|
| |
| Sun Java System Identity Manager 6.0 2005Q4M3 管理指南 | |
6
数据同步与加载
本章介绍有关使用 Identity Manager 数据同步和加载功能的信息和过程。
本章中的主题
在本章中，您将更多了解以下内容：
数据同步工具：使用哪一个？按照以下准则选择 Identity Manager 数据同步工具以执行任务。
搜索Identity Manager 帐户搜索功能帮助简化快速部署和加速帐户创建任务。这些功能包括：
使用这些工具可以创建新的 Identity Manager 用户，或者将某个资源上的帐户与现有 Identity Manager 用户帐户关联。
提取到文件
使用此功能将资源帐户从资源提取到一个 XML 或 CSV 文本文件中。这样做可以在将提取数据导入 Identity Manager 之前对其进行查看和更改。
要提取帐户：
从文件加载
使用此功能将资源帐户（通过 Identity Manager 从资源提取的帐户或从另一文件源提取的帐户）加载到 Identity Manager 中。由 Identity Manager 的“提取到文件”功能创建的文件为 XML 格式的文件。如果加载一列新用户，则数据文件通常采用 CSV 格式。
关于 CSV 文件格式
通常，要加载的帐户在一个电子表格（如 Excel）中列出并以逗号分隔值 (CSV) 格式保存，以便加载到 Identity Manager 中。CSV 文件内容必须遵循下列格式准则：
第 1 行――以逗号分隔的形式列出每个字段的列标题或模式属性。
第 2 行到最后――以逗号分隔的形式列出在第 1 行中定义的每个属性的值。如果某个字段值没有数据，则该字段必须用相邻的逗号表示。
例如，一个文件的前三行可为以下形式：
在本例中，第二个用户 (Jane Doe) 没有部门。缺少的值用相邻的逗号 (,,) 表示。
要加载帐户：
- 在菜单栏中选择 Accounts，然后选择 Load from File。
Identity Manager 会显示“从文件加载”页，可使用该页指定加载选项，然后继续：
- User Form――当加载过程创建了 Identity Manager 用户时，用户表单会分配组织以及角色、资源和其他属性。选择要应用于每个资源帐户的用户表单。
- Account Correlation Rule――帐户关联规则选择可能拥有每个无拥有者资源帐户的 Identity Manager 用户。如果给定无拥有者资源帐户的属性，关联规则会返回一个名称列表或属性条件列表，用于选择潜在拥有者。选择一个规则，以查找可能拥有每个无拥有者资源帐户的 Identity Manager 用户。
- Account Confirmation Rule――帐户确认规则可将任何非拥有者从关联规则选择的潜在拥有者列表中清除。在给定某个 Identity Manager 用户和某个无拥有者的资源帐户的属性这些详细资料后，若用户拥有该帐户，则确认规则返回 true，否则返回 false。选择一个规则以测试资源帐户的每个潜在拥有者。如果选择“无确认规则”，则 Identity Manager 接受所有潜在拥有者，而不进行确认。
注 如果在您的环境中，关联规则为每个帐户选择最多一个拥有者，则您不需要确认规则。
- Load Only Matching――选择此选项可仅将与现有 Identity Manager 用户匹配的帐户加载到 Identity Manager 中。如果选择此选项，则加载将放弃任何不匹配的资源帐户。
- Update Attributes――选择该项可用加载的帐户的属性值替换当前 Identity Manager 用户的属性值。
- Merge Attributes――输入一个或多个用逗号分隔的属性名，这些属性的值应被合并（去掉重复部分）而不被覆盖。此选项仅用于列表类型的属性，例如组和邮递列表。还必须选择“更新属性”选项。
- Result Level――选择一个阈值，加载进程将在达到该阈值时为帐户记录单独结果：
- 在 "File to Upload" 字段中，指定要上载的文件，然后单击 Load Accounts。
