Object-Matching-Regeln ordnen die Schemaeigenschaften zu, über die Systemobjekte eindeutig identifiziert werden können. Beispielsweise können Active Directory Gruppen über die Schemaeigenschaften DistinguishedName und ObjectGUID eindeutig identifiziert werden.
Object-Matching-Regeln können aus Property-Mapping-Regeln erstellt oder neu angelegt werden. Wenn die Systemobjekte nur über mehrere Schemaeigenschaften eindeutig identifiziert werden können, können verschiedene Property-Mapping-Regeln über logische Operatoren zu einer Object-Matching-RegelGibt an, wie ein konkretes Objekt einer SchemaklasseTeilmenge eines Schematyps. Die Ergebnisliste eines Schematyps wird nach definierten Kriterien gefiltert. Beispiel: Active Directory Kontakte sind Active Directory Benutzerkonten mit der Eigenschaft Objektklasse = 'CONTACT'. eines Zielsystems zu einem konkreten Objekt einer Schemaklasse des One Identity Manager Schemas in Beziehung zu setzen ist. Eine Object-Matching-Regel erfasst die SchemaeigenschaftEigenschaft eines Schematyps. Bezieht sich auf genau eine Spalte einer Tabelle oder View des datenbankbasierten Schemas beziehungsweise auf genau eine Eigenschaft eines Objekttyps des nicht-datenbankbasierten Schemas. des Zielsystems, anhand der die Zielsystemobjekte eindeutig identifiziert werden können. Es wird zwischen primären und alternativen Object-Matching-Regeln unterschieden. verknüpft werden.
HINWEIS: Die Anwendung solcher Object-Matching-Regeln kann die SynchronisationVorgang des Datenabgleichs zwischen der One Identity Manager Datenbank und einem Zielsystem. Es werden Objekte und ihre Eigenschaften nach festgelegten Regeln angeglichen. Das Ergebnis der Synchronisation ist eine identische Datensituation im Zielsystem und der One Identity Manager Datenbank. verlangsamen. Nutzen Sie stattdessen eine virtuelle Schemaeigenschaft, um die für das Matching benötigten Schemaeigenschaften zu verknüpfen, und erstellen Sie eine Object-Matching-Regel mit der virtuellen Schemaeigenschaft.
Sind mehrere Object-Matching-Regeln eingerichtet, werden diese in der Reihenfolge ausgeführt, in der sie in der Regelansicht aufgelistet sind. Die oberste Regel ist die primäre Regel, alle weiteren werden als alternative Regeln bezeichnet. Wenn ein SystemobjektObjekt aus dem ZielsystemEine Instanz eines Zielsystemtyps, in dem die vom One Identity Manager verwalteten Personen Zugriff auf Netzwerkressourcen besitzen. Beispiele: eine Active Directory Domäne X für den Zielsystemtyp „Active Directory“, ein Verzeichnis Y für den Zielsystemtyp „LDAP“, ein Mandant Z für den Zielsystemtyp „SAP R/3“. Ein Systemobjekt gehört immer zu einer Schemaklasse. durch die primäre Regel eindeutig identifiziert werden konnte, werden die alternativen Regeln nicht ausgeführt. Wenn kein Systemobjekt durch die primäre Regel identifiziert werden konnte, wendet der One Identity Manager die nächste alternative Regel an, um ein passendes Systemobjekt zu ermitteln. Wird durch keine der Regeln ein passendes Systemobjekt identifiziert, dann hat das Objekt keinen Partner und wie als neu oder gelöscht behandelt.
Beispiel
Für das MappingListe von Objekt-Matching- und Property-Mapping-Regeln, nach denen die Schemaeigenschaften zweier verbundener Systeme aufeinander abgebildet werden. von Active Directory Gruppen sind folgende Object-Matching-Regeln definiert:
- Object GUID <-> Object-Guid (primäre Regel)
- Distinguished name <-> Obj-Dist-Name (alternative Regel)
- Object SID <-> Object-Sid (alternative Regel Nr. 2)
Die Eigenschaften einer Active Directory Gruppe wurden im One Identity Manager geändert. Bei der ProvisionierungAktuelle Änderungen eines Objekts in der One Identity Manager Datenbank (Einfügen, Ändern, Löschen) werden sofort in das Zielsystem geschrieben. versucht der Active Directory Konnektor die Gruppe im Zielsystem über die Object GUID zu identifizieren. Es wird kein Objekt mit dieser Object GUID gefunden. Daher wird die alternative Object-Matching-Regel angewendet. Der Konnektor identifiziert ein Objekt mit demselben Distinguished name und aktualisiert dieses Objekt im Zielsystem.
HINWEIS:
-
Object-Matching-Regeln müssen Schemaeigenschaften verwenden, die lesbar sind. Schemaeigenschaften, die nur schreibbar sind, sind für die Identifikation der Systemobjekte nicht geeignet.
-
Schemaeigenschaften, die zur Identifikation der Systemobjekte genutzt werden, müssen einen Wert enthalten. Enthält eine der Schemaeigenschaften einen Leerwert, wird die Object-Matching-Regel ignoriert und die nächste alternative Regel angewendet.
-
Werden mehrere Systemobjekte gefunden, die das Matching-Kriterium erfüllen, erscheint eine Meldung im Synchronisationsprotokoll. Diese Objekte werden bei der weiteren Verarbeitung ignoriert.
Wenn mehrere Systemobjekte gefunden werden, liegen entweder in den verbundenen Systemen fehlerhafte Daten vor oder das Matching-Kriterium ist nicht eindeutig. Bereinigen Sie die Daten in den verbundenen Systemen und passen Sie die Object-Matching-Regeln an.