Guía del administrador de negocio de Sun Identity Manager 8.1

Configuración de recursos externos

En esta sección se describe el proceso de configuración del almacén de datos de recursos externos y la notificación al abastecedor de recursos externos.

Configuración del almacén de datos de recursos externos

El almacén de datos de recursos externos de Identity Manager constituye un único alojamiento para la información sobre los recursos externos y sus asignaciones. Este almacén puede ser una base de datos o un directorio.


Nota –

Para configurar el almacén de datos de recursos externos se necesita la capacidad Administrador de recursos externos.


El almacén de datos de recursos externos le permite almacenar la información en los valores de atributo que le interesen, así como incluir dichos valores en una o varias tablas.

Por ejemplo, si utiliza una base de datos MySQL, Identity Manager almacena la información de recursos externos en las tablas siguientes:

Las secuencias de comandos de ejemplo utilizadas para crear las tablas de base de datos se incluyen con Identity Manager en la siguiente ubicación:


wshome/sample/ScriptedJdbc/External

Identity Manager es compatible con numerosos tipos de bases de datos, para cada uno de los cuales ofrece secuencias de comandos de ejemplo. Puede modificar estas secuencias de comandos como requiera su entorno específico.

El almacén de datos de recursos externos también es compatible con LDAP mediante el adaptador LDAPResourceAdapter, que permite almacenar la información en clases existentes o personalizadas. Con Identity Manager también se incluye una secuencia de comandos de ejemplo LDIF en la siguiente ubicación:


wshome/sample/other/externalResourcePerson.ldif

Puede modificar esta secuencia de comandos al configurar un almacén de datos de directorio de recursos externos.

ProcedurePara configurar un almacén de datos de base de datos

Aunque es muy fácil introducir cambios, el almacén de datos de recursos externos sólo suele configurarse una vez. Si modifica la configuración, Identity Manager actualiza automáticamente todos los recursos externos existentes para utilizar el almacén de datos recién configurado.

Siga estos pasos para configurar un almacén de datos de base de datos:

  1. Seleccione Configurar -> Recursos externos en la barra de menús de la interfaz de administración de Identity Manager.

  2. Cuando aparezca la página Configuración de almacén de datos, elija Base de datos en el menú Tipo de almacén de datos. Aparecen más opciones.

    Figura 5–14 Página Configuración de almacén de datos: base de datos

    Figura con un ejemplo de la página Configuración de almacén de datos para el tipo Base de datos

  3. Especifique la siguiente información de conexión y autenticación:


    Nota –

    Identity Manager rellena automáticamente con los valores predeterminados los campos Controlador JDBC, Plantilla URL de JDBC, Puerto y Tiempo máx. de inactividad (segs). Si es preciso, puede cambiar estos valores.


    • Controlador JDBC. Especifique el nombre de la clase del controlador JDBC.

    • Plantilla URL de JDBC. Especifique la plantilla URL del controlador JDBC.

    • Host. Introduzca el nombre del servidor en el que se está ejecutando la base de datos.

    • Puerto TCP. Introduzca el puerto en el que la base de datos recibe las consultas.

    • Base de datos. Introduzca el nombre de la base de datos presente en el servidor de base de datos que contiene la tabla.

    • Usuario. Introduzca el ID de un usuario de base de datos con permisos suficientes para leer, actualizar y eliminar filas de la tabla de la base de datos. Por ejemplo, root.

    • Password. Introduzca la contraseña del usuario de la base de datos.

    • Volver a enviar todas las SQLExceptions. Marque esta casilla para volver a enviar las excepciones SQL a las sentencias SQL si los códigos de error de excepción son 0.

      Si no habilita esta opción, Identity Manager intercepta y elimina estas excepciones.

    • Tiempo máx. de inactividad (segs). Introduzca el tiempo máximo de inactividad en segundos que una conexión JDBC deba permanecer sin usar en un grupo.

      Si la conexión no se utiliza antes de que transcurra el tiempo especificado, Identity Manager la cerrará y la quitará del grupo.

      • El valor predeterminado es 600 segundos.

      • Con el valor -1 la conexión nunca caduca.

