|
| |
| Sun[TM] Identity Manager 8.0 管理 | |
第 7 章
数据加载和同步本章提供了使用 Identity Manager 数据加载和同步功能的信息和过程。您将了解如何使用 Identity Manager 的数据同步工具（搜索、协调和同步）将数据保持最新状态。
有关数据加载和同步在 Identity Manager 中的工作方式的详细说明，请参见 Identity Manager 部署概述手册中的“数据加载和同步”一章。
数据同步工具：使用哪一个？Identity Manager 提供了几种可用于导入和同步帐户数据的工具。有关为给定任务选择正确工具的帮助，请参阅表 7-1。
搜索Identity Manager 帐户搜索功能帮助简化快速部署和加速帐户创建任务。这些功能包括：
使用这些工具可以创建新的 Identity Manager 用户，或者将某个资源上的帐户与现有 Identity Manager 用户帐户关联。
提取到文件
使用此功能将资源帐户从资源提取到一个 XML 或 CSV 文本文件中。这样做可以在将提取数据导入 Identity Manager 之前对其进行查看和更改。
要提取帐户，请执行以下步骤：
如果选择打开该文件，则可能需要选择查看程序。
从文件加载
使用此功能将资源帐户（通过 Identity Manager 从资源提取的帐户或从另一文件源提取的帐户）加载到 Identity Manager 中。由 Identity Manager 的提取到文件功能创建的文件为 XML 格式的文件。如果加载一列新用户，则数据文件通常采用 CSV 格式。
关于 CSV 文件格式
通常，要加载的帐户在一个电子表格中列出并以逗号分隔值 (Comma-separated Value, CSV) 格式保存，以便加载到 Identity Manager 中。CSV 文件内容必须遵循以下格式准则：
要加载帐户，请执行以下步骤：
- 在管理员界面中，单击菜单中的帐户，然后单击从文件加载。
Identity Manager 将显示“从文件加载帐户”页。
- 在“从文件加载帐户”页上指定以下加载选项：
- 用户表单 - 当加载过程创建了 Identity Manager 用户时，用户表单会分配组织以及角色、资源和其他属性。选择要应用于每个资源帐户的用户表单。
- 帐户关联规则 - 帐户关联规则选择可能拥有每个无拥有者的资源帐户的 Identity Manager 用户。如果给定无拥有者资源帐户的属性，关联规则会返回一个名称列表或属性条件列表，用于选择潜在拥有者。选择一个规则，以查找可能拥有每个无拥有者资源帐户的 Identity Manager 用户。
- 帐户确认规则 - 帐户确认规则可将任何非拥有者从关联规则选择的潜在拥有者列表中清除。在给定某个 Identity Manager 用户和某个无拥有者的资源帐户的属性这些详细资料后，若用户拥有该帐户，则确认规则返回 true，否则返回 false。选择一个规则以测试资源帐户的每个潜在拥有者。如果选择无确认规则，Identity Manager 将接受所有潜在拥有者，而不进行确认。
- 仅加载匹配项 - 选择此选项只将与现有 Identity Manager 用户匹配的帐户加载到 Identity Manager 中。如果选择此选项，则加载将放弃任何不匹配的资源帐户。
- 更新属性 - 选择此选项可使用所加载帐户的属性值替换当前 Identity Manager 用户的属性值。
- 合并属性 - 输入一个或多个用逗号分隔的属性名，这些属性的值应被合并（去掉重复部分）而不被覆盖。此选项仅用于列表类型的属性，例如组和邮递列表。还必须选择“更新属性”选项。
- 结果级别 - 选择一个阈值，加载进程将在达到该阈值时为帐户记录单独的结果：
- 在“要上载的文件”字段中，指定要加载的文件，然后单击加载帐户。
图 7-2 说明了“从文件加载”屏幕中的可用字段和选项。
图 7-2 从文件加载
