Wie funktioniert die Abhängigkeitsauflösung

Wie funktioniert die Abhängigkeitsauflösung

Zwischen den Schemaklassen können Abhängigkeiten bestehen, die es erfordern, dass Synchronisationsschritte mehrfach ausgeführt werden. Beispielsweise können Objektreferenzen erst gesetzt werden, wenn das referenzierte Objekt angelegt wurde. Ebenso können Abhängigkeiten zwischen den Schemaeigenschaften innerhalb einer SchemaklasseTeilmenge eines Schematyps. Die Ergebnisliste eines Schematyps wird nach definierten Kriterien gefiltert. Beispiel: Active Directory Kontakte sind Active Directory Benutzerkonten mit der Eigenschaft Objektklasse = 'CONTACT'. bestehen.

Abbildung 9: Beispiel für einen WorkflowZusammenstellung aller auszuführenden Synchronisationsschritte. mit abhängigen Schemaklassen und Schemaeigenschaften

Der One Identity Manager kann solche Abhängigkeiten automatisch auflösen. Dabei werden die Synchronisationsschritte so zusammengestellt, dass zuerst die referenzierten Objekte und danach alle abhängigen Objekte synchronisiert werden. Wenn Abhängigkeiten innerhalb einer Schemaklasse bestehen, werden zusätzliche Synchronisationsschritte eingefügt, um die abhängigen Schemaeigenschaften zu synchronisieren. Die endgültige Reihenfolge der Synchronisationsschritte kann im Bericht "Ausführungsplan" eingesehen werden.

Abbildung 10: Beispiel für einen Workflow mit automatischer Abhängigkeitsauflösung

Um die automatische Abhängigkeitsauflösung einzurichten

• Bearbeiten Sie die Eigenschaften des Workflows. Wählen Sie:

  Abhängigkeitsauflösung:

  Automatisch

  Weitere Informationen finden Sie unter Vorgehen: Workflow bearbeiten.

Nutzen Sie standardmäßig die automatische Abhängigkeitsauflösung. Nur wenn damit einzelne Abhängigkeiten nicht aufgelöst werden können, wählen Sie die manuelle Abhängigkeitsauflösung. Das könnte beispielsweise notwendig sein, wenn sich zwei Objekte gegenseitig als Pflichteigenschaft referenzieren.

Um Abhängigkeiten manuell aufzulösen

1. Ermitteln Sie die Schemaeigenschaften, zwischen denen Abhängigkeiten bestehen.
2. Erstellen Sie einen Workflow mit Synchronisationsschritten, die folgende Kriterien berücksichtigen:
   1. Synchronisationsschritte, die nicht abhängige und referenzierte Objekte synchronisieren.

      Dabei müssen Property-MappingListe von Objekt-Matching- und Property-Mapping-Regeln, nach denen die Schemaeigenschaften zweier verbundener Systeme aufeinander abgebildet werden.-Regeln für abhängige Schemaeigenschaften ausgeschlossen werden.

   2. Synchronisationsschritte, die abhängige Objekte referenzieren.

      Dabei müssen Property-Mapping-Regeln für abhängige Schemaeigenschaften eingeschlossen werden.

3. Legen Sie die Reihenfolge der Synchronisationsschritte so fest, dass zuerst alle Synchronisationsschritte für a) und danach alle Synchronisationsschritte für b) ausgeführt werden.
4. Bearbeiten Sie die Eigenschaften des Workflows. Wählen Sie:

   Abhängigkeitsauflösung:

   Manuell

   Weitere Informationen finden Sie unter Vorgehen: Workflow bearbeiten.

Verwandte Themen

• Ausführungsplan anzeigen
• Eigenschaften eines Workflows
• Regelfilter
• Synchronisationsschritte bearbeiten