注：
如果帐户与现有用户匹配（或关联），加载进程会将帐户合并到用户中。该进程也将通过任何不相关的输入帐户创建新的 Identity Manager 用户（除非指定“必需相关”）。
bulkAction.maxParseErrors 配置变量会设置加载文件时可发现的错误数的限制。默认情况下，限制为 10 个错误。如果发现的错误数达到了 maxParseErrors 的值，则会停止解析。
从资源加载
使用此功能可根据您指定的选项直接提取帐户并将其导入 Identity Manager。
要导入帐户，请在菜单栏中选择 Accounts，然后选择 Load from Resource。
注 Identity Manager 允许指定加载选项，然后继续。“从资源加载”页面与“从文件加载”页面中的可用加载选项及这些选项的操作结果相同。
协调使用协调功能可突出显示 Identity Manager 上的资源帐户与某个资源上实际存在的帐户之间的不一致性，并定期关联帐户数据。
因为协调专用于进行中的比较，所以它能够：
也可以将协调配置为在处理资源过程中的下列每一点处启动任意工作流：
从“资源”区域访问 Identity Manager 协调功能。“资源”列表显示每个资源上次协调的时间及其当前协调状态。
关于协调策略
协调策略允许您按资源为每个协调任务建立一组响应。您可在策略中选择运行协调的服务器、确定协调发生的频率和时间，以及设置对协调期间遇到的每种情况作出响应。可以将协调配置为检测对帐户属性进行的本机更改（不是通过 Identity Manager 进行的更改）。
编辑协调策略
要编辑协调策略：
- 在菜单栏中选择 Resources。
- 在 "Resources" 列表分层结构中选择资源。
- 在 "Resource Actions" 选项列表中选择 "Edit Reconciliation Policy"。
Identity Manager 将显示“编辑协调策略”页面，可在其中进行下列策略选择：
- Reconciliation Server――在群集环境中，每台服务器都可以运行协调。请在策略中指定哪台 Identity Manager 服务器将运行针对资源的协调。
- Reconciliation Modes――可以在不同模式下执行协调，这样能够将不同质量的结果最优化：
- Full Reconciliation Schedule――如果启用完全模式协调，则按固定的进度表自动执行协调。在策略中指定针对资源运行完全式协调的频率。选择“继承”选项从更高级别策略继承指定的进度表。
- Incremental Reconciliation Schedule――如果启用增量模式协调，则按固定的进度表自动执行协调。在策略中指定针对资源运行增量式协调的频率。选择“继承”选项从更高级别策略继承指定的进度表。
注 并非所有资源都支持增量式协调。
- Attribute-level Reconciliation――可以将协调配置为检测对帐户属性进行的本机更改（即，不是通过 Identity Manager 进行的更改）。指定协调是否应检测对协调的帐户属性中指定的属性进行的本机更改。
- Account Correlation Rule――帐户关联规则选择可能拥有每个无拥有者资源帐户的 Identity Manager 用户。如果给定无拥有者资源帐户的属性，关联规则会返回一个名称列表或属性条件列表，用于选择潜在拥有者。选择一个规则，以查找可能拥有每个无拥有者资源帐户的 Identity Manager 用户。
- Account Confirmation Rule――帐户确认规则可将任何非拥有者从关联规则选择的潜在拥有者列表中清除。在给定某个 Identity Manager 用户和某个无拥有者的资源帐户的属性这些详细资料后，若用户拥有该帐户，则确认规则返回 true，否则返回 false。选择一个规则以测试资源帐户的每个潜在拥有者。如果选择“无确认规则”，则 Identity Manager 接受所有潜在拥有者，而不进行确认。
注 如果在您的环境中，关联规则为每个帐户选择最多一个拥有者，则您不需要确认规则。
