Konfigurieren von Verzeichnissen configuring-directories

Für jede Unternehmens-Domain, die Sie konfigurieren, geben Sie die Ordner an, aus denen der Authentifizierungsanbieter Benutzerdaten abfragt. Sie können mehrere Ordner für eine Domain konfigurieren.

Hinzufügen von Verzeichnissen oder benutzerdefinierten SPIs adding-directories-or-custom-spis

Für jede Unternehmens-Domain, die Sie konfigurieren, geben Sie die Ordner an, aus denen der Authentifizierungsanbieter Benutzerdaten abfragt. Sie können einen Ordner zu einer bestehenden Unternehmens-Domain hinzufügen oder zu einer neuen Unternehmens-Domain, die Sie gerade hinzufügen. Sie können mehrere Ordner für eine Domain konfigurieren. Sie können eine Domain auch für die Verwendung einer benutzerdefinierten SPI (Service Provider Interface) zur Synchronisierung konfigurieren.

Hinzufügen eines Verzeichnisses add-a-directory

Hinzufügen einer benutzerdefinierten SPI add-a-custom-spi

Informationen zum Erstellen einer benutzerdefinierten SPI finden Sie unter „Entwickeln von SPIs für AEM Forms“ in Programmieren mit AEM Forms. Starten Sie den Server neu, damit eine neu bereitgestellte benutzerdefinierte SPI für die Verknüpfung mit der Domain verfügbar wird.

Bearbeiten eines Verzeichnisses edit-a-directory

Sie können die Details eines bereits konfigurierten Verzeichnisses bearbeiten.

Löschen eines Ordners delete-a-directory

Wenn Sie Ihre Domains nach dem Löschen eines Ordners synchronisieren, werden alle Benutzer und Gruppen in der Datenbank als veraltet markiert. Sie werden bei keiner Suche von der Administrationskonsole zurückgegeben.

Ordnereinstellungen directory-settings

Wenn Sie einer Domain einen Ordner hinzufügen, geben Sie die folgenden Ordnereinstellungen an.

Server (obligatorisch): Der vollständig qualifizierte Domain-Name (FQDN) des Verzeichnis-Servers. Beispiel: Der vollständig qualifizierte Domain-Name (FQDN) eines Computers namens x im Netzwerk adobe.com lautet x.adobe.com. Anstelle des vollständig qualifizierten Servernamens kann auch eine IP-Adresse verwendet werden.

Anschluss: (Obligatorisch) Der Anschluss, der vom Ordner-Server verwendet wird. Dies ist in der Regel Anschluss 389 bzw. 636, falls das SSL-Protokoll (Secure Sockets Layer) zum Senden der Authentifizierungsinformationen über das Netzwerk verwendet wird.

SSL (obligatorisch): Gibt an, ob der Verzeichnis-Server beim Senden von Daten über das Netzwerk SSL verwendet. Die Standardeinstellung ist „Nein“. Wenn Sie „Ja“ wählen, muss das entsprechende LDAP-Serverzertifikat von der Java™-Umgebung (Java Runtime Environment, JRE) des Anwendungs-Servers als vertrauenswürdig betrachtet werden.

Bindung (obligatorisch): Legt fest, wie auf das Verzeichnis zugegriffen werden soll.

Anonym: Es ist kein Benutzername oder Kennwort erforderlich. Anonyme Benutzerinnen und Benutzer können nur eine begrenzte Datenmenge abrufen. Diese Option kann beim ersten Testen sinnvoll sein.

Benutzer: Authentifizierung ist erforderlich. Geben Sie im Feld „Name“ den Namen des Benutzereintrags an, der auf den Ordner zugreifen darf. Am besten geben Sie den vollständigen definierten Namen (DN) des Benutzerkontos ein, z. B. cn=Jane Doe, ou=user, dc=can, dc=com. Geben Sie im Feld „Kennwort“ das zugehörige Kennwort an. Wenn Sie „Benutzer“ als Bindungsoption auswählen, sind diese Einstellungen obligatorisch.

Name: Der Name, der zum Herstellen der Verbindung zur LDAP-Datenbank verwendet werden kann, wenn der anonyme Zugriff nicht aktiviert ist. Geben Sie für Active Directory 2003 [domain name]\[userid] an. Geben Sie für Sun™ One, eDirectory oder IBM Tivoli Directory Server den vollständig qualifizierten Benutzernamen, z. B. uid=lcuser,ou=it,o=company.com an.

Kennwort: Das Kennwort, das zu dem von Ihnen angegebenen Namen gehört, mit dem die Verbindung zur LDAP-Datenbank hergestellt werden kann, wenn der anonyme Zugriff nicht aktiviert ist.

Seite mit folgenden Elementen füllen: Wenn diese Einstellung aktiviert ist, werden Attribute auf den Seiten „Benutzereinstellungen“ und „Gruppeneinstellungen“ mit entsprechenden LDAP-Standardwerten aufgefüllt.