  4. Tras conectarse satisfactoriamente al almacén de datos, debe especificar una varias secuencias de comandos para que se ejecuten con cada acción de recurso admitida. Consulte las instrucciones en el apartado Para configurar secuencias de comandos de acción.

ProcedurePara configurar secuencias de comandos de acción

Debe especificar un conjunto de secuencias de comandos de BeanShell (bsh) que Identity Manager pueda utilizar para efectuar un seguimiento y ejecutar los estados Obtener, Crear, Actualizar, Eliminar, Habilitar, Inhabilitar y Probar de una solicitud determinada.

Encontrará secuencias de comandos de ejemplo en:


wshome/sample/ScriptedJdbc/External/beanshell

Nota –

Estos ejemplos se pueden modificar para crear sus propias secuencias de comandos personalizadas. Las secuencias de comandos se añaden a la herramienta de selección Secuencias de comandos de acción y se muestran bajo la línea de las listas Disponible y Seleccionado.


Identity Manager proporciona secuencias de comandos de ejemplo para las acciones de recurso y los tipos de bases de datos admitidos para los recursos externos. Para acceder a estas secuencias de comandos, utilice las denominadas ResourceAction, que se encuentran en:


wshome/sample/ScriptedJdbc/External/beanshell

De manera predeterminada, el nombre de la base de datos, el de usuario y la contraseña son extres.

Para configurar las secuencias de comandos de acción, siga estos pasos:

  1. Use las herramientas de selección Secuencias de comandos de acción de la página Configuración de almacén de datos para especificar una o más secuencias de comandos de acción para cada acción de recurso. Debe seleccionar al menos una secuencia por acción de recurso.

    Figura 5–15 Área Secuencias de comandos de acción

    Figura con un ejemplo del área Secuencias de comandos de acción de la página Configuración de almacén de datos

    Ha de seleccionar la secuencia de comandos de acción correspondiente a la acción de recurso. Por ejemplo, utilice:

    • External-getUser-bsh para las acciones de recurso GetUser


      Nota –

      Las acciones de recurso GetUser se utilizan en las operaciones de búsqueda.


    • External-createUser-bsh para las acciones de recurso CreateUser

    • External-deleteUser-bsh para las acciones de recurso DeleteUser

    • External-updateUser-bsh para las acciones de recurso UpdateUser

    • External-disableUser-bsh para las acciones de recurso DisableUser

    • External-enableUser-bsh para las acciones de recurso EnableUser

    • External-test-bsh para las acciones de recurso Test


      Nota –

      Las acciones de recurso Test se utilizan para habilitar la funcionalidad completa del botón Conexión de prueba.


    Cualquier otra secuencia de comandos bsh de ejemplo que seleccione no funcionará.

  2. Elija un Modo de contexto de acción en el menú para especificar cómo deben transferirse los valores de atributo a las secuencias de comandos de acción.

    • Cadenas. Los valores de atributo se transfieren como valores de cadena.

    • Directo. Los valores de atributo se transfieren como un objeto com.waveset.object.AttributeValues.

  3. Éste es un buen momento para probar la configuración de la conexión al almacén de datos. Pulse el botón Conexión de prueba, que se halla en la parte inferior de la página.

    Aparece un mensaje para indicar si la conexión es correcta o errónea.

  4. Cuando termine, pulse Siguiente para continuar en la página Configuración de notificación a abastecedores.

ProcedurePara configurar un almacén de datos de directorio

Siga estos pasos para configurar un almacén de datos de directorio:

  1. Seleccione Directorio en el menú Tipo de almacén de datos. Aparecen más opciones.

    Figura 5–16 Página Configuración de almacén de datos: directorio

    Figura con un ejemplo de la página Configuración de almacén de datos para el tipo Directorio

  2. Debe especificar la información de conexión y autenticación para un almacén de datos de tipo directorio.

    Configure las opciones siguientes:

    • Host. Introduzca el nombre o la dirección IP del servidor donde se está ejecutando el servidor LDAP.

    • Puerto TCP. Introduzca el puerto TCP/IP utilizado para comunicarse con el servidor LDAP.

      • Si utiliza SSL, este puerto suele ser 636.

      • Si no utiliza SSL, este puerto suele ser 389.

    • SSL. Elija esta opción para conectar con el servidor LDAP mediante SSL.

