4.2 設定資料同步化的組態

4.2.1 決定哪些物件要同步化

Identity Manager 使用「發行者」及「訂閱者」通道上的過濾器,控制哪些物件要同步化,並且為這些物件定義授權資料來源。

預設的過濾器如過濾器中所示。 使用下列程序,為預設值做變更。

編輯發行者和訂閱者過濾器

  1. 在 iManager 中,選取「Identity Manager」>「Identity Manager 概觀」。

  2. 在其驅動程式集中找出驅動程式。

  3. 按一下驅動程式,開啟「Identity Manager 驅動程式概觀」頁面。

  4. 按一下「發行者」或「訂閱者」過濾器圖示,進行適當的變更。

    「發行者」過濾器必須包含 Identity Vault 強制屬性。 「訂閱者」過濾器必須包含 LDAP 伺服器必需的屬性。

    對於過濾器中選取的每一個物件和屬性,「映射」規則必須具有對應的項目,除非類別或屬性名稱與兩個目錄中的名稱相同。 映射屬性之前,驗證對應的屬性確實存在於目標目錄中。  

4.2.2 定義綱要映射

不同的 LDAP 伺服器具有不同的綱要。 驅動程式第一次啟動時,會查詢特定綱要的伺服器。

您必須熟悉 eDirectory 屬性和 LDAP 伺服器屬性的特性。 驅動程式會處理所有的 LDAP 屬性類型 (cis、ces、tel、dn、int、bin)。  也會處理 eDirectory Facsimile Telephone Number。

映射屬性時,請遵循以下指示:

  • 驗證「發行者」及「訂閱者」規則中指定的每一個類別和屬性,都在「映射」規則中映射,除非類別或屬性名稱與兩個目錄中的名稱相同。
  • 映射 eDirectory™ 屬性到 LDAP 伺服器屬性之前,驗證 LDAP 伺服器屬性確實存在。 例如,為 Identity Vault 上的「使用者」物件定義 Full Name 屬性,但是 fullname 卻不存在於 Netscape 上的 inetOrgPerson 物件中。
  • 務必將屬性映射到相同類型的屬性。 例如,將字串屬性映射到字串屬性、將八進位屬性映射到二進位屬性,或將電話號碼 (telenumber) 屬性映射到電話號碼屬性。
  • 將多值屬性映射到多值屬性。

驅動程式不提供不同屬性類型之間的資料轉換,或是多值到單一值屬性的轉換。 驅動程式也不了解結構化屬性,但是 Facsimile Telephone Number 和 Postal Address 除外。

Identity Manager 在語法上是靈活的,它接受從「發行者」傳入:

  • 接受非結構化/非八進位語法 . Identity Manager 接受任何非結構化/非八進位語法 (任何其他的非結構化/非八進位語法),只要實際的資料可以強制置入適用類型。 也就是說,如果 Identity Vault 在尋找數值,實際資料就應該是數字。

  • 將資料強制置入八進位值 . 當 Identity Manager 在期待八進位資料,卻得到另一個非八進位/非結構化類型的資料時,Identity Manager 會將字串值串列化為 UTF-8,將資料強制置入八進位值。

  • 將資料強制置入字串 . 當 Identity Manager 收到八進位資料,而實際上應收到另一個非結構化類型時,Identity Manager 會藉由解碼 Base64 資料將資料強制置入字串。 接著,Identity Manager 會試著將結果解譯為 UTF-8 編碼字串 (或平台的預設字元編碼,若為非有效的 UTF-8 字串),然後套用和「接受非結構化/非八進位語法」相同的規則。

  • FaxNumber . 對於 faxNumber,如果傳進非結構化類型,「接受非結構化/非八進位語法」和「將資料強制置入字串」會套用到資料,以取得傳真號碼的電話號碼部份。 其他欄位為預設欄位。

  • 狀態。 狀態。 對於狀態,False、No、F、N (大寫或小寫)、0 和 “” (空字串) 會被解譯為 False,任何其他值被解譯為 True。

若要設定「綱要映射」規則:

  1. 在 iManager 中,按一下「Identity Manager」>「Identity Manager 概觀」。

  2. 在其驅動程式集中找出驅動程式。

  3. 按一下驅動程式,開啟「Identity Manager 驅動程式概觀」頁面。

  4. 按一下「發行者」或「訂閱者」通道上的綱要映射圖示。

  5. 依您安裝的需要編輯規則。

4.2.3 在 Netscape 中定義物件佈置

針對 Netscape Directory Server 中的物件,建議遵循下列 Netscape 命名規則。 為方便起見,這裡有命名規則的簡短說明。

目錄中包含代表人員的項目。 這些人員項目必須有名字。 也就是說,您必須判斷哪個相關的可辨識名稱 (RDN) 將用於每一個人員項目。 DN 必須是唯一的、容易辨認的永久值。 建議您使用 uid 屬性來指定與人員相關的唯一值。 人員項目的範例 DN 為:

uid=jsmith,o=novell

目錄中也包含代表人員以外的許多事情的項目 (例如群組、裝置、伺服器、網路資訊或其他資料)。 建議您使用 RDN 中的 cn 屬性。 因此,如果您在為群組項目命名,請命名如下:

cn=administrators,ou=groups,o=novell

同時目錄也包含分支點或容器。 您需要判斷要使用哪些屬性來識別分支點。 由於屬性名稱是有意義的,因此請使用具其所代表之項目類型的屬性名稱。 Netscape 建議的屬性定義如下:

Table 4-2 Netscape 建議的屬性

屬性名稱

定義

c

國名

o

組織名稱

ou

組織單位

st

狀態

l

地域性

dc

領域元件

「訂閱者佈置」規則指定類別名稱的命名屬性。 以下範例用於「使用者」類別名稱。 <placement> 陳述式指定將 uid 當成命名屬性使用。

<placement-rule> <match-class class-name="User"/> <match-path prefix="\Novell-Tree\Novell\Users"/> <placement>uid=<copy-name/>,ou=People,o=Netscape</ placement> </placement-rule>

下列「訂閱者佈置」指定將 ou 當成 class-name Organizational Unit 的命名屬性使用。

<placement-rule> <match-class class-name="Organizational Unit"/> <match-path prefix="\Novell-Tree\Novell\Users"/> <placement>ou=<copy-name/>,ou=People,o=Netscape</placement> </placement-rule>

設定佈置規則

  1. 在 iManager 中,按一下「Identity Manager」>「Identity Manager 概觀」。

  2. 在其驅動程式集中找出驅動程式。

  3. 按一下驅動程式,開啟「Identity Manager 驅動程式概觀」頁面。

  4. 按一下「發行者」或「訂閱者佈置」規則圖示,進行適當的變更。

4.2.4 使用 eDirectory 群組和 Netscape

由於 Identity Vault 和 Netscape Directory Server 中的群組屬性是不同的,驅動程式需要某些特別處理。在「發行者」通道上,當驅動程式看到類別名稱為 groupofuniquenamesuniquemember 屬性時,就會進行特別處理。

驅動程式也會設定 eDirectory Group 中的 Equivalent To Me 屬性。Equivalent To Me 屬性必須包含於「發行者」過濾器中。 因為已使用 eDirectory 屬性名稱,所以 Equivalent To Me 屬性並不需要在「綱要映射」規則中。Netscape Directory Server 中並沒有相等的屬性名稱。 「訂閱者」通道上不需要特別處理。