如果帐户与现有用户匹配（或关联），则加载进程会将帐户合并到用户中。该进程也将通过任何不相关的输入帐户创建新的 Identity Manager 用户（除非指定“必需相关”）。
bulkAction.maxParseErrors 配置变量会设置加载文件时可发现的错误数的限制。默认情况下，限制为 10 个错误。如果发现的错误数达到了 maxParseErrors 的值，则会停止解析。
从资源加载
使用此功能可根据您指定的选项直接提取帐户并将其导入 Identity Manager。
要导入帐户，请执行以下步骤：
- 在管理员界面中，单击菜单中的帐户，然后单击从资源加载。
将打开“从资源加载帐户”页。
- 在“从资源加载帐户”页上指定加载选项。
此页面的加载选项与“从文件加载”页（更多...）上的加载选项相同。
协调可以使用协调功能，定期将 Identity Manager 中的资源帐户与资源上实际存在的帐户进行比较。协调将关联帐户数据并突出显示存在的差异。
协调简介
因为协调专用于进行中的比较，因此其具有以下特征：
也可以将协调配置为在处理资源过程中的下列每一点处启动任意工作流：
从“资源”区域访问 Identity Manager 协调功能。“资源”列表显示每个资源上次协调的时间及其当前协调状态。
注
协调是由 Identity Manager 的协调程序组件执行的。有关协调程序配置设置的信息，请参见协调程序设置。
关于协调策略
协调策略允许您按资源为每个协调任务建立一组响应。您可在策略中选择运行协调的服务器、确定协调发生的频率和时间，以及设置对协调期间遇到的每种情况作出响应。可以将协调配置为检测对帐户属性进行的本机更改（不是通过 Identity Manager 进行的更改）。
编辑协调策略
要编辑协调策略，请执行以下步骤：
Identity Manager 将显示“编辑协调策略”页面，可在其中进行下列策略选择：
- 完全协调进度表 - 如果启用完全模式协调，则按固定的进度表自动执行协调。在策略中指定针对资源运行完全式协调的频率。
- 选择继承默认策略选项可从更高级策略中继承指定的进度表。
- 清除继承默认策略选项可指定一个进度表。可以使用提供的字段建立一个循环进度表，或者使用任务进度表重复规则对协调进度表进行自定义调整。有关创建任务进度表重复规则的信息，请参见使用任务进度表重复规则。
- 增量式协调进度表 - 如果启用增量模式协调，则按固定的进度表自动执行协调。
- 选择继承默认策略选项可从更高级策略中继承进度表。
- 清除继承默认策略选项可指定一个进度表。可以使用提供的字段建立一个循环进度表，或者使用任务进度表重复规则对协调进度表进行自定义调整。有关创建任务进度表重复规则的信息，请参见使用任务进度表重复规则。
- 属性级协调 - 可以将协调配置为检测对帐户属性进行的本机更改（即，不是通过 Identity Manager 进行的更改）。指定协调是否应检测对协调的帐户属性中指定的属性进行的本机更改。
- 帐户关联规则 - 帐户关联规则选择可能拥有每个无拥有者的资源帐户的 Identity Manager 用户。如果给定无拥有者资源帐户的属性，关联规则会返回一个名称列表或属性条件列表，用于选择潜在拥有者。选择一个规则，以查找可能拥有每个无拥有者资源帐户的 Identity Manager 用户。
- 帐户确认规则 - 帐户确认规则可将任何非拥有者从关联规则选择的潜在拥有者列表中清除。在给定某个 Identity Manager 用户和某个无拥有者的资源帐户的属性这些详细资料后，若用户拥有该帐户，则确认规则返回 true，否则返回 false。选择一个规则以测试资源帐户的每个潜在拥有者。如果选择无确认规则，Identity Manager 将接受所有潜在拥有者，而不进行确认。
- 代理管理员 - 指定执行协调响应时使用的管理员。协调只能执行允许指定代理管理员执行的那些操作。响应将使用与该管理员关联的用户表单（如果需要）。
从这些响应选项（可用选项因情况而异）中选择一个：
您可以手动修复协调发现的任何帐户情况。 在菜单中单击资源 > 检查帐户索引。 可以从中浏览为所有已协调的帐户记录的情况。 右键单击某个帐户，将会看到一个有效修复选项的列表。有关详细信息，请参见检查帐户索引。