Nicht-auflösbare Referenzen

Nicht-auflösbare Referenzen

Wenn ein referenziertes Objekt nicht in der One Identity Manager-Datenbank existiert, kann die Objektreferenz bei der SynchronisationVorgang des Datenabgleichs zwischen der One Identity Manager Datenbank und einem ZielsystemEine Instanz eines Zielsystemtyps, in dem die vom One Identity Manager verwalteten Personen Zugriff auf Netzwerkressourcen besitzen. Beispiele: eine Active Directory Domäne X für den Zielsystemtyp „Active Directory“, ein Verzeichnis Y für den Zielsystemtyp „LDAP“, ein Mandant Z für den Zielsystemtyp „SAP R/3“. Es werden Objekte und ihre Eigenschaften nach festgelegten Regeln angeglichen. Das Ergebnis der Synchronisation ist eine identische Datensituation im Zielsystem und der One Identity Manager Datenbank. nicht aufgelöst werden. Nicht-auflösbare Objektreferenzen werden in einen SynchronisationspufferTabelle des One Identity Manager, in der Informationen über referenzierte Objekte gespeichert sind, die bei einer Synchronisation nicht zugeordnet werden konnten. geschrieben (Tabelle DPRAttachedDataStore). Damit ist sicher gestellt, dass diese Referenzen erhalten bleiben und bei der ProvisionierungAktuelle Änderungen eines Objekts in der One Identity Manager Datenbank (Einfügen, Ändern, Löschen) werden sofort in das Zielsystem geschrieben. im Zielsystem nicht gelöscht werden.

Beispiel:

Eine Active Directory Gruppe hat einen Kontomanager, der einer Domäne angehört, die im aktuellen Synchronisationslauf nicht synchronisiert wird. Der Kontomanager ist auch in der One Identity Manager-Datenbank nicht vorhanden.

Bei der Synchronisation wird kein Kontomanager zugeordnet. Damit die Zuordnung erhalten bleibt, wird die Objektreferenz mit dem definierten Namen des Kontomanagers im Synchronisationspuffer gespeichert.

Bei jeder Synchronisation versucht der One Identity Manager den Synchronisationspuffer zu bereinigen. Wenn die referenzierten Objekte in der One Identity Manager-Datenbank vorhanden sind, können die Referenzen aufgelöst und die Einträge aus dem Synchronisationspuffer gelöscht werden. Wann der Synchronisationspuffer bereinigt wird, ist abhängig von der Art der Synchronisation (mit oder ohne RevisionsfilterFiltert alle Systemobjekte, deren Daten seit der letzten Synchronisation nicht geändert wurden. Maßgebend dafür ist die Änderung der Revisionseigenschaft. Mit der Revisionsfilterung kann die Synchronisation beschleunigt werden.) und vom Wartungsmodus.

Für die Auflösung der Objektreferenzen kann die Anzahl der Wiederholversuche angegeben werden. Mehrere Wiederholungen können beispielsweise erforderlich sein für Objekte, die eine mehrstufige Hierarchie abbilden. Mit jedem Wiederholversuch kann jeweils eine Hierarchieebene für ein Objekt aufgelöst werden.

Um den Wartungsmodus einzustellen

• Bearbeiten Sie die Eigenschaften der StartkonfigurationLegt fest, welche Komponenten der Synchronisationskonfiguration für eine konkrete Synchronisation genutzt werden. Bestimmt den Zeitplan der Synchronisation.. Wählen Sie den Tabreiter Wartung.

  Weitere Informationen finden Sie unter Vorgehen: Startkonfigurationen bearbeiten.

Verwandte Themen

• Wartungsmodi

Synchronisationsrichtung und Mappingrichtung

Synchronisationsrichtung und Mappingrichtung

Für die SynchronisationVorgang des Datenabgleichs zwischen der One Identity Manager Datenbank und einem ZielsystemEine Instanz eines Zielsystemtyps, in dem die vom One Identity Manager verwalteten Personen Zugriff auf Netzwerkressourcen besitzen. Beispiele: eine Active Directory Domäne X für den Zielsystemtyp „Active Directory“, ein Verzeichnis Y für den Zielsystemtyp „LDAP“, ein Mandant Z für den Zielsystemtyp „SAP R/3“. Es werden Objekte und ihre Eigenschaften nach festgelegten Regeln angeglichen. Das Ergebnis der Synchronisation ist eine identische Datensituation im Zielsystem und der One Identity Manager Datenbank. eines Zielsystems mit dem One Identity Manager muss festgelegt werden, welches der verbundenen Systeme als Datenmaster gilt. Das Mastersystem wird in der Synchronisationskonfiguration durch die SynchronisationsrichtungRichtung, in der die Synchronisation ausgeführt wird. Durch die Synchronisationsrichtung wird das Mastersystem der Synchronisation festgelegt. festgelegt. Die Richtung, in der die Schemaeigenschaften gemappt werden sollen, kann davon abweichen. Daher muss im MappingListe von Objekt-Matching- und Property-Mapping-Regeln, nach denen die Schemaeigenschaften zweier verbundener Systeme aufeinander abgebildet werden. der Schemaeigenschaften die zulässige MappingrichtungDie für das Mapping der Schemaeigenschaften zulässige Synchronisationsrichtung. angegeben werden.