- Proxy Administrator――指定执行协调响应时使用的管理员。协调只能执行指定的代理管理员可以执行的那些操作。响应将使用与此管理员相关的用户表单（如需要）。
还可以选择“没有代理管理员”选项。如果选择了此选项，则可以查看协调结果，但不运行任何响应操作或工作流。
- 情况选项（和响应）――协调会识别若干类型的情况。在“响应”列中指定协调应执行的任何操作：
- CONFIRMED――所需帐户存在。
- DELETED――所需帐户不存在。
- FOUND――协调进程在分配的资源上找到匹配帐户。
- MISSING――分配给用户的资源上不存在匹配的帐户。
- COLLISION――两个或多个 Identity Manager 用户被分配给资源上的同一帐户。
- UNASSIGNED――协调进程在未分配给该用户的资源上找到匹配帐户。
- UNMATCHED――帐户与任何用户都不匹配。
- DISPUTED――帐户与多个用户匹配。
从这些响应选项（可用选项因情况而异）中选择一个：
- Create new Identity Manager user based on resource account――运行资源帐户属性的用户表单以创建新用户。该资源帐户不会因任何更改而被更新。
- Create resource account for Identity Manager user――使用用户表单重新生成资源帐户属性，以重新创建缺少的资源帐户。
- Delete resource account 和 Disable resource account――删除/禁用资源上的帐户。
- Link resource account to Identity Manager user 和 Unlink resource account from Identity Manager user――为用户添加或从用户删除资源帐户分配。未执行任何表单处理。
- Pre-reconciliation Workflow――可以将协调配置为在对资源进行协调之前运行用户指定的工作流。指定协调应运行的工作流。如果没有要运行的工作流，请选择“不要运行工作流”。
- Per-account Workflow――可将协调配置为在对每种资源帐户情况作出响应后运行用户指定的工作流。指定协调应运行的工作流。如果没有要运行的工作流，请选择“不要运行工作流”。
- Post-reconciliation Workflow――可以将协调配置为完成对资源的协调后运行用户指定的工作流。指定协调应运行的工作流。如果没有要运行的工作流，请选择“不要运行工作流”。
单击保存以保存策略更改。
启动协调
有两个选项可用于启动协调任务：
取消协调
要取消协调，请选择资源，然后在 "Resource Actions" 列表中选择 "Cancel Reconciliation"。
查看协调状态
“资源”列表中的“状态”列可报告若干种协调状态。其中包括：
资源上每个帐户的详细状态信息都可用。在列表中选择资源，然后在 "Resource Actions" 列表中选择 "View Reconciliation Status"。
使用帐户索引
“帐户索引”会记录 Identity Manager 已知的每个资源帐户的最新已知状态。它主要由协调来维护，但是需要时其他 Identity Manager 功能也会更新“帐户索引”。
注 搜索工具不更新“帐户索引”。
搜索帐户索引
要搜索帐户索引，请在 "Resource Actions" 列表中选择 "Search Account Index"。
选择一种搜索类型，然后输入或选择搜索属性。单击“搜索”以查找与所有搜索条件均匹配的帐户。
单击搜索以根据搜索参数来搜索帐户。要限制搜索结果，也可将“限制”结果中的数量指定为第一个字段。默认限制为找到的前 1000 个帐户。
单击“重设查询”以清除该页并进行新的选择。
检查帐户索引
也可以查看所有 Identity Manager 用户帐户，并可选择对每个用户分别协调帐户。为此，请选择 Resources，然后选择 Examine Account Index。