- 协调前工作流 - 可以将协调配置为在对资源进行协调之前运行用户指定的工作流。指定协调应运行的工作流。如果没有要运行的工作流，请选择“不要运行工作流”。
- 每一帐户工作流 - 可以将协调配置为在对资源帐户情况作出响应后运行用户指定的工作流。指定协调应运行的工作流。如果没有要运行的工作流，请选择“不要运行工作流”。
- 协调后工作流 - 可以将协调配置为在完成资源协调后运行用户指定的工作流。指定协调应运行的工作流。如果没有要运行的工作流，请选择不要运行工作流。
- 说明情况 - 如果启用，协调将会记录其他信息，以说明如何对帐户情况进行分类。默认情况下禁用此选项。记录说明会使协调进程运行时间增加。
- 错误限制 - 如果启用，在处理过程中发生指定数量的错误后，将自动终止协调。值 0 表示对错误数没有限制。取消选择“继承默认策略”选项，将显示“允许的最多错误”字段，在其中输入值。
- 最大本机删除帐户数 - 此选项是一项安全保护功能，用于计算资源上缺少的帐户数；如果超过某一阈值，则禁止协调程序解除这些帐户的链接。
单击保存以保存策略更改。
启动协调
有两个选项可用于启动协调任务：
要打开“编辑协调策略”页，请参见编辑协调策略并执行其中的步骤。
协调将按照您在策略中设置的参数运行。
取消协调
要取消协调，请执行以下步骤：
查看协调状态
可以使用两种主要方法来查看协调状态。要查看详细的协调状态，请打开特定资源的“协调摘要结果”页。资源列表中也会直接提供有限的协调状态。
查看详细的协调状态
可以使用“协调摘要结果”页来查看详细的协调状态。
要查看详细的协调状态，请执行以下步骤：
在资源列表中查看协调状态
还可以通过查看资源列表以获取协调状态。（要显示资源列表，请打开管理员界面，然后单击菜单中的资源。）
状态列可报告以下协调状态情况：
使用帐户索引
帐户索引会记录 Identity Manager 已知的每个资源帐户的最新已知状态。它主要由协调来维护，但是需要时其他 Identity Manager 功能也会更新帐户索引。
搜索工具不更新帐户索引。
搜索帐户索引
可以搜索帐户索引以查看给定资源帐户的最新已知状态。
要搜索帐户索引，请执行以下步骤：
检查帐户索引
也可以查看所有 Identity Manager 用户帐户，并可选择对每个用户分别协调帐户。
要检查帐户索引，请执行以下步骤：
表格会显示 Identity Manager 已知的所有资源帐户（无论 Identity Manager 用户是否拥有该帐户）。此信息按资源或 Identity Manager 组织分组。要更改此视图，请从更改索引视图列表中进行选择。
使用帐户
要使用资源上的帐户，请选择按资源分组索引视图。Identity Manager 会为每种类型的资源显示文件夹。通过展开文件夹导航到特定资源。单击该资源旁边的 + 或 - 以显示 Identity Manager 的所有已知资源帐户。
自上次对资源进行协调以来直接添加到该资源的帐户不会显示出来。
根据给定帐户的当前情况，可以执行几种操作。右键单击某个帐户，将会看到一个有效修复选项的列表。也可以查看帐户详细信息或选择协调该帐户。
使用用户
要使用 Identity Manager 用户，请选择按用户分组索引视图。在此视图中，Identity Manager 用户和组织显示为类似“帐户列表”页的分层结构。要查看当前分配给 Identity Manager 中某个用户的帐户，请导航到该用户并单击用户名旁的指示符。在用户名的下方将显示该用户的帐户以及 Identity Manager 已知的帐户的当前状态。
根据给定帐户的当前情况，可以执行几种操作。也可以查看帐户详细信息或选择协调该帐户。
使用任务进度表重复规则
可以使用任务进度表重复规则来调整协调进度表。例如，如果要将预定在星期六进行的协调推迟到下星期一，可使用任务进度表重复规则。
可以使用任务进度表重复规则来调整完全和增量式协调的进度表。
有关如何选择任务进度表重复规则的信息，请参见编辑协调策略。
如何安排协调运行时间