Basis-DNs abrufen: Ruft die Basis-DNs ab und zeigt sie in der Dropdown-Liste an. Diese Einstellung ist sinnvoll, wenn mehrere Basis-DNs vorhanden sind und Sie einen Wert auswählen müssen.

Verweise aktivieren: Diese Einstellung kommt in Frage, wenn Ihr Unternehmen mehrere in einer hierarchischen Struktur organisierte Active Directory-Domains verwendet und Sie nur für die übergeordnete Domain Ordnereinstellungen angegeben haben. In diesem Fall kann User Management bei Aktivierung dieser Option auf Benutzer- und Gruppendetails in den untergeordneten Domains zugreifen.

Benutzereinstellungen user-settings

Eindeutiger Bezeichner: (Obligatorisch) Ein eindeutiges und konstantes Attribut zum Identifizieren von Benutzern. Verwenden Sie als eindeutige Kennung ein Nicht-DN-Attribut, da sich der definierte Name (DN) einer Person ändern kann, wenn sie in einen anderen Unternehmensbereich wechselt. Diese Einstellung hängt vom Verzeichnis-Server ab. Der Wert ist objectGUID für Active Directory 2003, nsuniqueID für Sun™ One und guid für eDirectory.

Basis-DN: Diesen legen Sie als Ausgangspunkt für die Synchronisierung von Benutzern und Gruppen aus der LDAP-Hierarchie fest. Am besten geben Sie einen Basis-DN auf der untersten Ebene der Hierarchie an, der alle Benutzerinnen und Benutzer sowie Gruppen umfasst, die für Dienste synchronisiert werden müssen.

Wenn Sie in den Ordnereinstellungen „Verweise aktivieren“ ausgewählt haben, legen Sie die Option „Basis-DN“ auf den dc-Teil des definierten Namens (DN) fest. Damit der Verweis funktioniert, muss der Suchbereich sowohl über- als auch untergeordnete Domains umfassen.

Obwohl „Basis-DN“ eine obligatorische Einstellung in der Administrationskonsole ist, erfordern einige Verzeichnis-Server wie IBM Domino Enterprise Server möglicherweise einen leeren Basis-DN. Um einen leeren Basis-DN anzugeben, exportieren Sie die Datei „config.xml“, bearbeiten Sie die Einstellung in dieser Datei und importieren Sie sie dann wieder. (Siehe Importieren und Exportieren der Konfigurationsdatei.)

Suchfilter: (Obligatorisch) Der Suchfilter, der verwendet werden soll, um den Eintrag zu finden, der dem Benutzer zugeordnet ist. Sie können eine Suche auf einer Ebene oder auf Unterebenen durchführen. (Siehe Syntax für Suchfilter oder RFC 2254.) Weitere Informationen für das Microsoft AD-Schema finden Sie unter Active Directory-Schema.

Beschreibung: Das Schemaattribut für die Beschreibung des Benutzers.

Vollständiger Name: (Obligatorisch) Das Schemaattribut für den vollständigen Namen des Benutzers.

Anmelde-ID: (Obligatorisch) Das Schemaattribut für die Anmelde-ID der Person.

Nachname: (Obligatorisch) Das Schemaattribut für den Nachnamen der Person.

Vorname: (Obligatorisch) Das Schemaattribut für den Vornamen der Person.

Initialen: Das Schemaattribut für die Initialen der Person.

Geschäftskalender: Ermöglicht das Zuordnen eines Geschäftskalenders zu einem Benutzer auf Grundlage des Wertes für diese Einstellung (Geschäftskalenderschlüssel). Geschäftskalender definieren Geschäftstage und geschäftsfreie Tage. AEM-Formulare können bei der Berechnung künftiger Daten und Zeiten für Ereignisse wie Erinnerungen, Fristen und Eskalationen Geschäftskalender verwenden. Die Methode zum Zuweisen von Geschäftskalenderschlüsseln zu Benutzern ist davon abhängig, ob eine Unternehmens-, eine lokale oder eine Hybrid-Domain verwendet wird. (Siehe Geschäftskalender konfigurieren.)

Wenn Sie eine Unternehmens-Domain verwenden, können Sie die Einstellung „Geschäftskalender“ einem Feld im LDAP-Ordner zuordnen. Wenn beispielsweise jeder Benutzereintrag in Ihrem Verzeichnis ein Feld Land enthält und Sie Geschäftskalender auf Grundlage des Landes zuweisen möchten, in dem sich die Person befindet, geben Sie den Feldnamen Land als Wert für die Einstellung „Geschäftskalender“ an. Anschließend können Sie die Geschäftskalenderschlüssel (die für das Feld Land im LDAP-Verzeichnis definierten Werte) Geschäftskalendern in Forms Workflow zuordnen.

