt für die initiale Synchronisation einer LDAP Domäne eingerichtet. Mit diesem Synchronisationsprojekt können Sie LDAP Objekte in die One Identity Manager-Datenbank einlesen. Wenn Sie Benutzerkonten und ihre Berechtigungen mit dem One Identity Manager verwalten, werden Änderungen in die LDAP-Umgebung provisioniert.

Um die Datenbank und die LDAP-Umgebung regelmäßig abzugleichen und Änderungen zu synchronisieren, passen Sie die Synchronisationskonfiguration an.

  • Um bei der Synchronisation den One Identity Manager als primäres System zu nutzen, erstellen Sie einen Workflow mit der Synchronisationsrichtung In das Zielsystem.

  • Um allgemeingültige Synchronisationskonfigurationen zu erstellen, die erst beim Start der Synchronisation die notwendigen Informationen über die zu synchronisierenden Objekte erhalten, können Variablen eingesetzt werden. Variablen können beispielsweise in den Basisobjekten, den Schemaklassen oder den Verarbeitungsmethoden eingesetzt werden.

  • Um festzulegen, welche LDAP Objekte und Datenbankobjekte bei der Synchronisation behandelt werden, bearbeiten Sie den Scope der Zielsystemverbindung und der One Identity Manager-Datenbankverbindung. Um Dateninkonsistenzen zu vermeiden, definieren Sie in beiden Systemen den gleichen Scope. Ist kein Scope definiert, werden alle Objekte synchronisiert.

  • Mit Hilfe von Variablen kann ein Synchronisationsprojekt für die Synchronisation verschiedener Domänen eingerichtet werden. Hinterlegen Sie die Verbindungsparameter zur Anmeldung an den Domänen als Variablen.

  • Wenn sich das One Identity Manager Schema oder das Zielsystemschema geändert hat, aktualisieren Sie das Schema im Synchronisationsprojekt. Anschließend können Sie die Änderungen in das Mapping aufnehmen.

  • Um zusätzliche Schemaeigenschaften zu synchronisieren, aktualisieren Sie das Schema im Synchronisationsprojekt. Nehmen Sie die Schemaerweiterungen in das Mapping auf.

Ausführliche Informationen zum Konfigurieren einer Synchronisation finden Sie im One Identity Manager Referenzhandbuch für die Zielsystemsynchronisation.

Detaillierte Informationen zum Thema

Synchronisation in die LDAP Domäne konfigurieren

Das Synchronisationsprojekt für die initiale Synchronisation stellt je einen Workflow zum initialen Einlesen der Zielsystemobjekte (Initial Synchronization) und für die Provisionierung von Objektänderungen aus der One Identity Manager-Datenbank in das Zielsystem (Provisioning) bereit. Um bei der Synchronisation den One Identity Manager als primäres System zu nutzen, benötigen Sie zusätzlich einen Workflow mit der Synchronisationsrichtung In das Zielsystem.

Um eine Synchronisationskonfiguration für die Synchronisation in die LDAP Domäne zu erstellen

  1. Öffnen Sie im Synchronization Editor das Synchronisationsprojekt.

  2. Prüfen Sie, ob die bestehenden Mappings für die Synchronisation in das Zielsystem genutzt werden können. Erstellen Sie bei Bedarf neue Mappings.

  3. Erstellen Sie mit dem Workflowassistenten einen neuen Workflow.

    Es wird ein Workflow mit der Synchronisationsrichtung In das Zielsystem angelegt.

  4. Erstellen Sie eine neue Startkonfiguration. Nutzen Sie dabei den neu angelegten Workflow.

  5. Speichern Sie die Änderungen.
  6. Führen Sie eine Konsistenzprüfung durch.

Verwandte Themen
Related Documents

The document was helpful.

Seleziona valutazione

I easily found the information I needed.

Seleziona valutazione