Für die Synchronisation
Abbildung 4: Kommunikationsweg bei der Synchronisation
Um die Synchronisation mit einem Zielsystem zu konfigurieren, muss der One Identity Manager Daten aus dem Zielsystem auslesen. Dabei kommuniziert der One Identity Manager direkt mit dem Zielsystem. Mitunter ist der direkte Zugriff von der Arbeitsstation, auf welcher der Synchronization Editor
Abbildung 5: Kommunikationswege bei der Konfiguration eines Synchronisationsprojekts
Um ein Zielsystem
Der One Identity Manager unterscheidet vier Schemaarten: One Identity Manager Schema
Wie zwei Schemas aufeinander abgebildet werden, wird in Mappings
Abbildung 6: Abbildung der Schemas
| Begriff | Erläuterung |
|---|---|
| Schema | Datenmodell eines verbundenen Systems. Das Schema beschreibt alle aus dem verbundenen System stammenden Daten.
Der One Identity Manager unterscheidet vier Schemaarten: One Identity Manager Schema, Zielsystemschema, Konnektorschema, erweitertes Schema. |
| One Identity Manager Schema | Datenmodell des One Identity Manager. |
| Zielsystemschema | Datenmodell eines konkreten Zielsystems. |
| Konnektorschema | Der SystemkonnektorSoftware-Zugriffsschicht zu einem verbundenen System. erweitert das Zielsystemschema um zusätzliche Informationen, die für die Abbildung im Synchronization EditorWerkzeug des One Identity Manager, mit dem SynchronisationenVorgang des Datenabgleichs zwischen der One Identity Manager Datenbank und einem Zielsystem. Es werden Objekte und ihre Eigenschaften nach festgelegten Regeln angeglichen. Das Ergebnis der Synchronisation ist eine identische Datensituation im Zielsystem und der One Identity Manager Datenbank. für Zielsysteme konfiguriert werden können. erforderlich sind. Dazu gehören
Liefert ein Zielsystem kein eigenes Schema, erzeugt der Systemkonnektor das Konnektorschema auf Basis der eingelesenen Datenstruktur, wie beispielsweise beim Import von CSV-Dateien durch den CSV Konnektor |
| Erweitertes SchemaEin Schema kann im Synchronization Editor benutzerspezifisch angepasst werden, beispielsweise um die Abbildung von komplexen Schemaeigenschaften zu ermöglichen oder zu vereinfachen. Das angepasste Schema wird als "erweitertes Schema" bezeichnet. |
Ein Schema kann im Synchronization Editor benutzerspezifisch angepasst werden, beispielsweise um die Abbildung von komplexen Schemaeigenschaften zu ermöglichen oder zu vereinfachen. Dazu gibt es folgende Möglichkeiten:
Das angepasste Schema wird als "erweitertes Schema" bezeichnet. |
| SchematypDefinition eines Objekttyps innerhalb eines Schemas. Bezieht sich auf genau eine Tabelle oder View des datenbankbasierten Schemas beziehungsweise auf genau einen Objekttyp des nicht-datenbankbasierten Schemas. |
Definition eines Objekttyps innerhalb eines Schemas. Ein Schematyp bezieht sich auf genau eine Tabelle oder View des datenbankbasierten Schemas beziehungsweise auf genau einen Objekttyp des nicht-datenbankbasierten Schemas. |
| SchemaklasseTeilmenge eines Schematyps. Die Ergebnisliste eines Schematyps wird nach definierten Kriterien gefiltert. Beispiel: Active Directory Kontakte sind Active Directory Benutzerkonten mit der Eigenschaft Objektklasse = 'CONTACT'. |
Teilmenge eines Schematyps. Die Ergebnisliste eines Schematyps wird nach definierten Kriterien gefiltert. Die Menge der ermittelten Objekte wird somit eingeschränkt.
Beispiel: Active Directory Kontakte (Schemaklasse) sind Active Directory Benutzerkonten (Schematyp) mit der Eigenschaft Objektklasse = 'CONTACT' (Filterkriterium). |
| SchemaeigenschaftEigenschaft eines Schematyps. Bezieht sich auf genau eine Spalte einer Tabelle oder View des datenbankbasierten Schemas beziehungsweise auf genau eine Eigenschaft eines Objekttyps des nicht-datenbankbasierten Schemas. |
Eigenschaft eines Schematyps. Eine Schemaeigenschaft bezieht sich auf genau eine Spalte einer Tabelle oder View des datenbankbasierten Schemas beziehungsweise auf genau eine Eigenschaft eines Objekttyps des nicht-datenbankbasierten Schemas. Es werden zwei Arten von Schemaeigenschaften unterschieden:
|
| Virtuelle SchemaeigenschaftEigenschaft einer Schemaklasse, die der Systemkonnektor oder der Benutzer hinzugefügt hat. |
Eigenschaft einer Schemaklasse, die der Systemkonnektor oder der Benutzer hinzugefügt hat.
