Sun Java logo     上一頁      目錄      下一頁     

Sun logo
Sun Java System Identity Manager 2005Q4M3 管理指南  

6

資料同步化與載入

本章提供使用 Identity Manager 資料同步化與載入功能的資訊與程序。

本章主題

在本章中,您將學習關於下列項目的更多內容:


資料同步化工具:選哪一個好?

在選取適合執行作業的 Identity Manager 資料同步化工具時,請遵循以下指導原則。

您想要的是:

就請選擇此功能:

開始時將資源帳號進 Identity Manager,載入前不檢視

從資源載入

開始時將資源帳號進 Identity Manager,可以選擇在載入前檢視與編輯資料

擷取至檔案,從檔案載入

定期將資源帳號進 Identity Manager,根據配置策略對每個帳號採取行動

調解資源

將資源帳號變更入 Identity Manager

ActiveSync (多重資源實施)


探索

Identity Manager 帳號探索功能有助於推進快速部署與加速帳號建立的作業。 這些功能的說明如下:

您可以使用這些工具來建立新的 Identity Manager 使用者,或是將資源上的帳號與現有的 Identity Manager 使用者帳號關聯。

擷取至檔案

使用此功能將資源帳號從某資源擷取至 XML 或 CSV 文字檔。 執行這個動作可以讓您在將資料匯入 Identity Manager 之前,先檢視並變更擷取的資料。

若要擷取帳號:

  1. 從功能表列中,選取 [Accounts],然後選取 [Extract to File]
  2. 選取從該處擷取帳號的資源。
  3. 選取輸出帳號資訊的檔案格式。 您可以擷取資料至 XML 檔案,或以逗號分隔值 (CSV) 格式排列帳號屬性的文字檔案。
  4. 按一下下載。Identity Manager 顯示 [檔案下載] 對話方塊,您可以在此對話方塊中選擇儲存或檢視擷取的檔案。

  5. 提示  如果您選擇開啟檔案,則可能需要選取檢視檔案的程式。

從檔案載入

使用此功能將資源帳號 (透過 Identity Manager 從資源擷取的帳號,或從其他檔案來源擷取的帳號) 載入 Identity Manager。 Identity Manager 擷取至檔案功能建立的檔案採用 XML 格式。 如果載入的是新使用者的清單,資料檔案一般為 CSV 格式。

關於 CSV 檔案格式

待載入的帳號常在試算表 (如 Excel) 中列出,並儲存為逗號分隔值 (CSV) 格式,以便載入 Identity Manager。 CSV 檔案內容必須遵循以下格式指導原則:

1 — 列出每個欄位的欄標題或模式屬性 (以逗號分隔)。

2 到結尾 — 列出行 1 所定義的每個屬性的值 (以逗號分隔)。 若不存在欄位值的資料,則必須以相鄰逗號來代表該欄位。

例如,檔案的前三行看起來可能像:

CVS 格式檔案內容

在本範例中,第二位使用者 (Jane Doe) 不隸屬於任何部門。 缺少的值以相鄰逗號 (,,) 表示。

若要載入帳號:

  1. 從功能表列中,選取 [Accounts],然後選取 [Load from File]
  2. Identity Manager 顯示 [從檔案載入] 頁面,讓您可以先指定載入選項後再繼續:

    • 使用者表單 — 當負載建立 Identity Manager 使用者時,使用者表單會指定組織以及角色、資源和其他屬性。 選取要套用至每個資源帳號的使用者表單。
    • 帳號相互關聯規則 — 帳號相互關聯規則會選取 Identity Manager 使用者,這些使用者可能是各個無主資源帳號的所有者。 指定好未擁有之資源帳號的屬性之後,相互關聯規則會傳回一份名稱清單或是一份屬性條件清單,這些清單將用來選取可能的所有者。 選取一項規則,用來尋找可能是各無主資源帳號所有者的 Identity Manager 使用者。
    • 帳號確認規則 — 帳號確認規則會從相互關聯規則選取之可能所有者清單中排除任何非所有者。 指定好 Identity Manager 使用者的完整資料以及未擁有之資源帳號的屬性之後,如果使用者擁有該帳號,則確認規則傳回 true,否則傳回 false。 選取一個規則來測試資源帳號的各個可能所有者。 如果您選取 [無確認規則],Identity Manager 會接受所有可能的所有者而不進行確認。

