Cette section comprend les rubriques de configuration suivantes :
IMPORTANT: si vous utilisez le pilote NT et le pilote Exchange, effectuez la procédure suivante :
Le pilote DirXML pour domaine NT et le pilote DirXML pour Exchange peuvent tous deux créer des utilisateurs dans le domaine. Pour éviter tout conflit, il est possible de configurer un mécanisme à l'aide des règles Identity Manager.
Le pilote DirXML pour domaine NT dispose d'un attribut Utilisateur appelé DirXML-NTAccountName. Cet attribut contient un attribut DomainName/UserName. La boîte aux lettres Exchange et les objets distants doivent associer cette valeur à un compte de domaine. Pour que cette association s'effectue correctement, la valeur contenue dans DirXML-NTAccountName doit être placée dans l'attribut MailBox de Assoc-NT-Account. Il ne faut pas oublier que les noms d'attributs sont soumis à la distinction majuscules/minuscules.
À l'aide du script DirXML, modifiez la règle de création de l'objet Abonné existante pour le pilote Exchange (ou créez une nouvelle règle), afin qu'un nouvel objet MailBox ne soit pas créé sauf si l'attribut DirXML-NTAccountName est renseigné.
Vérifiez que l'attribut DirXML-NTAccountName se trouve dans le filtre Éditeur du pilote DisXML pour domaine NT et dans le filtre Abonné du pilote DirXML pour Exchange.
Redémarrez ces deux pilotes.
Les modifications présentées dans Intégration du pilote DirXML pour domaine NT et du pilote DirXML pour Exchange garantissent le flux de contrôle suivant :
NOTE: bien que les exemples utilisent DirXML-NTAccountName comme attribut eDirectory pour contenir les informations de compte NT, vous pouvez choisir n'importe quel attribut qui vous conviendrait mieux.
Le registre NT effectue le suivi des données utilisateur et de certaines données non-utilisateur. Par exemple, les informations sur les objets Poste de travail apparaissent en tant qu'objets Utilisateur dans le Gestionnaire des utilisateurs NT. Ces informations sont synchronisées avec celles d'eDirectory, sauf si vous les filtrez à l'aide d'une feuille de style. La feuille de style suivante peut être utilisée dans la transformation de l'événement pour garantir que seuls les véritables objets utilisateur sont synchronisés.
<xsl:template match="node()|@*">
<xsl:copy>
<xsl:apply-templates select="node()|@*"/>
</xsl:copy>
</xsl:template> <!-- Test for Non-User user objects like workstations that have a $ in the
name --> <xsl:template match="add[@class-name='User']|modify[@class
name='User']|sync[@class-name='User']">
<xsl:choose>
<xsl:when test="contains(@src-dn,'$')"/>
<xsl:otherwise>
<xsl:copy>
<xsl:apply-templates select="node() | @*"/>
</xsl:copy>
</xsl:otherwise>
</xsl:choose>
</xsl:template>
</xsl:stylesheet>
Le pilote permet de synchroniser les informations sur les groupes dans les attributs utilisateur détenant des informations sur les membres de ces groupes ainsi que dans les objets Groupe eux-mêmes.
Cette fonctionnalité permet de voir à quels groupes l'utilisateur appartient, que ce soit dans eDirectory ou dans NT.
Pour synchroniser les informations sur les groupes :
Vérifiez que les groupes à synchroniser portent bien le même nom dans eDirectory et dans NT.
Par exemple, si vous souhaitez synchroniser les informations sur les groupes pour le groupe NT global, Utilisateur du domaine, vous devez créer un objet Groupe appelé Utilisateur du domaine dans eDirectory.
Créez une association DirXML entre le groupe NT et le groupe eDirectory.
Dans iManager, sélectionnez Administration eDirectory > Modifier l'objet.
Parcourez le groupe eDirectory à synchronisez, puis cliquez sur OK.
Cliquez sur l'onglet DirXML puis sur Ajouter.
La boîte de dialogue Ajouter une association apparaît.
Spécifiez le pilote DirXML pour NT dans le champ Objet Pilote d'intégration.
Saisissez le nom du groupe NT dans le champ ID d'objet associé, en utilisant des majuscules selon la syntaxe suivante :
\DOMAINNAME\GROUPNAME
Cliquez sur OK.
La nouvelle association apparaît dans la page Associations.
Modifiez la règle d'assignation de schéma pour assigner les attributs NT UserLocalGroups et UserGlobalGroups aux attributs eDirectory.
Cliquez sur Gestion DirXML > Présentation, puis sélectionnez l'ensemble de pilotes contenant le pilote DirXML pour NT.
Cliquez sur le pilote pour ouvrir la page Présentation du pilote.