表格会显示 Identity Manager 已知的所有资源帐户（无论 Identity Manager 用户是否拥有该帐户）。此信息按资源或 Identity Manager 组织分组。要更改此视图，请从“更改索引视图”列表中进行选择。
使用帐户
要使用资源上的帐户，请选择“按资源分组”索引视图。Identity Manager 会为每种类型的资源显示文件夹。通过展开文件夹导航到特定资源。单击资源旁边 + 或 以显示 Identity Manager 已知的所有资源帐户。
注 自上次对资源进行协调以来直接添加到该资源的帐户不会显示出来。
根据给定帐户的当前情况，可以执行几种操作。也可以查看帐户详细信息或选择协调该帐户。
使用用户
要使用 Identity Manager 用户，请选择“按用户分组”索引视图。在此视图中，Identity Manager 用户和组织显示为类似“帐户列表”页的分层结构。要查看当前分配给 Identity Manager 中某个用户的帐户，请导航到该用户并单击用户名旁的指示符。在该用户名的下方将显示该用户的所有帐户和 Identity Manager 已知的这些帐户的当前状态。
根据给定帐户的当前情况，可以执行几种操作。也可以查看帐户详细信息或选择协调该帐户。
ActiveSync 适配器Identity Manager ActiveSync 功能允许存储在授权外部资源（如应用程序或数据库）中的信息与 Identity Manager 用户数据同步。为 Identity Manager 资源设置活动同步可使其能够“侦听”或轮询对授权资源的更改。
设置活动同步
使用 Identity Manager 资源区域中的“活动同步向导”设置活动同步。此向导通过一组操作步骤（具体步骤视选项的不同而定）指导您完成对资源活动同步的设置。
要启动活动同步向导，请在资源列表中选择资源，然后在 "Resource Actions" 选项列表中选择 "Active Sync Wizard"。
显示“活动同步向导”的“同步模式”页面。
同步模式
使用 "Synchronization Mode" 页，可以确定在活动同步设置过程中可选择的配置选项范围。
从这些选项中选择：
Input Form Usage――选择设置活动同步时使用的模式。您可选择使用已存在的表单，此表单会限制该资源的配置选项。或者，您可使用由“活动同步向导”生成的表单，此表单提供了一组完整的配置选项。
- 如果选择“已存在的输入表单”（默认），则可选择下列选项：
- 如果选择“使用向导生成的输入表单”，则可选择下列选项：
- Configuration Mode――选择在活动同步向导内使用基本模式还是高级模式。默认选项是基础模式。如果选择高级模式，您可定义事件类型和设置进程规则。
- Process Rule――（仅在高级配置模式下显示。） （可选）为每个传入帐户选择要运行的进程规则。此选项会覆盖所有其他选项。如果指定进程规则，则会为每一行运行该进程，无论此资源的其他设置如何。既可以是进程名称，也可以是进程名称的评估规则。
- Post-Process Form――（仅在高级配置模式下显示。） （可选）选择除运行活动同步向导生成的表单之外，还要运行的表单。此表单将覆盖活动同步向导的全部设置。
图 3. 活动同步向导：同步模式，向导生成的表单选项
单击下一步继续使用向导。显示“活动同步运行设置”页面。
运行设置
此页面允许为活动同步建立如下设置：
启动设置
选择活动同步启动的选项：
轮询设置
如果您设置的轮询开始日期和时间还未到达，则轮询将在指定时间开始。如果您设置的轮询开始日期和时间已经过去，则 Identity Manager 将根据此信息和轮询间隔来决定何时开始轮询。例如：
此种情况下，资源将于 2005 年 7 月 25 日开始轮询（下一个星期一）。
如果不指定开始日期或时间，则资源会立即开始轮询。不过，我们还是建议您设置开始时间和日期；否则每次重新启动应用服务器时，所有为活动同步配置的资源将立即开始轮询。
选择轮询设置的选项：
日志设置
选择日志信息和日志级别的选项：
- Maximum Log Archives――如果大于零，则保留最新的 N 个日志文件。如果等于零，则重复使用单个日志文件。如果为 -1，则保留日志文件。