    • 附註  在您的環境中,如果相互關聯規則只會為各個帳號選取最多一位所有者,則您不需使用確認規則。

    • 僅載入相符帳號 — 選取此選項可僅將符合現有 Identity Manager 使用者的帳號載入 Identity Manager 中。 如果您選取此選項,載入時會捨棄所有不相符的資源帳號。
    • 更新屬性 — 選取此選項會將目前 Identity Manager 使用者屬性值替代為載入帳號的屬性值。
    • 合併屬性 — 輸入一或多個屬性名稱 (以逗號分隔),其值應進行合併 (排除重複項目) 而非覆寫。 此選項僅能用於清單類型的屬性,如群組和郵件收件人清單。 您還必須選取 [更新屬性] 選項。
    • 結果層級 — 選取一個臨界值,達到該臨界值時,載入程序便會記錄帳號的個別結果:
      • 僅在出錯時 — 僅當載入帳號發生錯誤訊息時才記錄個別結果。
      • 警告與出錯時 — 載入帳號發生警告或錯誤訊息時記錄個別結果。
      • 參考性與其他 — 記錄每個帳號的個別結果。 這樣會導致載入過程執行得更慢。
  3. 在 [File to Upload] 欄位中,指定要載入的檔案,然後按一下 [Load Accounts]

  4. 備註:

    • 如果輸入檔案不包含使用者欄,您必須為載入作業選取確認規則以便順利執行。
    • 與載入程序相關聯的作業實例名稱是以輸入檔案名稱為基礎;因此,若您重新使用檔案名稱,則與最近一次載入程序相關聯的作業實例將會覆寫所有先前的作業實例。

    • 使用載入程序從檔案中載入帳號。

      圖 1. 從檔案載入

如果帳號符合現有的使用者 (或與其相關聯),載入程序會將帳號與使用者合併。 該程序還會從沒有關聯的任何輸入帳號建立新的 Identity Manager 使用者 (除非已經指定「需要關聯」)。

bulkAction.maxParseErrors 配置變數設定會限制當檔案載入時可以找到的錯誤數。 預設的限制是 10 個錯誤。 如果找到 maxParseErrors 錯誤數,那麼就會停止剖析。

從資源載入

使用此功能可根據您指定的載入選項直接擷取帳號,並將其匯入 Identity Manager。

若要匯入帳號,請從功能表列中選取 [Accounts],然後選取 [Load from Resource]


附註  Identity Manager 讓您可以先指定載入選項後再繼續。 [從資源載入] 頁面中的載入選項及產生的動作與 [從檔案載入] 頁面的相同。


調解

使用調解功能可突顯 Identity Manager 中的資源帳號與資源中實際存在的帳號間的不一致狀況,並可定期進行帳號資料的關聯。

由於調解是針對進行中的比較而設計,因此它:

您也可以將調解配置為在資源處理的下列各點啟動強制工作流程:

從 [資源] 區域存取 Identity Manager 調解功能。 [資源] 清單會顯示每個資源上次調解的時間以及其目前的調解狀態。

關於調解策略

調解策略可讓您按照資源為每一項調解作業建立一組回應。 您可在策略中選取要執行調解的伺服器,確定執行調解的頻率以及時間,還可以針對調解時遭遇的各種狀況設定回應。 您也可以配置調解,使其偵測出對帳號屬性進行的原生變更 (非透過 Identity Manager 進行的變更)。

編輯調解策略

若要編輯調解策略:

  1. 從功能表列中,選取 [Resources]
  2. 在 [Resources] 清單階層中,選取資源。
  3. 從 [Resource Actions options] 清單中,選取 [Edit Reconciliation Policy]。
  4. Identity Manager 顯示 [編輯調解策略] 頁面,您可以在其中選取如下策略:

    • 調解伺服器 — 在叢集環境中,每個伺服器都可以執行調解。 指定要對策略中的資源執行調解的 Identity Manager 伺服器。
    • 調解模式 — 調解可在不同模式下執行,不同的模式會針對不同的品質進行最佳化處理:
      • 完整式調解 — 針對完整性進行最佳化處理,但速度會變慢。
      • 漸進式調解 — 針對速度進行最佳化處理,但調解不夠完整。
      • 選取 Identity Manager 應在哪個模式下對策略中的資源執行調解。 選取 [不調解] 可停用對目標資源的調解。

    • 完整式調解排程 — 如果啟用了完整模式調解,它會按固定的排程自動執行。 指定應對策略中的資源執行完整式調解的頻率。 選取 [繼承] 選項可繼承更高層級策略中的指定排程。
    • 漸進式調解排程 — 如果啟用了漸進式調解,它會按固定的排程自動執行。 指定應對策略中的資源執行漸進式調解的頻率。 選取 [繼承] 選項可繼承更高層級策略中的指定排程。

    • 附註  並非所有資源都支援漸進式調解。

    • 屬性層級調解 — 可以配置調解,使其偵測出對帳號屬性進行的本機變更 (亦即,不是透過 Identity Manager 進行的變更)。 指定調解時是否要偵測對調解後的帳號屬性內所指定的屬性所作的原生變更。
    • 帳號相互關聯規則 — 帳號相互關聯規則會選取 Identity Manager 使用者,這些使用者可能是各個無主資源帳號的所有者。 指定好未擁有之資源帳號的屬性之後,相互關聯規則會傳回一份名稱清單或是一份屬性條件清單,這些清單將用來選取可能的所有者。 選取一項規則,用來尋找可能是各無主資源帳號所有者的 Identity Manager 使用者。
    • 帳號確認規則 — 帳號確認規則會從相互關聯規則選取之可能所有者清單中排除任何非所有者。 指定好 Identity Manager 使用者的完整資料以及未擁有之資源帳號的屬性之後,如果使用者擁有該帳號,則確認規則傳回 true,否則傳回 false。 選取一個規則來測試資源帳號的各個可能所有者。 如果您選取 [無確認規則],Identity Manager 會接受所有可能的所有者而不進行確認。

    • 附註  在您的環境中,如果相互關聯規則只會為各個帳號選取最多一位所有者,則您不需使用確認規則。

    • 代理管理員 — 指定執行調解回應時所要使用的管理員。 調解只能執行指定代理管理員允許執行的那些動作。回應將會使用與此管理員相關的使用者表單 (如有必要)。
    • 您也可以選取 [沒有代理管理員] 選項。 選取此選項後,調解結果可供檢視,但不會執行回應動作或工作流程。

    • 狀況選項 (與回應) — 調解可識別幾種狀況類型。 在 [回應] 欄中指定調解應採取的任何動作:
      • 確認 — 預期的帳號已存在。
      • 刪除 — 預期的帳號不存在。
      • 找到 — 調解程序在指定資源中找到了相符帳號。
      • 缺少 — 在指定給使用者的資源上找不到相符帳號。
      • 衝突 — 將資源中的同一帳號指定給了兩個或兩個以上 Identity Manager 使用者。
      • 未指定 — 調解程序在未指定給使用者的資源中找到了相符帳號。
      • 不相符 — 帳號與任何使用者均不相符。
      • 爭議 — 帳號與一位以上的使用者相符。
      • 從這些回應選項中選取一個 (可用選項會因狀況不同而有所差異):