在完成协调作业后，协调程序组件将检查其下次的预定运行时间。
首先，协调程序查看默认进度表以获取其下次运行时间。接下来，协调程序运行所有适用的任务进度表重复规则，以确定是否需要进行进度表调整。如果需要调整，规则进度表将覆盖该协调的默认进度表。
“接受所有日期”样例规则
本节介绍了名为“接受所有日期”的内置样例规则。
要查看“接受所有日期”样例规则，请执行以下步骤：
要在“任务进度表重复规则”下拉菜单（在“编辑协调策略”页上）中列出规则，必须将规则的 subtype 属性设置为 SUBTYPE_TASKSCHEDULE_REPETITION_RULE：
<Rule subtype='SUBTYPE_TASKSCHEDULE_REPETITION_RULE' name='SCHEDULING_RULE_ACCEPT_ALL_DATES'>
正如前面所述，任务进度表重复规则可以修改默认协调进度表。
calculatedNextDate 变量可以接受按默认方式计算的下一个日期，也可以返回一个不同的日期。正如该样例规则所编写的，calculatedNextDate 无条件地接受默认日期：
编码样例 7-1 SCHEDULING_RULE_ACCEPT_ALL_DATES 规则逻辑（摘录）
<RuleArgument name='calculatedNextDate'/>
<block>
<ref>calculatedNextDate</ref>
</block>
要创建自定义进度表，请替换 <block> 元素之间的规则逻辑。例如，要将协调开始时间更改为星期六上午 10:00，<block> 元素之间应包含以下 JavaScript：
在编码样例 7-2 中，最初将 calculatedNextDate 设置为默认预定时间。如果下次的预定运行日期为星期六，则规则将协调安排在 10:00 开始运行。如果下次的预定运行日期不是星期六，则编码样例 7-2 将返回 calculatedNextDate（而不进行任何时间调整）并使用默认进度表。
有关创建用于 Identity Manager 的自定义规则的详细信息，请参见 Identity Manager 部署工具中的“使用规则”一章。
活动同步适配器Identity Manager 活动同步功能允许存储在授权外部资源（如应用程序或数据库）中的信息与 Identity Manager 用户数据同步。为 Identity Manager 资源配置同步可使其能够侦听或轮询对授权资源的更改。
可通过在资源同步策略中指定输入表单（针对相应目标对象类型），配置资源属性更改流向 Identity Manager 的方式。
配置同步
Identity Manager 使用同步策略为资源启用同步。
编辑同步策略
每个资源均具有自己的同步策略。
要编辑或配置同步，请执行以下步骤：
在“编辑同步策略”页中指定以下选项以配置同步：
- 目标对象类型 - 选择要应用策略的用户类型：“Identity Manager 用户”或“服务提供者用户”。
注
在服务提供者实现中，必须配置一个同步策略（将“服务提供者用户”指定为对象类型），以便为这些用户启用数据同步。有关服务提供者用户的详细信息，请参见第 17 章 服务提供者管理。
- 调度设置 - 使用此部分可指定启动方法以及轮询进度表。
“启动类型”可以是“手动”、“自动”、“以故障转移方式自动启动”或“禁用”：
使用开始日期和开始时间选项可指定何时开始轮询。通过选择间隔并输入间隔值（秒、分钟、小时、天、周、月）可指定轮询周期。
如果您设置的轮询开始日期和时间还未到达，则轮询将按指定的时间开始。如果您设置的轮询开始日期和时间已经过去，则 Identity Manager 将根据此信息和轮询间隔来确定轮询的开始时间。例如：
在这种情况下，资源将于 2005 年 7 月 25 日（下一个星期一）开始轮询。
如果未指定开始日期或时间，则资源将立即开始轮询。如果采用此方法，则每次应用服务器重新启动时，为活动同步配置的所有资源均将立即开始轮询。典型的方法是设置开始日期和时间。