- Maximum Active Log Age――在此时间段过后，活动日志将被归档。如果时间为零，则不发生基于时间的归档。如果“最大日志归档数”为零，则在指定时间段之后，活动日志将被截断并重新使用。此使用期限条件将独立于“最大日志文件大小”指定的条件进行评估。
输入一个数字，然后选择时间单位（天、小时、分钟、月、秒或周）。默认单位是天。
- Log File Path――输入要创建活动和归档日志文件的目录的路径。日志文件名将以资源名称开头。
- Maximum Log file Size――输入活动日志文件的最大大小（以字节为单位）。当活动日志文件大小达到最大值时，该文件将被归档。如果“最大日志归档数”为零，则在指定时间段之后，活动日志将被截断并重新使用。此大小条件将独立于“最长活动日志使用期限”指定的使用期限条件进行评估。
- Log Level――输入日志级别：
单击下一步继续使用向导。显示“常规活动同步设置”页面。
常规活动同步设置
使用此页指定常规活动同步配置参数。
资源特定设置
注 可用资源特定设置因资源类型而异。下面一个或多个选项可能不会显示。下列设置适用于 LDAP 资源。
- Object Classes to Synchronize――输入要同步的对象类。更改日志针对所有对象，而此项功能会过滤那些仅对已列出对象类的更新。
- LDAP Filter for Accounts to Synchronize――输入要同步的对象的可选 LDAP 过滤器。更改日志适用于所有对象；因而此过滤器只更新符合指定过滤器条件的对象。如果指定了过滤器，则只有在对象符合过滤器条件并且包含已同步的对象类时，才会对其进行同步。
- Attributes to synchronize――输入要同步的属性名称。如果更改日志中的更新并未更新任何已命名的属性，则会忽略这些更新。例如，如果仅列出部门，则将只处理影响部门的更改。忽略其他所有更新。如果此项为空白（默认值），则会处理所有更改。
- Change Log Blocksize――输入每次查询取得的更改日志条目数。默认数量为 100。
- Change Number Attribute Name――输入更改日志条目中的更改编号属性名称。
- Filter Changes By――输入目录管理员的名称 (RDN) 以过滤更改。与此列表条目匹配并具有属性 modifiersname 的更改将被过滤。
为避免循环，标准值是此适配器使用的管理员名称。条目格式应为 cn=目录管理员。
公共设置
- 关联规则――（可选）指定一个关联规则以覆盖在资源的协调策略中指定的关联规则。关联规则使资源帐户与 Identity System 帐户相关联。
- 确认规则――（可选）指定一个确认规则以覆盖在资源的协调策略中指定的确认规则。
- 解析进程规则――（可选）指定与提供的记录有多项匹配时将运行的 TaskDefinition 的名称。此进程将提示管理员进行手动操作。既可以是进程名称，也可以是进程名称的评估规则。
- 删除规则――（可选）指定一个规则，它可以针对每个传入的用户更新进行评估并返回 True 或 False，以确定是否应进行删除操作。
- Create Unmatched Accounts――如果为 True，则适配器将尝试创建在 Identity System 中未找到的帐户。如果为 False，适配器将通过由解析进程规则返回的进程来运行帐户。
- Assign Active Sync resource on create events――如果选择此选项，则将活动同步源资源分配给检测到创建事件时创建的用户。
- Populate Global――传入帐户中的所有属性将始终可用于 ActiveSync 名称空间下的表单。如果选择此项，则所有属性（accountId 除外）也可用于全局名称空间。
- When reset, ignore past changes――初次启动或重置适配器时，选择忽略以往的更改。要重置适配器，请删除配置对象 IAPI_resourceName。此选项仅对部分适配器可用。
- Pre-Poll Workflow――选择就在每次轮询之前执行的可选工作流。