Tabelle 24: Synchronisationsrichtung

Definiert an	Synchronisationsrichtung legt fest
StartkonfigurationLegt fest, welche Komponenten der Synchronisationskonfiguration für eine konkrete Synchronisation genutzt werden. Bestimmt den Zeitplan der Synchronisation.	in welche Richtung eine konkrete Synchronisation durchgeführt wird
WorkflowZusammenstellung aller auszuführenden Synchronisationsschritte.	in welche Richtung Synchronisationen durchgeführt werden
SynchronisationsschrittKonkrete Vorschrift für die Verarbeitung genau zweier zugeordneter Schemaklassen.	bei welcher Synchronisationsrichtung der Schritt ausgeführt wird

Tabelle 25: Zulässige Mappingrichtung

Definiert an	Mappingrichtung legt fest
Mapping	bei welcher Synchronisationsrichtung die Property-Mapping-Regeln angewendet werden
Property-Mapping-RegelBeschreibt, wie eine SchemaeigenschaftEigenschaft eines Schematyps. Bezieht sich auf genau eine Spalte einer Tabelle oder View des datenbankbasierten Schemas beziehungsweise auf genau eine Eigenschaft eines Objekttyps des nicht-datenbankbasierten Schemas. des Zielsystems im One Identity Manager SchemaDatenmodell eines verbundenen Systems. Das Schema beschreibt alle aus dem verbundenen System stammenden Daten. siehe Zielsystemschema; siehe One Identity Manager Schema; siehe Konnektorschema; siehe Erweitertes Schema abgebildet wird.	bei welcher Synchronisationsrichtung diese Property-Mapping-Regel angewendet wird

Der One Identity Manager synchronisiert zwei verbundene Systeme in die Richtung, die in der Startkonfiguration oder am Workflow angegeben ist. Dabei wird ein Synchronisationsschritt nur dann ausgeführt, wenn die am Schritt festgelegte Synchronisationsrichtung mit der Richtung, in der die aktuelle Synchronisation durchgeführt wird, übereinstimmt. Wenn die am Mapping zugelassene Mappingrichtung der aktuellen Synchronisationsrichtung entspricht, werden die Systemobjekte dieser SchemaklasseTeilmenge eines Schematyps. Die Ergebnisliste eines Schematyps wird nach definierten Kriterien gefiltert. Beispiel: Active Directory Kontakte sind Active Directory Benutzerkonten mit der Eigenschaft Objektklasse = 'CONTACT'. synchronisiert. Dabei prüft der One Identity Manager, welche Property-Mapping-Regeln bei der aktuellen Synchronisationsrichtung angewendet werden dürfen. Wenn die Mappingrichtung einer Property-Mapping-Regel von der aktuellen Synchronisationsrichtung abweicht, wird diese Property-Mapping-Regel ignoriert.

Abbildung 11: Beispiel für die Wirkung der festgelegten Synchronisationsrichtung und zulässigen Mappingrichtung

Verwandte Themen

• Startkonfigurationen einrichten
• Eigenschaften eines Workflows
• Allgemeine Eigenschaften eines Synchronisationsschritts
• Eigenschaften eines Mappings
• Property-Mapping-Regeln bearbeiten

Mapping gegen die Synchronisationsrichtung

Mapping gegen die Synchronisationsrichtung

Für einzelne Schemaeigenschaften kann es erforderlich sein, den Wert einer SchemaeigenschaftEigenschaft eines Schematyps. Bezieht sich auf genau eine Spalte einer Tabelle oder View des datenbankbasierten Schemas beziehungsweise auf genau eine Eigenschaft eines Objekttyps des nicht-datenbankbasierten Schemas. bei jedem Synchronisationslauf aus dem verbundenen System in das Mastersystem der SynchronisationSystem, das als Datenmaster für eine SynchronisationVorgang des Datenabgleichs zwischen der One Identity Manager Datenbank und einem ZielsystemEine Instanz eines Zielsystemtyps, in dem die vom One Identity Manager verwalteten Personen Zugriff auf Netzwerkressourcen besitzen. Beispiele: eine Active Directory Domäne X für den Zielsystemtyp „Active Directory“, ein Verzeichnis Y für den Zielsystemtyp „LDAP“, ein Mandant Z für den Zielsystemtyp „SAP R/3“. Es werden Objekte und ihre Eigenschaften nach festgelegten Regeln angeglichen. Das Ergebnis der Synchronisation ist eine identische Datensituation im Zielsystem und der One Identity Manager Datenbank. gilt. Das Mastersystem wird durch die SynchronisationsrichtungRichtung, in der die Synchronisation ausgeführt wird. Durch die Synchronisationsrichtung wird das Mastersystem der Synchronisation festgelegt. festgelegt. zu übernehmen. In diesem Fall muss die Schemaeigenschaft auch beim Synchronisationslauf gegen die Synchronisationsrichtung gemappt werden. Dieses Verhalten kann an den Property-MappingListe von Objekt-Matching- und Property-Mapping-Regeln, nach denen die Schemaeigenschaften zweier verbundener Systeme aufeinander abgebildet werden.-Regeln konfiguriert werden.