Virtuelle Schemaeigenschaften erweitern das zugrundeliegende Schema um zusätzliche Informationen, die für das Mapping benötigt werden. Mit virtuellen Schemaeigenschaften können sowohl Kombinationen von Schemaeigenschaften als auch Ergebnisse beliebiger Verarbeitungsschritte als Schemaeigenschaften dargestellt werden. |
| Object-Matching-RegelGibt an, wie ein konkretes Objekt einer Schemaklasse eines Zielsystems zu einem konkreten Objekt einer Schemaklasse des One Identity Manager Schemas in Beziehung zu setzen ist. Eine Object-Matching-Regel erfasst die Schemaeigenschaft des Zielsystems, anhand der die Zielsystemobjekte eindeutig identifiziert werden können. Es wird zwischen primären und alternativen Object-Matching-Regeln unterschieden. |
Gibt an, wie ein konkretes Objekt einer Schemaklasse des Zielsystems zu einem konkreten Objekt einer Schemaklasse des One Identity Manager in Beziehung zu setzen ist. Eine Object-Matching-Regel erfasst die Schemaeigenschaft des Zielsystems, anhand der die Zielsystemobjekte eindeutig identifiziert werden können. |
| Property-Mapping-RegelBeschreibt, wie eine Schemaeigenschaft des Zielsystems im One Identity Manager Schema abgebildet wird. |
Beschreibt, wie eine Schemaeigenschaft des Zielsystems im Schema des One Identity Manager abgebildet wird. |
Im Synchronization Editor
| Filter | Beschreibung |
|---|---|
| SystemfilterWird genutzt, um die Menge der zu synchronisierenden Objekte direkt im verbundenen SystemSystem, in welches die Objekte und ihre Eigenschaften während einer Synchronisation übertragen werden. Das verbundene System wird durch die Synchronisationsrichtung festgelegt. Beispiel für die Synchronisationsrichtung "In das Zielsystem" (One Identity Manager -> Active Directory): Hier ist Active Directory das verbundene System und One Identity Manager das primäre System der Synchronisation. einzuschränken. Der Konnektor lädt nur die Objekte, die über diesen Filter ermittelt werden. |
Der Filter schränkt die Menge der zu ladenden Objekte direkt im verbundenen System ein. Er ist effektiver als der ObjektfilterFilter, über den die bereits geladene Objektliste eingeschränkt werden kann. Es können alle Schemaeigenschaften des Schemas (auch virtuelle) als Filterkriterium genutzt und über logische Operatoren verknüpft werden. und die ObjektbestimmungFilter, über den die Menge der zu synchronisierenden Objekte eingeschränkt werden kann. Beispielsweise werden die Systemobjekte einer Active Directory Domäne auf einen Container eingeschränkt. Es können auch Einzelobjekte gefiltert werden., da der SystemkonnektorSoftware-Zugriffsschicht zu einem verbundenen System. nur die tatsächlich benötigten Objekte lädt. Logische Verknüpfungen mehrerer Filterkriterien sind nicht möglich.
Der Filter wird in systemspezifischer Notation angegeben, beispielsweise als LDAP-Filter für ein LDAP-System. Folgende verbundene Systeme unterstützen Systemfilter: Active Directory, LDAP, One Identity Manager-Datenbanken. |
| Eine spezielle Form des Systemfilters ist der HierarchiefilterWird genutzt, um die Menge der zu ladenden Objekte direkt im Zielsystem einzuschränken. Er wird auf Basis der realen strukturgebenden Objekte des Zielsystems aufgebaut. Der Filter kann zur Definition des Scope eingesetzt werden.. Der Hierarchiefilter wird auf Basis der realen Objekte des Zielsystems aufgebaut. Aus der Objekthierarchie werden alle Objekte ausgewählt, die durch den Filter erfasst werden sollen.
Der Hierarchiefilter kann bei der Definition des Scopes einiger Zielsysteme eingesetzt werden. | |
| Objektfilter | Der Filter wirkt auf die bereits geladenen Objekte. Es können alle Schemaeigenschaften des Schemas als Filterkriterium genutzt und über logische Operatoren verknüpft werden.