Double-cliquez sur la règle d'assignation de schéma pour assigner les nouveaux attributs.
Vous pouvez assigner les attributs NT à n'importe quel attribut de chaîne à valeurs multiples. UserGlobalGroups est généralement assigné à l'attribut GroupMembership.
Si vous acheminez les données de NT vers eDirectory, double-cliquez sur l'icône Filtre de l'objet Éditeur et ajoutez les nouveaux attributs.
Si vous acheminez les données depuis eDirectory, double-cliquez sur l'icône Filtre de l'objet Abonné et ajoutez les nouveaux attributs.
Cliquez sur OK.
La synchronisation des informations du groupe commence lorsque le pilote est redémarré et une modification vers les informations sur les utilisateurs est opérée.
NOTE: si vous utilisez le Gestionnaire d'utilisateurs pour modifier les valeurs de l'attribut d'adhésion du groupe sans effectuer de modification sur les autres données, la mise à jour n'est pas immédiatement synchronisée. Les modifications seront synchronisées la prochaine fois que l'utilisateur NT se reconnectera ou lorsque les données de l'objet Utilisateur seront modifiées.
Modifiez les règles de placement des objets Abonné et Éditeur pour faire correspondre le conteneur eDirectory au nom du domaine NT que vous avez configuré. Les règles de placement sont créées lorsque vous importez l'exemple de fichier de configuration du pilote.
Pour modifier les règles de placement :
Dans iManager, sélectionnez Gestion DirXML > Présentation.
Sélectionnez l'ensemble de pilotes qui contient le pilote, puis cliquez sur l'icône du pilote.
La présentation du pilote s'affiche. Les règles peuvent être modifiées ici.
Double-cliquez sur la règle de placement à modifier et apportez les modifications appropriées.
IMPORTANT: toutes les règles de placement doivent utiliser la syntaxe à barre oblique.
Dans iManager, sélectionnez Gestion DirXML > Présentation.
Sélectionnez l'ensemble de pilotes qui contient le pilote, puis cliquez sur l'icône du pilote.
La présentation du pilote s'affiche. Les règles peuvent être modifiées ici.
Double-cliquez sur l'icône de filtre et ajoutez ou supprimez les attributs appropriés.
Sélectionnez les attributs utilisateur eDirectory avec lesquels vous souhaitez effectuer la synchronisation.
Le pilote prend en charge l'objet Utilisateur du domaine. Dans l'objet Utilisateur, le pilote prend en charge les attributs accessibles en utilisant la structure de données USER_INFO_3 à l'aide des API NetUser.
Le tableau suivant liste les attributs pris en charge.
IMPORTANT: n'oubliez pas que les noms d'attribut sont soumis la distinction majuscules/minuscules.
Le pilote prend également en charge les attributs UserGlobalGroups et UserLocalGroups, accessibles par l'intermédiaire de l'API NetUserGroup.
Le tableau suivant liste les attributs pris en charge.
Vous pouvez effectuer une requête sur des objets GlobalGroup ou LocalGroup, bien qu'il ne soit pas possible que les synchroniser sur les canaux Éditeur ou Abonné.
Cette requête prend en charge les attributs suivants :
La requête aboutira si la classe de recherche (SearchClass) est GlobalGroup ou LocalGroup et si une des propositions suivantes est vraie :
Cette fonctionnalité peut être utilisée pour synchroniser GlobalGroups ou LocalGroups d'une manière indirecte. Par exemple, à l'aide d'une feuille de style, vous pouvez configurer le pilote pour qu'il leur applique la requête lorsque vous migrez des utilisateurs, et que les objets Groupes correspondants soient créés dans eDirectory. L'attribut MemberOf d'un utilisateur NT peut ainsi autoriser un utilisateur à devenir membre de groupes correspondants dans eDirectory (cela peut fonctionner sans ajout de feuille de style). Si vous voulez que GlobalGroups et LocalGroups restent en miroir dans eDirectory à l'aide de cette méthode, vous devez migrer les nouveaux groupes régulièrement, selon que des groupes sont ajoutés ou supprimés dans NT.
Dans l'exemple de configuration du pilote, cette fonctionnalité est utilisée si vous choisissez l'option Droits basés sur les rôles ; vous pouvez ainsi affecter un utilisateur à un groupe de type GlobalGroup ou un LocalGroup dans NT en tant que droit. (L'utilisation de droits basés sur le rôle est une décision prise lors de la conception du système. Avant de choisir cette option, reportez-vous à Using Role-Based Entitlements (Comment utiliser les droits basés sur le rôle) , dans le manuel Novell Nsure Identity Manager 2 Administration Guide (Guide d'administration de Novell Nsure Identity Manager 2).)