      • 根據資源帳號建立新的 Identity Manager 使用者 — 執行資源帳號屬性的使用者表單以建立新的使用者。 資源帳號不會隨任何變更而更新。
      • 為 Identity Manager 使用者建立資源帳號 — 重建缺少的資源帳號,使用使用者表單重新產生資源帳號屬性。
      • 刪除資源帳號停用資源帳號 — 刪除/停用資源的帳號。
      • 將資源帳號連結至 Identity Manager 使用者取消資源帳號與 Identity Manager 使用者的連結 — 增加或移除使用者的資源帳號指定。 這不會執行任何表單的處理。
    • 調解前工作流程 — 可以配置調解,使其在調解資源前先執行使用者特定的工作流程。 指定調解應執行的工作流程。 如果不要執行任何工作流程,請選取 [不執行工作流程]。
    • 視帳號而定的工作流程 — 可以配置調解,使其在回應資源帳號的狀況後執行使用者特定的工作流程。 指定調解應執行的工作流程。 如果不要執行任何工作流程,請選取 [不執行工作流程]。
    • 調解後工作流程 — 可以配置調解,使其在完成資源調解後執行使用者特定的工作流程。 指定調解應執行的工作流程。 如果不要執行任何工作流程,請選取 [不執行工作流程]。

按一下儲存來儲存策略變更。

啟動調解

啟動調解作業時有兩個選項可以使用:

取消調解

若要取消調解,請選取 [resource],然後從 [Resource Actions] 清單中,選取 [Cancel Reconciliation]。

檢視調解狀態

[資源] 清單中的 [狀態] 欄會呈報好幾種調解狀態情況。 這些情況說明如下:

可檢視每個資源帳號的詳細狀態資訊。 在清單中選取資源,然後從 [Resource Actions] 清單中,選取 [View Reconciliation Status]。

使用帳號索引

帳號索引會記錄 Identity Manager 已知之各資源帳號的上一已知狀態。 帳號索引主要是由調解來維護,但其他 Identity Manager 功能也會視需要對其進行更新。


附註  探索工具不會更新帳號索引。

搜尋帳號索引

若要搜尋帳號索引,請從 [Resource Actions] 清單中,選取 [Search Account Index]。

選取搜尋類型,然後輸入或選取搜尋屬性。 按一下 [搜尋] 來尋找符合所有搜尋條件的帳號。

按一下 [搜尋] 來根據您的搜尋參數來搜尋帳號。 若要限制搜尋結果,您可選擇在 [將結果限制為前] 欄位中指定數目。 預設限制為前 1000 個找到的帳號。

按一下 [重設查詢] 以清除頁面並選取新選項。

檢查帳號索引

還可以檢視所有 Identity Manager 使用者帳號,並可選擇為每位使用者分別調解帳號。 若要執行此動作,請選取 [Resources],然後選取 [Examine Account Index]

本表顯示 Identity Manager 已知的所有資源帳號 (不論其是否為 Identity Manager 使用者所擁有)。 此資訊按資源或 Identity Manager 組織分組。 若要變更此檢視,請從 [變更索引檢視] 清單中選擇一個檢視。

使用帳號

若要使用資源中的帳號,請選取 [按資源分組] 索引檢視。Identity Manager 會顯示每種資源類型的資料夾。 可以展開資料夾以導覽到特定資源。 按一下資源旁邊的 + 號或 - 號,以顯示 Identity Manager 已知的所有資源帳號。


附註  上次在該資源上調解之後直接新增至資源中的帳號將不會顯示。

您也許能夠執行幾種動作,但要視給定帳號目前的狀況而定。 您也可以檢視帳號的詳細資訊或選擇調解某個帳號。

使用使用者

如要使用 Identity Manager 使用者,請選取 [按使用者分組] 索引檢視。 在此檢視中,Identity Manager 使用者和組織會以與 [帳號清單] 頁面類似的階層顯示。 若要察看目前指定給 Identity Manager 中的使用者的帳號,請瀏覽至該使用者,然後按一下使用者名稱旁邊的指示器。 使用者帳號及 Identity Manager 已知的帳號的目前狀態會顯示在使用者名稱之下。