    • Servidores de conmutación por errores. Lista de todos los servidores que se utilizan para la reconexión de emergencia si falla el servidor preferido. Esta información se debe introducir en el formato indicado a continuación, que respeta las URL estándar de la versión 3 de LDAP descritas en RFC 2255:


      ldap://ldap.example.com:389/o=LdapFailover

      En esta configuración sólo son relevantes las porciones de host, puerto y nombre distinguido (nd) de la URL.

      Si falla el servidor preferido, JNDI se conectará automáticamente al siguiente servidor de esta lista.

    • ND de usuario. Introduzca el nd con el que se autenticará en el servidor LDAP cuando se efectúen actualizaciones. (El valor predeterminado es cn=Directory Manager)

    • Password. Introduzca la contraseña del responsable titular.

    • Contextos base. Introduzca uno o más puntos de partida que Identity Manager puede usar al buscar usuarios en el árbol LDAP. (El valor predeterminado es dc=MYDOMAIN,dc=com)

      Identity Manager efectúa búsquedas al intentar descubrir usuarios del servidor LDAP o cuando se buscan los grupos a los que están afiliados los usuarios.

    • Clase del objeto. Indique la clase o clases de objeto que se utilizarán al crear nuevos objetos de usuario en el árbol LDAP. (El valor predeterminado es top)

      Cada entrada debe ocupar una línea distinta. No utilice coma ni punto y coma para separar las entradas.

      Determinados servidores LDAP requieren que se especifiquen todas las clases de objeto presentes en la jerarquía de clases. Por ejemplo, tal vez necesite especificar top, person, organizationalperson e inetorgperson en lugar de sólo inetorgperson.

    • Filtro de LDAP para recuperar cuentas. Introduzca un filtro de LDAP opcional para controlar las cuentas que se van a devolver procedentes del recurso LDAP. Si no introduce ningún filtro, Identity Manager devolverá todas las cuentas que contienen todas las clases de objeto especificadas.

    • Incluir todas las clases de objeto en el filtro de búsqueda. Marque esta casilla para que todas las cuentas deban incluir todas las clases de objetos especificadas y coincidir con el filtro indicado en el campo Filtro de LDAP para recuperar cuentas.


      Nota –

      Esta opción debe habilitarse cuando no se introduce ningún filtro de búsqueda. Si esta opción está inhabilitada, las cuentas que no incluyan todas las clases de objeto especificadas se podrán cargar en Identity Manager con las funciones de reconciliación o carga desde recurso.


      Una vez cargadas, el atributo objectclass de la cuenta no se actualiza automáticamente. Si se expone a la interfaz de administración un atributo de una clase sin objeto, se producirá un error si se otorga un valor a este atributo sin modificar el atributo objectclass. Para evitar este problema, anule el valor de objectclass del formulario de Reconciliación o Cargar desde recurso.

    • Atributo de nombre de usuario. Introduzca el nombre del atributo LDAP que se asigna al nombre del usuario de Identity Manager cuando se descubren usuarios en el directorio. Este nombre suele ser uid o cn.

    • Mostrar nombre de atributo. Introduzca el atributo de cuenta de recursos cuyo valor será utilizado cuando se muestre este nombre de cuenta.

    • Atributo de clasificación VLV. Especifique el nombre del atributo de clasificación que se utilizará para los índices VLV en el recurso.

    • Utilizar bloques. Marque esta casilla para recuperar y procesar los usuarios en bloques.

      Cuando se ejecutan operaciones con un gran número de usuarios, éstos se procesan en bloques para reducir la cantidad de memoria utilizada por la operación.

    • Número de bloques. Introduzca el número máximo de usuarios que pueden agruparse en bloques para procesar.

    • Atributos de miembro de grupo. Introduzca el nombre del atributo de pertenencia al grupo que se actualizará con el nombre distinguido (ND) del usuario cuando éste se añada al grupo.

      El nombre de atributo depende de la clase de objeto del grupo. Por ejemplo, Sun JavaTM System Enterprise Edition Directory Server y otros servidores LDAP utilizan grupos con la clase de objeto groupOfUniqueNames y el atributo uniqueMember. Otros servidores LDAP utilizan grupos con la case de objeto groupOfNames y el atributo member.

