test

Guía del administrador de negocio de Sun Identity Manager 8.1

Acciones masivas de cuenta

En las cuentas de Identity Manager se pueden realizar diversas acciones masivas, lo que permite actuar sobre múltiples cuentas a la vez.

Es posible efectuar las siguientes acciones masivas:

Las acciones masivas funcionan de forma más eficaz si dispone de una lista de usuarios en un archivo o una aplicación, por ejemplo, un cliente de correo electrónico o un programa de hoja de cálculo. Puede copiar y pegar la lista en un campo de esta página de la interfaz o bien cargar la lista de usuarios desde un archivo.

La mayoría de estas acciones pueden realizarse en los resultados de una búsqueda de usuarios. Utilice la página Buscar usuarios (Cuentas -> Buscar usuarios) para buscar usuarios.

Puede guardar los resultados de una operación masiva de cuentas en un archivo CSV con sólo hacer clic en Descargar CSV cuando aparezcan los resultados de la tarea al terminarla.

Inicio de acciones masivas de cuenta

ProcedurePara iniciar acciones masivas de cuenta

  1. En la interfaz de administración, seleccione Cuentas en el menú principal.

  2. Haga clic sobre Iniciar acciones masivas en el menú secundario.

  3. Rellene el formulario y pulse Iniciar.

    Identity Manager inicia una tarea en segundo plano para realizar las acciones masivas.

    Para supervisar el estado de la tarea de acciones masivas, elija Tareas del servidor en el menú principal y después Todas las tareas.

Uso de listas de acciones

Puede especificar una lista de acciones masivas con un formato de valores separados por comas (CSV). Esto le permite ofrecer una combinación de diferentes tipos de acciones en una única lista de acciones. Además, puede especificar acciones de creación y actualización más complejas.

El formato CSV está formado por dos o más líneas de entrada. Cada línea consta de una lista de valores separados por comas. La primera línea contiene los nombres de los campos. Cada una de las líneas restantes corresponde a una acción que se debe efectuar en un usuario de Identity Manager, en las cuentas de recursos del usuario o en ambos elementos. Cada línea debe contener el mismo número de valores. Los valores vacíos dejarán sin modificar el valor del campo correspondiente.

Cualquier entrada de acción masiva en formato CSV tiene dos campos obligatorios:

Comandos Delete, DeleteAndUnlink, Disable, Enable, Unassign y Unlink

Para efectuar acciones con los comandos Delete, DeleteAndUnlink, Disable, Enable, Unassign o Unlink, el único campo adicional que hace falta especificar es "resources". En el campo "resources" debe indicar qué cuentas de qué recursos resultarán afectadas.

El campo "resources" admite los siguientes valores:

A continuación se muestra un ejemplo del formato CSV para varias de estas acciones:

command,user,resources
Delete,John Doe,all
Disable,Jane Doe,resonly
Enable,Henry Smith,Identity Manager
Unlink,Jill Smith,Windows Active Directory|Solaris Server

Comandos Create, Update y CreateOrUpdate

Si va a realizar acciones con los comandos Create, Update o CreateOrUpdate, puede especificar campos de la vista de usuario además de los campos "user" y "command". Los nombres de campo utilizados son las expresiones de ruta de los atributos en las vistas. Encontrará información sobre los atributos disponibles en la vista de usuario dentro de User View Attributes de Sun Identity Manager Deployment Reference. Si está utilizando un formulario de usuario personalizado, los nombres de campo del formulario contienen algunas de las expresiones de ruta que puede utilizar.

Algunas de las expresiones de ruta más utilizadas en las acciones masivas son:

Éste es un ejemplo de uso del formato CSV para realizar acciones de creación y actualización:

command,user,waveset.resources,password.password,
password.confirmPassword,accounts[Windows Active Directory].description,
accounts[Corporate Directory].location Create,John Doe,
Windows Active Directory|Solaris Server,changeit,changeit,John Doe - 888-555-5555,
Create,Jane Smith,Corporate Directory,changeit,changeit,,New York
CreateOrUpdate,Bill Jones,,,,,California

El comando CreateOrUpdate permite especificar un determinado tipo de cuenta en un recurso que admite varios tipos de cuenta. Por tanto, si un usuario tiene varias cuentas en un determinado recurso, cada una de las cuales puede ser de un tipo de cuenta distinto, el ejemplo siguiente ilustra cómo actualizar el tipo de cuenta admin para el usuario UserAye:

command,user,accounts[Sim1|admin].emailAddress
CreateOrUpdate,userAye,bbye8@example.com
Nota –

Aunque el comando CreateOrUpdate permite configurar atributos específicos de cuenta para las cuentas de un usuario, no olvide que los siguientes valores de la sección global de la vista del usuario se aplicarán a todas las cuentas especificadas:

En consecuencia, un comando BulkOps con el formato siguiente quizá no actúe como se espera.

command,user,accounts[Sim1].email
CreateOrUpdate,userAye,bbye8@example.com

Si userAye ya tiene un valor para email, dicho valor se aplicará al atributo email en el recurso Sim1. No es posible anular este comportamiento.

Campos con varios valores

Algunos campos pueden tener múltiples valores. Se les conoce como campos de varios valores. Por ejemplo, el campo waveset.resources puede utilizarse para asignar varios recursos a un usuario. Puede emplear el carácter de barra vertical o línea (|) para separar varios valores en un campo. La sintaxis de varios valores puede especificarse de la siguiente forma:

value0 | value1 [ | value2 ... ]

Al actualizar campos de varios valores en usuarios existentes, no es recomendable sustituir los valores actuales del campo por uno o varios valores nuevos. Es posible que desee eliminar algunos valores o agregar nuevos valores a los actuales. Puede utilizar directivas de campo para especificar cómo desea que se utilicen los valores del campo. Las directivas de campo anteceden al valor de campo y suelen ir entre caracteres de barra vertical: 

|directive [ ; directive ] | field values

Puede elegir las siguientes directivas:

Nota –

En los valores de campo se diferencian mayúsculas de minúsculas. Debe tenerse en cuenta al especificar las directivas Merge (Fusionar) y Remove (Eliminar). Los valores deben coincidir de forma exacta parra eliminarlos correctamente o para impedir que haya varios valores similares al realizar una fusión.

