Für das einzelner Schemaeigenschaften kann es erforderlich sein, eins der verbundenen Systeme als Datenmaster festzulegen. Die Property-Mapping-Regeln für diese Schemaeigenschaften haben eine , die nur in eine Richtung zeigt. Wenn die Bearbeitung dieser Schemaeigenschaften in keinem der verbundenen Systeme technische eingeschränkt ist, können deren Werte auch in dem System geändert werden, das nicht der Datenmaster ist.
Wenn die Synchronisationsrichtung mit der Mappingrichtung übereinstimmt, werden diese Änderungen bei der nächsten Synchronisation überschrieben.
Wenn die Synchronisationrichtung der Mappingrichtung entgegengesetzt ist, entstehen inkonsistente Daten, die durch die Synchronisation nicht korrigiert werden, da die Property-Mapping-Regeln nicht ausgeführt werden. Solche Änderungen gelten als "unzulässige Änderungen". Dabei wird als Änderung jede Differenz zwischen den Objekteigenschaften der verbundenen Systeme betrachtet, unabhängig davon, in welchem System das Objekt tatsächlich geändert wurde.
Unzulässige Änderungen können bei der Synchronisation erkannt (Rogue Detection), protokolliert und korrigiert (Rogue Correction) werden. Das entsprechende Verhalten konfigurieren Sie an den Property-Mapping-Regeln.
Voraussetzungen
Um unzulässige Änderungen zu erkennen und zu protokollieren
Um unzulässige Änderungen zu korrigieren
- Aktivieren Sie an der Property-Mapping-Regel zusätzlich Unzulässige Änderungen korrigieren.
HINWEIS: Unzulässige Änderungen können nur dann korrigiert werden, wenn die Schemaeigenschaft, die durch diese Korrektur geändert werden soll, schreibbar ist.
Ablauf der Synchronisation mit Änderungserkennung
-
Eine Property-Mapping-Regel, deren Mappingrichtung der aktuellen Synchronisationsrichtung entgegengesetzt ist, wird identifiziert.
-
Wenn Unzulässige Änderungen erkennen aktiviert ist, prüft der One Identity Manager die vorhandenen Objekte der verbundenen Systeme auf unzulässige Änderungen. Unzulässige Änderungen werden protokolliert.
Das Protokoll kann nach der Synchronisation ausgewertet werden. Weitere Informationen finden Sie unter Auswerten der Synchronisation.
-
Wenn Unzulässige Änderungen korrigieren aktiviert ist, führt der One Identity Manager die Property-Mapping-Regel aus. Die Objekteigenschaft im verbundenen System wird mit dem Wert aus dem Datenmaster überschrieben.
HINWEIS: Unzulässige Änderungen werden auch bei der von Objektänderungen behandelt.
Die Änderungserkennung kann insbesondere dann sinnvoll genutzt werden, wenn ein Synchronisations- und ein Provisionierungsworkflow konfiguriert sind, dass heißt, wenn als Synchronisationsrichtung In den One Identity Manager festgelegt ist und für einzelne Schemaeigenschaften die Mappingrichtung In das Zielsystem. Dabei werden nur Änderungen an diesen Schemaeigenschaften, die im Zielsystem vorgenommen wurden, als unzulässige Änderungen identifiziert.
Beispiel
Für die Synchronisation von Active Directory Gruppen ist die Synchronisationsrichtung In den One Identity Manager festgelegt. Die Gruppen und ihre Eigenschaften werden in der Active Directory-Umgebung erstellt, bearbeitet und gelöscht. Lediglich der Kontomanager einer Gruppe soll im One Identity Manager zugewiesen und geändert werden.
Tabelle 26: Konfiguration der Synchronisation
|
Synchronisationsrichtung: |
In den One Identity Manager |
|
Property-Mapping-Regel für die Schemaeigenschaften: |
ADSGroup.ObjectKeyManager - Group.Name of manager |
|
Mappingrichtung: |
In das Zielsystem |
|
Unzulässige Änderungen erkennen: |
aktiviert |
|
Unzulässige Änderungen korrigieren: |
aktiviert |
Durch die Synchronisation werden neue Gruppen im One Identity Manager angelegt. Im One Identity Manager wird ein Kontomanager zugewiesen. Diese Änderung wird in die Zielsystem-Umgebung provisioniert.