    • Algoritmo de cálculo de claves de contraseñas. Introduzca el algoritmo que deberá utilizar Identity Manager para incluir claves en la contraseña. Los valores admitidos son:

      • SSHA

      • SHA

      • SMD5

      • MD5

      Si indica 0 o deja vacío este campo, Identity Manager no incluirá calves en las contraseñas y almacenará contraseñas de texto simple en LDAP, a no ser que el servidor LDAP realice el cálculo de claves. Por ejemplo, Sun Java System Enterprise Edition Directory Server incluye claves en las contraseñas.

    • Modificar atributos de nombre. Marque esta casilla para permitir modificaciones del atributo de usuario que representa el nombre distinguido (ND) relacionado que se encuentra más a la izquierda. Las modificaciones suelen cambiar los atributos de asignación de nombre a uid o cn.

    • Método de activación de LDAP.

      • Deje este campo en blanco si quiere que el recurso utilice asignación de contraseñas para habilitar o inhabilitar las acciones.

      • Introduzca la palabra clave (nsmanageddisabledrole o nsaccountlock), o el nombre de clase que se debe usar para realizar una acción de activación para usuarios de este recurso.

    • Parámetro de activación de LDAP. Introduzca un valor según cómo haya rellenado el campo Método de activación de LDAP:

      • Si ha especificado la palabra clave nsmanageddisabledrole, deberá introducir un valor con este formato:


        IDMAttribute=CN=nsmanageddisabledrole,baseContext
        
      • Si ha especificado la palabra clave nsaccountlock, deberá introducir un valor con este formato:


        IDMAttribute=true
      • Si ha especificado un nombre de clase, deberá introducir un valor con este formato:


        IDMAttribute
        

      Nota –

      Para obtener más información sobre el Método de activación de LDAP y el Parámetro de activación de LDAP, consulte la guía Sun Identity Manager 8.1 Resources Reference .


    • Usar control de resultados paginados. Marque esta casilla para utilizar el control de resultados paginados de LDAP en lugar del control de VLV para iterar las cuentas durante la reconciliación.


      Nota –

      El recurso debe ser compatible con el control de paginación simple.


    • Mantener miembros de grupo de LDAP . Marque esta casilla para que el adaptador mantenga los miembros de grupo de LDAP al renombrar o eliminar usuarios.

      Si no habilita esta opción, el recurso LDAP mantiene la pertenencia a los grupos.

  3. Pruebe la configuración de la conexión al almacén de datos con el botón Conexión de prueba.

    Aparece un mensaje para indicar si la conexión es correcta o errónea.

  4. Cuando termine, pulse Guardar y después Siguiente para continuar en la página Configuración de notificación a abastecedores.


    Nota –

    Debe configurar atributos de cuenta válidos y una plantilla de identidad para poder crear usuarios en un recurso LDAP.


Configuración de notificaciones a abastecedores

Una vez configurado el almacén de datos para los recursos externos, debe configurar las notificaciones a los abastecedores. También es posible configurar las notificaciones a los solicitantes. A continuación se explica el proceso para configurar notificaciones con correo electrónico o Remedy.

ProcedurePara configurar notificaciones por correo electrónico


Nota –

Encontrará más información sobre las plantillas de correo electrónico en Configuración de plantillas de tareas.


Siga estas instrucciones para configurar y enviar notificaciones por correo electrónico a uno o varios abastecedores.

  1. En la página Configuración de notificación a abastecedores, seleccione Correo electrónico en el menú Tipo de notificación a abastecedor. Aparecen otras opciones, como ilustra la figura siguiente.

    Figura 5–17 Página Configuración de notificación a abastecedores: Tipo de notificación por correo electrónico

    Figura con un ejemplo de la página Configuración de notificación a abastecedores con el tipo de notificación por correo electrónico

  2. Configure las opciones siguientes:

    • Plantilla de solicitud de abastecimiento. Elija Ejemplo de solicitud de abastecimiento externa en el menú. Con esta plantilla debe configurar el correo electrónico empleado para notificar a los abastecedores de solicitudes de recursos externos.