- Post-Poll Workflow――选择就在每次轮询之后执行的可选工作流。
单击保存或下一步将变更保存至资源的常规设置中：
- 如果正在使用已存在的输入表单，则单击保存以完成向导选项并返回“资源”列表。
- 如果正在使用向导生成的输入表单，则单击下一步继续。
- 如果正在使用基础配置模式，则显示“目标资源”页。（在本章中快进至目标资源。）
- 如果正在使用高级配置模式，则显示“事件类型”页。
事件类型
使用此页配置一个机制，以确定在活动同步资源中是否发生过某种类型的变更事件。
关于事件
活动同步事件定义为在活动同步资源上的更改。为每个资源列出的事件类型取决于资源的类型以及受变更事件影响的对象。一些事件类型为创建、删除、更新、禁用、启用和重命名。
忽略事件
您可选择一种用于确定是否忽略活动同步事件的机制。选项为：
确定事件类型的选项为：
单击下一步继续使用向导。显示“进程选择”页。
进程选择
检入特定活动同步事件实例或活动同步事件类型的用户视图时，使用此页面设置要运行的“工作流”或进程。
进程模式
提供了两种进程模式，这两种模式可确定活动同步事件发生时将运行哪个工作流或进程：
单击下一步继续使用向导。显示“目标资源”页。
目标资源
使用此页面指定要与该资源同步的目标资源。
从“可用资源”区域中选择一个或多个资源，然后将其移至“目标资源”区域。
图 7. 活动同步向导：目标资源
单击下一步继续。显示“目标属性映射”页。
目标属性映射
使用此页为每个目标资源定义目标属性映射。
从选项列表中选择目标资源。要向列表中添加目标属性，单击添加映射。
为每个目标属性选择属性、类型以及属性值。在“应用于”列中，选择要应用映射的一个或多个操作（“创建”、“更新”或“删除”）。
针对每个目标资源重复步骤 1-3。要从列表中删除属性行，选择该行，然后单击删除映射。
图 8. 活动同步向导：目标属性映射
单击保存以保存属性映射并返回资源列表。
编辑 ActiveSync 适配器
编辑 ActiveSync 适配器之前，应停止活动同步。在“运行设置”页中，选择“禁用”作为“启动类型”。将显示警告消息，指示已禁用活动同步。
注 禁用资源的活动同步将导致保存资源时停止活动同步任务。
群集环境中的活动同步
“错误”状态指示器仅显示在执行资源活动同步的 Identity Manager 服务器上。
微调 ActiveSync 适配器性能
由于活动同步是后台任务，ActiveSync 适配器配置可能影响服务器性能。微调 ActiveSync 适配器性能涉及以下任务：
通过资源列表管理 ActiveSync 适配器。选择 ActiveSync 适配器，然后从 "Resource Actions" 列表选择开始、停止和状态刷新控制操作。
更改轮询时间间隔
指定运行适配器的主机
要指定运行适配器的主机，请编辑文件 waveset.properties。在此文件中，可编辑：
设置后者可使适配器在配置它的服务器上运行。
注 在群集环境中，如需指定特定服务器，应使用第一个选项。
可将需要更多内存和 CPU 循环的 ActiveSync 适配器配置为在专用服务器上运行，以帮助平衡系统负载。
启动和停止
与 NT 中的各种服务一样，ActiveSync 适配器可以被禁用、手动启动或自动启动。它们还必须被指定作为 Identity Manager 管理员运行。此管理员将限制 ActiveSync 可以进行访问的范围，并将在审计日志中作为进行更改的管理员列出。可选属性包括日志文件大小、日志文件路径和日志级别。
如果将适配器设置为自动启动，则当应用程序服务器重新启动时，该适配器也将重新启动。启动适配器后，它将立即运行并按指定的轮询时间间隔执行。如果您停止某一适配器，则它将在下次检查停止标志时停止。
适配器日志
适配器日志捕获有关适配器当前处理情况的信息。日志捕获的详细信息量取决于您为该日志设置的日志级别。适配器日志对调试问题和查看适配器处理进度都很有用。
每个适配器都有自己的日志文件、路径和日志级别。可在“运行设置”页指定这
些值。删除适配器日志
只能在适配器已经停止时删除适配器日志。多数情况下会在删除日志之前对其进行复制，以便归档。