Für die Bearbeitung des Kontomanagers gibt es im Zielsystem keine technische Einschränkung. Wenn der Kontomanager in der Active Directory-Umgebung geändert wird, entsteht eine Datendifferenz, also eine unzulässige Änderung. Bei einer erneuten Synchronisation wird diese Änderungen erkannt, protokolliert und rückgängig gemacht. Dabei wird die Property-Mapping-Regel ausgeführt und der Wert im Zielsystem mit dem Wert aus der One Identity Manager-Datenbank überschrieben.
Es kann sinnvoll sein, die Änderungserkennung zusammen mit der Option Einschränkung der Mappingrichtung bei der Neuanlage ignorieren zu nutzen. Wie im Beispiel wird in der Active Directory-Umgebung eine neue Gruppe angelegt. Dabei wird initial ein Kontomanager zugewiesen.
Durch die Synchronisation wird die Gruppe im One Identity Manager angelegt, der Kontomanager bleibt jedoch leer, da die Property-Mapping-Regel nicht ausgeführt wird.
Noch bevor im One Identity Manager der Kontomanager zugewiesen wird, wird die Active Directory-Umgebung erneut synchronisiert. Dabei wird eine unzulässige Änderung erkannt (Leerwert in der Datenbank - zugewiesener Kontomanager im Zielsystem). Daraufhin wird der Wert im Zielsystem korrigiert und so der Kontomanager im Zielsystem gelöscht.
Um solche Situationen zu vermeiden, aktivieren Sie die Option Einschränkung der Mappingrichtung bei der Neuanlage ignorieren. Dadurch wird die Property-Mapping-Regel für den Kontomanager bereits beim Anlegen der Gruppe ausgeführt und der Kontomanager in der Datenbank zugewiesen. Bei der darauffolgenden Synchronisation wird keine unzulässige Änderung erkannt, da der Kontomanager in beiden verbundenen Systemen identisch ist.
Um eine Property-Mapping-Regel bei Neuanlage auszuführen
Verwandte Themen
Quelle für die im One Identity Manager verwalteten Benutzerdaten und Berechtigungen können verschiedene Systeme sein. Beispielsweise sollen die Benutzerkonten einer SAP R/3-Umgebung im One Identity Manager verwaltet werden. Die zugehörigen Personendaten werden jedoch über den CSV-Konnektor aus einem anderen System in die Datenbank importiert.
Der CSV-Import kann dazu führen, dass Objekte geändert werden, die aus der mit einem anderen stammen. Beispielsweise ändern sich aufgrund von Bildungsregeln der Vor- und Nachname eines SAP Benutzerkontos, wenn sich durch den CSV-Import der Vor- und Nachname einer Person ändern. Die Änderungen am SAP Benutzerkonto sollen in diesem Fall sofort in die SAP R/3-Umgebung provisioniert werden. Zur Veranschaulichung werden die angebundenen Zielsysteme im Folgenden als "primäre Systeme" bezeichnet; die Systeme, deren Daten über den CSV-Konnektor synchronisiert werden, als "sekundäre Systeme".
Abbildung 12: Beispiel für die Synchronisation von Benutzerdaten mit verschiedenen Zielsystemen
An den kann angegeben werden, ob die Daten aus einem sekundären System stammen. In diesem Fall, werden Änderungen sofort (noch während der Synchronisation) in die primären Systeme provisioniert. Umgekehrt dürfen die Provisionierungsprozesse nicht starten, wenn die primären Systeme synchronisiert werden.
Um die sofortige bei der Synchronisation eines sekundären Systems zu konfigurieren
- Öffnen Sie das des sekundären Systems.
Weitere Informationen finden Sie unter Vorgehen: Synchronisationsprojekt bearbeiten.
- Bearbeiten Sie die Eigenschaften der Synchronisationsschritte.
Aktivieren Sie auf dem Tabreiter Allgemein die Option Datenimport.
Weitere Informationen finden Sie unter Vorgehen: Synchronisationsschritte bearbeiten.
HINWEIS: Um die sofortige Provisionierung bei der Synchronisation eines primären Systems zu verhindern, öffnen Sie das Synchronisationsprojekt des primären Systems und deaktivieren Sie in den Synchronisationsschritten die Option Datenimport!
Wenn die Option Datenimport aktiviert ist, wird die Session-Variable FullSync=FALSE gesetzt. Wenn die Option deaktiviert ist, wird die Session-Variable FullSync=TRUE gesetzt. Verschiedene Prozesse, Skripte und Bildungsregeln in der One Identity Manager-Datenbank werden nur ausgeführt, wenn FullSync=FALSE gesetzt ist. Das heißt in diesem Zusammenhang, sie werden nur bei der Synchronisation mit einem sekundären System ausgeführt. Bei der Synchronisation mit einem primären System werden diese Prozesse, Skripte und Bildungsregeln ignoriert.