- 同步服务器 - 在群集环境中，每台服务器都可以运行同步。选择某个选项可指定将用于运行资源同步的服务器。
- 特定于资源的设置 - 使用此部分可指定同步以何种方式确定要为资源处理的数据。
- 普通设置 - 可为数据同步活动指定以下常规设置：
- 代理管理员 - 选择将处理更新的管理员。所有操作将通过分配给此管理员的权能进行授权。您应选择具有空用户表单的代理管理员。
- 输入表单 - 选择将处理数据更新的输入表单。此可选配置项目允许在将属性保存到帐户之前对其进行转换。
- 规则 - 使用该选项可指定数据同步过程中要使用的规则：
- 进程规则 - 选择此规则可指定要为每个传入帐户运行的进程规则。此选择将覆盖所有其他选项。如果指定了进程规则，则会为每一行运行该进程，而不管资源上的其他设置如何。既可以是进程名称，也可以是进程名称的评估规则。
- 关联规则 - 选择关联规则可以覆盖在资源的协调策略中指定的关联规则。关联规则使资源帐户与 Identity System 帐户相关联。
- 确认规则 - 选择确认规则可以覆盖在资源的协调策略中指定的确认规则。
- 解决进程规则 - 选择此规则可指定在数据供应的记录中存在多个匹配项时将运行的任务定义的名称。这应该是提示管理员进行手动操作的进程。既可以是进程名称，也可以是进程名称的评估规则。
- 删除规则 - 选择将针对每个传入的用户更新进行评估并返回 true 或 false 的规则，以确定是否应进行删除操作。
- 创建不匹配帐户 - 启用此选项 (true) 后，适配器将尝试创建在 Identity Manager 系统中未找到的帐户。如果未启用此选项，则适配器将通过由“解决进程规则”返回的进程来运行帐户。
- 日志设置 - 为以下日志记录选项指定值：
单击保存以保存资源的策略设置。
编辑活动同步适配器
在编辑活动同步适配器之前，请停止同步。
要停止同步，请执行以下步骤：
- 打开“编辑同步”页。（有关说明，请参见编辑同步策略。）
- 在调度设置下面，找到启动类型，然后选择已禁用。
对于服务提供者用户，请取消选择启用同步选项。
将显示警告消息，指示已禁用活动同步。
- 单击保存。
为资源禁用同步将导致在保存更改时停止同步任务。
调节活动同步适配器性能
由于同步是后台任务，因此活动同步适配器配置可能会影响服务器性能。调节活动同步适配器性能涉及以下任务：
通过资源列表管理活动同步适配器。选择活动同步适配器，然后从“资源操作”列表的同步段选择开始、停止和状态刷新控制操作。
更改轮询时间间隔
轮询时间间隔决定活动同步适配器何时开始处理新信息。应根据正在执行的活动类型确定轮询时间间隔。例如，如果适配器每次从数据库读入相当长的用户列表并在 Identity Manager 中更新所有用户，则可以考虑在每天早晨运行此进程。某些适配器可能需要快速搜索要处理的新项目，可以设置为每分钟运行一次。
指定运行适配器的主机
要指定运行适配器的主机，请编辑文件 waveset.properties。将 sources.hosts 属性编辑为以下选项之一：
可将需要更多内存和 CPU 循环的活动同步适配器配置为在专用服务器上运行，以帮助平衡系统负载。
启动和停止
可禁用、手动启动或自动启动活动同步适配器。要启动或停止活动同步适配器，您必须具有相应的管理员权能以更改活动同步资源。有关管理员权能的信息，请参见权能类别。
如果将适配器设置为自动启动，则当应用服务器重新启动时，该适配器也将重新启动。启动适配器后，它将立即运行并按指定的轮询时间间隔执行。如果您停止某一适配器，则它将在下次检查停止标志时停止。
适配器日志记录
适配器日志捕获有关适配器当前处理情况的信息。日志捕获的详细信息量取决于您为该日志设置的日志级别。适配器日志对调试问题和查看适配器处理进度都很有用。
每个适配器都有自己的日志文件、路径和日志级别。可以在“同步策略”的“日志”段为相应的用户类型（“Identity Manager 用户”或“服务提供者用户”）指定这些值。
删除适配器日志
只能在适配器已经停止时删除适配器日志。多数情况下会在删除日志之前对其进行复制，以便归档。