Caracteres especiales en valores de campo

Si un valor de campo incluye una coma (,) o comillas ("), o si desea conservar los espacios iniciales o finales, deberá introducir el valor entre comillas ("valor_campo"). Deberá sustituir las comillas del valor de campo por dos caracteres de comillas ("). Por ejemplo, "John ""Johnny"" Smith" da como resultado el valor de campo John "Johnny" Smith.

Si un valor de campo contiene una barra vertical (|) o inclinada inversa (\), deberá preceder dicho carácter con una barra inclinada inversa (\| o \\).

Atributos de vista de acciones masivas

Cuando se realizan acciones con los comandos Create, Update o CreateOrUpdate, hay otros atributos de la vista de usuario que sólo están disponibles o utilizables al procesar acciones masivas. Se puede hacer referencia a estos atributos en el formulario de usuario para permitir un comportamiento específico en las acciones masivas.

Estos atributos son los siguientes:

Reglas de correlación y confirmación

Utilice las reglas de correlación y confirmación cuando no disponga del nombre de usuario de Identity Manager para escribirlo en el campo usuario de sus acciones. Si no especifica un valor para el campo Usuario, deberá especificar una regla de correlación al iniciar la acción en masa. Si especifica un valor para el campo Usuario, las reglas de correlación y confirmación no se evaluarán para esa acción.

Una regla de correlación busca los usuarios de Identity Manager que coinciden con los campos de la acción. Una regla de confirmación prueba un usuario de Identity Manager con respecto a los campos de la acción para determinar si coincide o no. Este tratamiento bifásico permite a Identity Manager mejorar la correlación, ya que encuentra rápidamente a posibles usuarios (según el nombre o los atributos) y realiza comprobaciones costosas solamente en el caso de posibles usuarios.

Cree una regla de correlación o de confirmación creando un objeto de regla con un subtipo de SUBTYPE_ACCOUNT_CORRELATION_RULE o SUBTYPE_ACCOUNT_CONFIRMATION_RULE, respectivamente.

Para obtener más información sobre las reglas de correlación y de confirmación, consulte el Capítulo 3, Data Loading and Synchronization de Sun Identity Manager Deployment Guide.

Reglas de correlación

El valor de entrada de una regla de correlación es una asignación de los campos de acción. La salida debe ser uno de los siguientes:

Una regla de correlación típica genera una lista de nombres de usuario según los valores de los campos de la acción. Una regla de correlación también puede generar una lista de condiciones de atributo (relacionadas con los atributos de solicitud de Type.USER) que se utilizarán para seleccionar usuarios.

Una regla de correlación debe ser relativamente económica pero lo más selectiva posible. Si es posible, deje el procesamiento costoso para una regla de confirmación.

Las condiciones de atributo deben hacer referencia a atributos de Type.USER que puedan solicitarse. Se configuran en el objeto de configuración de Identity Manager denominado IDM Schema Configuration.

Para realizar la correlación en un atributo extendido es necesario una configuración especial:

El atributo extendido debe especificarse como consultable.

ProcedurePara configurar como consultable un atributo extendido

  1. Abra IDM Schema Configuration. Necesita la capacidad de IDM Schema Configuration para ver o editar IDM Schema Configuration.

  2. Busque el elemento <IDMObjectClassConfiguration name=’Usuario’> .

  3. Busque el elemento <IDMObjectClassAttributeConfiguration name=’ xyz ’>, donde xyz es el nombre del atributo que desea configurar como consultable.

  4. Configure queryable=’true’

    En Reglas de correlación, el atributo extendido email se define como consultable.

Ejemplo 3–1 Extracto de XML donde se define el atributo extendido email como consultable

<IDMSchemaConfiguration>
  <IDMAttributeConfigurations>
    <IDMAttributeConfiguration name=’email’ syntax=’STRING’/>
    </IDMAttributeConfiguration>
  </IDMAttributeConfigurations>
  <IDMObjectClassConfigurations>
    <IDMObjectClassConfiguration name=’User’ extends=’Principal’ description=’User description’>
      <IDMObjectClassAttributeConfiguration name=’email’ queryable=’true’/>
    </IDMObjectClassConfiguration>
  </IDMObjectClassConfigurations>
 </IDMSchemaConfiguration>

Para que el cambio de IDM Schema Configuration surta efecto, debe reiniciar la aplicación de Identity Manager (o el servidor de aplicaciones).

Reglas de confirmación

En cualquier regla de confirmación las entradas son así:

Una regla de confirmación devuelve un valor booleano en forma de cadena de “verdadero” si el usuario coincide con los campos de acción. Si no es así, el valor que devuelve es “falso”.

Una regla de confirmación típica compara los valores internos de la vista del usuario con los valores de los campos de acción. Como segunda fase opcional en el procesamiento de correlación, la regla de confirmación realiza una comprobación que no se puede expresar en una regla de correlación (o que es demasiado costosa para evaluarla en una regla de correlación).

En general, sólo se necesita una regla de confirmación en los siguientes casos:

Una regla de confirmación se ejecuta una vez para cada usuario coincidente devuelto por la regla de correlación.