Verwandte Themen
Um Objekte, die im nicht vorhanden sind, durch die im One Identity Manager zu löschen, stehen zwei Möglichkeiten zur Verfügung.
- Die Objekte werden sofort bei der Synchronisation gelöscht.
Welche Objekte gelöscht wurden, ist im Synchronisationsprotokoll ersichtlich.
HINWEIS: Mitgliedschaften, die aufgrund einer Vererbung bestehen, können nicht sofort gelöscht werden. Sie werden immer als ausstehend markiert.
- Die Objekte werden bei der Synchronisation als ausstehend markiert.
Ausstehende Objekte müssen im One Identity Manager nachbearbeitet werden. Sie können dabei gelöscht oder in das Zielsystem publiziert werden. Damit kann verhindert werden, dass Objekte aufgrund einer fehlerhaften Datensituation oder einer fehlerhaften Synchronisationskonfiguration gelöscht werden.
Ausstehende Objekte
-
können im One Identity Manager nicht bearbeitet werden,
-
werden bei jeder weiteren Synchronisation ignoriert,
-
werden bei der Vererbungsberechnung ignoriert.
Das heißt, sämtliche Mitgliedschaften und Zuweisungen bleiben solange erhalten, bis die ausstehenden Objekte nachbearbeitet wurden.
Um Objekte im One Identity Manager sofort zu löschen
- Bearbeiten Sie die Eigenschaften der .
Weitere Informationen finden Sie unter Vorgehen: Synchronisationsschritte bearbeiten.
- Wählen Sie den Tabreiter Verarbeitung.
- Legen Sie die Verarbeitungsmethoden fest. Wählen Sie:
| Objekte, die nur im One Identity Manager vorhanden sind: |
Delete |
Um Objekte im One Identity Manager als ausstehend zu markieren
- Bearbeiten Sie die Eigenschaften der Synchronisationsschritte.
Weitere Informationen finden Sie unter Vorgehen: Synchronisationsschritte bearbeiten.
- Wählen Sie den Tabreiter Verarbeitung.
- Legen Sie die Verarbeitungsmethoden fest. Wählen Sie:
| Objekte, die nur im One Identity Manager vorhanden sind: |
MarkAsOutstanding |
Ausstehende Objekte können solange nicht im One Identity Manager bearbeitet werden, bis sie überprüft wurden. Sie werden bei jeder weiteren Synchronisation ignoriert.
Um ausstehende Objekte im One Identity Manager zu löschen
- Starten Sie den Manager.
- Wählen Sie die Kategorie <> | : <Zielsystemtyp> | <Tabelle>.
- Wählen Sie die Objekte aus, die Sie löschen möchten. Mehrfachauswahl ist möglich.
- Klicken Sie
.
- Bestätigen Sie die Sicherheitsabfrage mit Ja.
Die ausgewählten Objekte werden sofort in der One Identity Manager-Datenbank gelöscht. Eine Löschverzögerung wird nicht berücksichtigt. Die Markierung "Ausstehend" wird für diese Objekte entfernt.
Verwandte Themen
Während ein bearbeitet wird, stehen alle Schemadaten (Schematypen und Schemaeigenschaften) des Zielsystemschemas und des One Identity Manager Schemas zur Verfügung. Für eine Synchronisationskonfiguration wird jedoch nur ein Teil dieser Daten benötigt. Wenn ein Synchronisationsprojekt fertig gestellt wird, werden die Schemas komprimiert, um die nicht benötigten Daten aus dem Synchronisationsprojekt zu entfernen. Dadurch kann das Laden des Synchronisationsprojekts beschleunigt werden.
Um das Schema einer Systemverbindung zu komprimieren
- Wählen Sie die Kategorie Konfiguration | .
- ODER -
Wählen Sie die Kategorie Konfiguration | One Identity Manager Verbindung.
- Klicken Sie in der Ansicht Allgemein Schema komprimieren....
- Markieren Sie alle Schematypen, die nicht entfernt werden sollen.
Diese Schematypen bleiben erhalten und können in der Synchronisationskonfiguration weiter verwendet werden.
- Klicken Sie OK.
Die entfernten Schemadaten können zu einem späteren Zeitpunkt wieder in das Synchronisationsprojekt aufgenommen werden. Dazu muss das jeweilige Schema aktualisiert werden.
Verwandte Themen