Um das Mapping einer Schemaeigenschaft gegen die Synchronisationsrichtung zu erzwingen

• Bearbeiten Sie die Property-Mapping-RegelBeschreibt, wie eine Schemaeigenschaft des Zielsystems im One Identity Manager SchemaDatenmodell eines verbundenen Systems. Das Schema beschreibt alle aus dem verbundenen System stammenden Daten. siehe Zielsystemschema; siehe One Identity Manager Schema; siehe Konnektorschema; siehe Erweitertes Schema abgebildet wird..

  Aktivieren Sie Mapping gegen die Synchronisationsrichtung erzwingen.

  Weitere Informationen finden Sie unter Vorgehen: Property-Mapping-Regeln bearbeiten.

Property-Mapping-Regeln, bei denen diese Option aktiviert ist, werden nach Abschluss eines Synchronisationsschritts erneut ausgeführt. Dabei werden Änderungen entgegen der Synchronisationsrichtung aus dem verbundenen System in das Mastersystem der Synchronisation übertragen.

Ablauf der Synchronisation

1. Während ein SynchronisationsschrittKonkrete Vorschrift für die Verarbeitung genau zweier zugeordneter Schemaklassen. ausgeführt wird, werden alle Property-Mapping-Regeln, deren MappingrichtungDie für das Mapping der Schemaeigenschaften zulässige Synchronisationsrichtung. der Synchronisationsrichtung entgegengesetzt ist, ignoriert. Property-Mapping-Regeln, deren Mappingrichtung der Synchronisationsrichtung entspricht, werden ausgeführt.
2. Beim Abschluss des Synchronisationsschritts werden alle Änderungen im verbundenen System gespeichert.
3. Alle Property-Mapping-Regeln, an denen Mapping gegen die Synchronisationsrichtung erzwingen aktiviert ist, werden erneut ausgeführt. Für die beteiligten Schemaeigenschaften werden Änderungen aus dem verbundenen System in das Mastersystem der Synchronisation übertragen.

   Hinweis: Die Property-Mapping-Regeln werden nach Abschluss des Synchronisationsschritts auch dann erneut ausgeführt, wenn im Synchronisationsschritt keine Verarbeitungsmethoden angegeben sind.

Hinweis: Die Option Mapping gegen die Synchronisationsrichtung erzwingen wird auch bei der ProvisionierungAktuelle Änderungen eines Objekts in der One Identity Manager Datenbank (Einfügen, Ändern, Löschen) werden sofort in das Zielsystem geschrieben. von Objektänderungen berücksichtigt.

Beispiel

Eine Active Directory-Umgebung soll über den One Identity Manager verwaltet werden. Für die Synchronisation beider System gilt der One Identity Manager als Mastersystem. Die Objekt GUID der Benutzerkonten wird jedoch nicht im One Identity Manager, sondern in der Active Directory-Umgebung gebildet. Für die Objekt GUID eines Benutzerkontos gilt damit eine abweichende Mappingrichtung. Um die Objekt GUID noch während des Synchronisationslaufs aus dem Active Directory in den One Identity Manager zu übertragen, muss das Mapping gegen die Synchronisationsrichtung für diese Schemaeigenschaft erzwungen werden.

Ablauf der Synchronisation

Situation: Ein neues Active Directory Benutzerkonto wurde im One Identity Manager angelegt.

1. Das Benutzerkonto wird durch die Synchronisation im Zielsystem angelegt.
2. Die Property-Mapping-Regel für die Objekt GUID wird ignoriert, da die Mappingrichtung entgegengesetzt ist.
3. Sobald alle Property-Mapping-Regeln des Synchronisationsschritts verarbeitet wurden, wird das Benutzerkonto im Zielsystem gespeichert. Das Active Directory ermittelt einen Wert für User.ObjectGUID.
4. Nach Abschluss des Synchronisationsschritts wird die Property-Mapping-Regel für die Objekt GUID erneut ausgeführt. Die Objekt GUID wird aus dem Active Directory in den One Identity Manager übertragen.

Verwandte Themen

• Property-Mapping-Regeln bearbeiten