Der Filter wird als Abfrage auf die geladenen Objekte formuliert. Er kann bei der Definition des Scope und von virtuellen Schemaeigenschaften eingesetzt werden. |
| Objektbestimmung | Der Filter wirkt auf die bereits geladenen Objekte. Es können alle Schemaeigenschaften des Schemas als Filterkriterium genutzt und über logische Operatoren verknüpft werden. Damit der Filter auch bei der ProvisionierungAktuelle Änderungen eines Objekts in der One Identity Manager Datenbank (Einfügen, Ändern, Löschen) werden sofort in das ZielsystemEine Instanz eines Zielsystemtyps, in dem die vom One Identity Manager verwalteten Personen Zugriff auf Netzwerkressourcen besitzen. Beispiele: eine Active Directory Domäne X für den Zielsystemtyp „Active Directory“, ein Verzeichnis Y für den Zielsystemtyp „LDAP“, ein Mandant Z für den Zielsystemtyp „SAP R/3“ geschrieben. von Einzelobjekten das gewünschte Ergebnis liefert, müssen zusätzlich die Filterkriterien des Systemfilters in die Filterbedingung aufgenommen werden.
Der Filter wird als Abfrage auf die geladenen Objekte formuliert. Er kann bei der Definition von Schemaklassen eingesetzt werden. |
| Revisionsfilter | Der Filter ermittelt alle Objekte, die seit der letzten Synchronisation geändert wurden. Maßgebend dafür ist die Änderung der Revisionseigenschaft.
Der Filter kann an Workflows und Startkonfigurationen zugelassen werden. |
Um die Vorteile der verschiedenen Filter auszunutzen, empfiehlt es sich Systemfilter und Objektfilter/Objektbestimmung zu kombinieren.
Wenn in einer Synchronisationskonfiguration Filter für Scope, Schemaklassen und virtuelle Schemaeigenschaften definiert sind und die Revisionsfilterung
Abbildung 7: Wirkung der Filter
In den Filterbedingungen können Variablen verwendet werden. Dadurch kann ein und dasselbe Synchronisationsprojekt zur Synchronisation verschiedener Zielsysteme oder zur Synchronisation verschiedener Objekte eines Zielsystems genutzt werden.
Der Scope
Beispiel:
Die Active Directory Domänen "xyz" und "uvw" werden mit dem One Identity Manager verwaltet. Aus der Active Directory Domäne "xyz" sollen die Container "abc", "def" und "ghi" synchronisiert werden. Für die Zielsystemverbindung und die One Identity Manager-Datenbankverbindung
Abbildung 8: Beispiel für eine Scopedefinition
Um einen Scope festzulegen, werden Systemfilter
Einige Zielsysteme bieten eine zusätzliche Möglichkeit, um den Scope festzulegen: den Hierarchiefilter
Ein vollständig definierter Hierarchiefilter kann in eine Variable umgewandelt werden. Damit kann der Filter in einem spezialisierten Variablenset
In der One Identity Manager-Datenbank können Referenzen zu Objekten verschiedener Zielsysteme abgebildet werden. Damit diese Referenzen aufgelöst werden können, muss bei der Synchronisation eines Zielsystems der Scope auf die referenzierten Zielsysteme ausgedehnt werden. Dazu kann für jede Systemverbindung zusätzlich ein Referenzscope
Wenn kein Referenzscope definiert ist, wird der allgemeine Scope auch für die Referenzauflösung genutzt.
Die Active Directory Domänen "xyz" und "uvw" befinden sich in einer Vertrauensstellung. Benutzerkonten aus beiden Domänen sind Mitglieder in Active Directory Gruppen der Active Directory Domäne "xyz". Damit bei der Synchronisation der Gruppenmitgliedschaften die referenzierten Benutzerkonten der Domäne "uvw" zugeordnet werden können, wird ein Referenzscope definiert. Im Referenzscope ist festgelegt, dass referenzierte Objekte auch in der Active Directory Domäne "uvw" gesucht werden sollen.
Wenn kein Referenzscope definiert ist, werden bei der Synchronisation der Gruppenmitgliedschaften der Active Directory Domäne "xyz" für die Benutzerkonten der Active Directory Domäne "uvw" die Active Directory SIDs ermittelt und im Synchronisationspuffer
© 2024 One Identity LLC. ALL RIGHTS RESERVED. 使用条款 隐私 Cookie Preference Center