    • Seguir delegación. Marque esta casilla si quiere que Identity Manager siga las delegaciones definidas para el abastecedor.

    • Regla de escalada a abastecedor (opcional). Elija una regla para establecer a qué abastecedor se traslada una solicitud en caso de que el abastecedor actual no responda antes del tiempo de espera indicado.


      Nota –

      Aunque este menú contiene varias reglas de ejemplo, debe seleccionar la regla Ejemplo de escalada a abastecedor externo o utilizar una regla propia. La regla Ejemplo de escalada a abastecedor externo aplica una regla de escalada a abastecedor externo para establecer el abastecedor en caso de escalada.


    • Tiempo de espera de escalada. Indique el máximo tiempo de espera antes de traslada una solicitud de abastecimiento al siguiente abastecedor.


      Nota –
      • Si deja este campo vacío o introduce un cero, la solicitud nunca se escala.

      • Si especifica un tiempo de espera, pero no una Regla de escalada a abastecedor, Identity Manager escalará la solicitud al configurador cuando transcurra el tiempo de espera especificado. Si no hay configurador, la solicitud se clasificará como no completada una vez caducado el tiempo de espera.


    • Formulario de solicitud de abastecimiento. Elija un formulario que los abastecedores de recursos externos puedan utilizar para marcar como completada o no completada una solicitud de abastecimiento.

    • Regla de abastecedores. Debe elegir una regla para definir el abastecedor a quien se envían las solicitudes de abastecimiento cuando se asignan recursos externos a los usuarios.


      Nota –
      • Puede elaborar sus propias reglas al respecto. También es posible definir varios abastecedores. Cuando alguno de ellos complete la tarea, ésta desaparecerá de las colas de todos los abastecedores. Para obtener más información sobre la creación de reglas, consulte el Capítulo 4, Working with Rules de Sun Identity Manager Deployment Reference.

      • Aunque este menú contiene varias reglas de ejemplo, debe seleccionar la regla Ejemplo de solicitud de abastecimiento externa o utilizar una regla propia. La regla Ejemplo de solicitud de abastecimiento externa convierte al configurador en abastecedor.


    • Notificar a solicitante. Marque esta casilla para devolver por correo electrónico al solicitante original información sobre lo acontecido con la solicitud. Por ejemplo, si se ha completado o no la solicitud de abastecimiento, si se precisa más información, etc.

      Cuando se habilita esta opción, aparecen además estos campos:


      Nota –
      • Plantilla de solicitud de abastecimiento completada. Seleccione la plantilla de solicitud de abastecimiento completada para avisar a los solicitantes cuando se hayan completado sus solicitudes.

      • Plantilla de solicitud de abastecimiento no completada. Seleccione la plantilla de solicitud de abastecimiento no completada para avisar a los solicitantes cuando no se hayan completado sus solicitudes.


  3. Pulse Guardar.

    Aparece la página Configurar, donde se le indica que puede continuar realizando otra tarea de configuración.

  4. Vaya a la ficha Recursos -> Listar recursos. Ahora ya puede crear recursos externos individuales basándose en esta configuración. Consulte las instrucciones en el apartado Para crear un recurso.

ProcedurePara configurar notificaciones de Remedy

Siga estas instrucciones para crear y enviar un ticket de Remedy a los abastecedores.

  1. Seleccione Remedy en el menú Tipo de notificación a abastecedor. Aparecen otras opciones, como ilustra la figura siguiente.

    Figura 5–18 Página Configuración de notificación a abastecedores: Tipo de notificación de Remedy

    Figura con un ejemplo de la página Configuración de notificación a abastecedores con el tipo de notificación de Remedy

  2. Configure las opciones siguientes:

    • Plantilla de Remedy de solicitud de abastecimiento. Elija Ejemplo de plantilla de Remedy externa en el menú.


      Nota –

      Identity Manager incluye un ejemplo de plantilla de Remedy que puede utilizar o modificar según convenga.


      Una plantilla de Remedy contiene un conjunto de campos que sirven para crear un ticket de Remedy. Identity Manager también utiliza esta plantilla para consultar el estado del ticket de Remedy con el fin de comprobar si se ha completado o no una tarea.

    • Regla de Remedy de solicitud de abastecimiento. En este menú debe elegir una regla para definir los valores de configuración de Remedy.