您也許能夠執行幾種動作,但要視給定帳號目前的狀況而定。 您也可以檢視帳號的詳細資訊或選擇調解某個帳號。


ActiveSync 配接卡

Identity Manager ActiveSync 功能可使儲存在授權外部資源 (如應用程式或資料庫) 的資訊與 Identity Manager 使用者資料同步化。 為 Identity Manager 資源設定使用中的同步化可讓它「偵聽」或輪詢授權資源是否發生變更。

設定使用中的同步化

在 Identity Manager 資源區域中,使用「Active Sync 精靈」設定使用中的同步化。 此精靈會透過各種步驟集 (視您所做的選擇而定) 引導您為資源設定使用中的同步化。

若要啟動 Active Sync 精靈,從資源清單中選取資源,然後在 [Resource Actions] 選項清單中,選取 [Active Sync Wizard]。

[Active Sync 精靈同步化模式] 頁面隨即出現。

同步化模式

[Synchronization Mode] 頁面可讓您決定在使用中的同步化設定期間,可以選擇的配置選項的範圍。

從這些選項中選取:

輸入表單用法 — 選取當設定使用中的同步化時要使用的模式。 您可以選擇使用預先存在的表單,該表單會限制此資源的配置選擇。 或者,您可以使用由「Active Sync 精靈」產生的表單,該表單會提供完整的配置選擇集。

按一下下一步繼續執行精靈。 [Active Sync 執行設定] 頁面隨即出現。

執行設定

此頁面可讓您建立 Active Sync 的設定:

啟動設定

選擇如何啟動 Active Sync:

輪詢設定

如果設定了在未來發生的輪詢開始日期與時間,則輪詢會在指定時間開始。 如果設定了在過去發生的輪詢開始日期與時間,則 Identity Manager 會根據此資訊及輪詢間隔決定何時開始輪詢。 例如:

在此情況下,資源將在 2005 年 7 月 25 日開始輪詢 (下個週一)。

如果未指定開始日期或時間,則資源會立即輪詢。 但是,建議您設定開始日期及時間;否則,每次重新啟動應用程式伺服器時,所有針對「使用中的同步化」配置的資源將立即開始輪詢。

選擇如何設定輪詢:

記錄設定

選擇如何設定記錄資訊及層級:

按一下下一步繼續執行精靈。 [一般 Active Sync 設定] 頁面隨即出現。

一般 Active Sync 設定

使用此頁面指定一般 Active Sync 配置參數。

資源特定設定


附註  可用的資源特定設定會隨資源類型不同而有所不同。 下列一或多個選擇可能不會出現。 下列設定適用於 LDAP 資源。

標準值是此配接卡為避免迴圈而使用的管理員名稱。 項目的格式應該為 cn=Directory Manager。

常用設定

按一下儲存下一步,以儲存資源的一般設定變更:

事件類型

使用此頁面配置一個機制,以確定在 Active Sync 資源上是否發生了某個類型的變更事件。

關於事件

使用中的同步化事件定義為在 Active Sync 資源上發生的變更。 針對每個資源列出的事件類型視變更事件所影響之資源及物件的類型而定。 有些事件類型是建立、刪除、更新、停用、啟用及重新命名。

忽略事件

您可以選取一個機制,確定是否要忽略 Active Sync 事件。 選項如下:

用於確定事件類型的選項如下:

按一下下一步繼續執行精靈。 [程序選擇] 頁面隨即出現。

程序選取

使用此頁面,設定當為特定 Active Sync 事件實例或 Active Sync 事件類型移入使用者檢視時要執行的工作流程或程序。

程序模式

您可以從兩個模式中選取,以確定發生 Active Sync 事件時要執行的工作流程或程序:

按一下下一步繼續執行精靈。 [目標資源] 頁面隨即出現。

目標資源

使用此頁面指定要與此資源同步的目標資源。

從 [可用資源] 區域中選取一或多個資源,然後將它們移至 [目標資源] 區域。

設置目標資源。

圖 7. Active Sync 精靈:目標資源

按一下下一步以繼續。 [目標屬性對映] 頁面隨即出現。

目標屬性對映

使用此頁面定義每個目標資源的目標屬性對映。

從選項清單中選取目標資源。 若要新增目標屬性至清單,請按一下新增對映

為每個目標屬性選取屬性、類型及屬性值。 在 [套用到] 欄位中,選取一或多個將套用對映的動作 (建立、更新或刪除)。

對每個目標資源重複步驟 1-3。 若要從清單中移除屬性,請選取列,再按一下移除對映

使用此 [Target Attribute Mappings] 頁面定義每個目標資源的目標屬性對映。

圖 8. Active Sync 精靈:目標屬性對映

按一下儲存儲存屬性對映並回到資源清單。

編輯 ActiveSync 配接卡

在編輯 ActiveSync 配接卡之前,您應該停止使用中的同步化。 從 [執行設定] 頁面中,選取 [停用] 作為 [啟動類型]。 將出現一則警告訊息,指出已停用使用中的同步化。


附註  停用資源的使用中的同步化將導致在儲存資源時停止 Active Sync 作業。

叢集環境中的使用中的同步化

「錯誤」狀態指示器只會呈現在為資源執行使用中的同步化的 Identity Manager 伺服器。

調校 ActiveSync 配接卡效能

由於使用中的同步化是背景作業,所以 ActiveSync 配接卡配置會影響伺服器效能。 調校 ActiveSync 配接卡效能要進行下列作業:

透過資源清單管理 ActiveSync 配接卡。 選取 ActiveSync 配接卡,然後從 [Resource Actions] 清單中存取啟動、停止與狀態更新控制動作。

變更輪詢間隔

指定會在該處執行配接卡的主機

若要指定將在該處執行配接卡的主機,請編輯 waveset.properties 檔案。 在這個檔案中,您可以編輯:

設定後者會使配接卡在配置了該配接卡的伺服器上執行。


附註  在叢集環境中,如果您需要指定特定伺服器,便應使用第一個選項。

可以將需要更多記憶體與 CPU 週期的 ActiveSync 配接卡配置為在專屬伺服器上執行,這樣有助於系統的負載平衡。

啟動與停止

您可以停用、手動啟動或自動啟動 ActiveSync 配接卡,就如同它們是 NT 中的服務一樣。 同樣須將它們指定為以 Identity Manager 管理員身份執行。 此管理員將會詳查 ActiveSync 配接卡能夠執行的存取,並會以執行變更的管理員身份在稽核記錄中列出。 選擇性屬性包括記錄檔案大小與路徑、記錄層級。

如果將配接卡設定為自動,當應用程式伺服器重新啟動時,配接卡也會重新啟動。 當您啟動配接卡時,它會立刻執行並在指定的輪詢間隔來臨時執行。 如果您停止配接卡,下次配接卡在檢查到停止旗標時便會停止。

配接卡記錄

配接卡記錄擷取有關配接卡目前處理情況的資訊。 記錄擷取資訊的詳細程度需視您設定的記錄的記錄層級而定。 配接卡記錄在除錯問題與監視配接卡程序進度時非常有用。

每個配接卡各有其記錄檔案、路徑和記錄層級。 您可以在 [執行設定] 頁面上指定這些值。

刪除配接卡記錄

僅當停止配接卡後,才能刪除配接卡記錄。 多數情況下,請在刪除記錄前製作記錄副本作為歸檔之用。



上一頁      目錄      下一頁     


Copyright 2006 Sun Microsystems, Inc. 版權所有。