      Nota –

      Aunque este menú contiene varias reglas de ejemplo, debe seleccionar el Ejemplo de regla de Remedy externa o utilizar una regla propia. En el ejemplo de regla de Remedy externa se utiliza una regla de Remedy para saber si el estado actual de un ticket de Remedy es completado o no completado.


      Una plantilla de Remedy contiene un conjunto de campos que sirven para crear un ticket de Remedy. Identity Manager también utiliza esta plantilla para consultar el estado del ticket de Remedy con el fin de comprobar si se ha completado o no una tarea.

      Identity Manager aplica esta regla para consultar la información de estado de un ticket de Remedy. Si el estado del ticket es completado o no completado, Identity Manager marca el elemento de trabajo respectivamente como completado o no completado.


      Nota –

      Puede elaborar sus propias reglas al respecto. Se incluye un ejemplo de regla de Remedy externa que puede utilizar directamente o modificarlo como interese. Para obtener más información sobre la creación de reglas, consulte el Capítulo 4, Working with Rules de Sun Identity Manager Deployment Reference.


    • Seguir delegación. Marque esta casilla si quiere que Identity Manager siga las delegaciones definidas para el abastecedor.

    • Regla de escalada a abastecedor (opcional). Elija una regla para establecer a qué abastecedor se traslada una solicitud en caso de que el abastecedor actual no responda antes del tiempo de espera indicado.


      Nota –

      Aunque este menú contiene varias reglas de ejemplo, debe seleccionar la regla Ejemplo de escalada a abastecedor externo o utilizar una regla propia. La regla Ejemplo de escalada a abastecedor externo aplica una regla de escalada a abastecedor externo para establecer el abastecedor en caso de escalada.


    • Tiempo de espera de escalada. Indique el máximo tiempo de espera antes de traslada una solicitud de abastecimiento al siguiente abastecedor.


      Nota –
      • Si deja este campo vacío o introduce un cero, la solicitud nunca se escala.

      • Si especifica un tiempo de espera, pero no una Regla de escalada a abastecedor, Identity Manager escalará la solicitud al configurador cuando transcurra el tiempo de espera especificado. Si no hay configurador, la solicitud se clasificará como no completada una vez caducado el tiempo de espera.


    • Formulario de solicitud de abastecimiento. Elija un formulario que los abastecedores de recursos externos puedan utilizar para marcar como completada o no completada una solicitud de abastecimiento.

    • Regla de abastecedores. Seleccione una regla que establezca uno o más abastecedores para esta solicitud de recursos externa.


      Nota –

      Puede elaborar sus propias reglas al respecto. También es posible definir varios abastecedores. Cuando alguno de ellos complete la tarea, ésta desaparecerá de las colas de todos los abastecedores. Para obtener más información sobre la creación de reglas, consulte el Capítulo 4, Working with Rules de Sun Identity Manager Deployment Reference.


      • Ejemplo de abastecedor externo. Convierte al configurador en abastecedor.

      • Ejemplo de escalada a abastecedor externo. Aplica una regla de ejemplo de escalada a abastecedor externo para establecer el abastecedor en caso de escalada.

      • Ejemplo de regla de Remedy externa. Define los valores de configuración de Remedy.

    • Notificar a solicitante. Marque esta casilla si desea avisar por correo electrónico al solicitante cuando su solicitud se haya completado o no. Cuando se habilita esta opción, aparecen además estos campos:

      • Plantilla de solicitud de abastecimiento completada. Seleccione la plantilla de correo electrónico que se utilizará cuando se hayan completado las solicitudes.

      • Plantilla de solicitud de abastecimiento no completada. Seleccione la plantilla de correo electrónico que se utilizará cuando no se hayan completado las solicitudes.


      Nota –

      Encontrará más información sobre las plantillas de correo electrónico en Configuración de las plantillas de tarea.


  3. Pulse Guardar.

    Aparece la página Configurar, donde se le indica que puede continuar realizando otra tarea de configuración.

  4. Vaya a la ficha Recursos -> Listar recursos. Ahora ya puede crear recursos externos individuales basándose en esta configuración. Consulte las instrucciones en Creación de recursos externos.