Der Platz zum Anzeigen des Namens des Geschäftskalenderschlüssels auf den Forms Workflow-Seiten ist begrenzt. Begrenzen Sie den Namen des Geschäftskalenderschlüssels auf weniger als 53 Zeichen, um zu verhindern, dass der Name auf diesen Seiten abgeschnitten wird.

Zeitstempel ändern: Um die Delta-Ordnersynchronisierung zu aktivieren, legen Sie diesen Wert auf „Zeitstempel ändern“ fest. (Siehe Delta-Ordnersynchronisierung aktivieren.)

Firma: Das Schemaattribut für den Namen der Firma, der der Benutzer angehört.

Primäre E-Mail: Das Schemaattribut für die primäre E-Mail-Adresse des Benutzers.

Sekundäre E-Mail: Das Schemaattribut für die sekundäre E-Mail-Adresse des Benutzers.

Telefon: Das Schemaattribut für die Telefonnummer der Person.

Postanschrift: Das Schemaattribut für die Postanschrift der Person.

Gebietsschema: Das Schemaattribut, das die Informationen des ISO-Gebietsschemas enthält. Das Schemaattribut ist ein aus zwei Buchstaben bestehender Sprachencode oder ein Sprachen- und Ländercode.

Zeitzone: Das Schemaattribut, das die Zeitzone enthält, in der sich der Benutzer befindet. Der Wert ist eine Zeichenfolge, z. B. City/Country.

VLV-Steuerung (Virtuelle Listenansicht) aktivieren: Ein LDAP-Steuerelement, das es AEM Forms ermöglicht, Daten in Stapeln vom Ordner-Server abzurufen. Wenn Sie Sun One als LDAP-Ordner verwenden und der Ordner sehr viele Benutzer enthält, wird bei Aktivieren der VLV-Steuerung ein Index erstellt, den User Management zum Suchen von Benutzern verwenden kann. Diese Funktion ist nützlich, wenn ein normales Benutzerkonto verwendet wird, das nur eine begrenzte Datenmenge synchronisieren kann. Sie können die VLV-Steuerung auch für Gruppen aktivieren. Wenn Sie „VLV-Steuerung (Virtuelle Listenansicht) aktivieren“ auswählen, geben Sie im Feld „Sortierfeld“ einen Namen an.

Sortierfeld: Wenn Sie „VLV-Steuerung (Virtuelle Listenansicht) aktivieren“ ausgewählt haben, geben Sie den Attributnamen für die Sortierung des Indexes an. Dieser Attributname (z. B. UID) ist der Name, den Sie beim Erstellen eines Index für die virtuelle Listenansicht auf dem Verzeichnis-Server angegeben haben.

Gruppeneinstellungen group-settings

Eindeutige Kennung (obligatorisch): Ein eindeutiges und konstantes Attribut zum Identifizieren von Gruppen. Verwenden Sie als eindeutige Kennung ein Nicht-DN-Attribut. Diese Einstellung hängt vom Verzeichnis-Server ab. Der Wert ist objectGUID für Active Directory 2003, nsuniqueID für Sun One und guid für eDirectory.

Basis-DN (obligatorisch): Der Basis-DN (Base Distinguished Name) des Ordners.

Obwohl „Basis-DN“ eine obligatorische Einstellung in der Administrationskonsole ist, erfordern einige Verzeichnis-Server, z. B. IBM Domino Enterprise Server, einen leeren Basis-DN. Um einen leeren Basis-DN anzugeben, exportieren Sie die Datei „config.xml“, bearbeiten Sie die Einstellung in dieser Datei und importieren Sie sie dann wieder. (Siehe Importieren und Exportieren der Konfigurationsdatei.)

Suchfilter (obligatorisch): Der Suchfilter, der verwendet werden soll, um den Eintrag zu finden, der der Gruppe zugeordnet ist. Sie können eine Suche auf einer Ebene oder auf Unterebenen durchführen.

Beschreibung: Das Schemaattribut für die Beschreibung der Gruppe.

Vollständiger Name (obligatorisch): Das Schemaattribut für den vollständigen Namen der Gruppe.

Mitglieder-DN (obligatorisch): Das Schemaattribut für den definierten Namen von Mitgliedern einer Gruppe.

Eindeutiger Bezeichner für Mitglied: Eindeutiger Bezeichner für einen Benutzer oder eine Gruppe, der bzw. die Mitglied der ausgewählten Gruppe ist. Dieser Wert hängt vom Ordnerserver ab. Der Wert ist objectSID für AD2003, nsuniqueID für Sun One und guid für eDirectory.

Wenn der Mitglieder-DN mit einem Nicht-DN-Attribut angegeben wird, verwendet User Management die Angabe für „Eindeutige Kennung für Mitglied“ zum Abfragen von LDAP, um den DN der Person zu erfassen, da dieser einem eindeutigen Kennungswert entspricht.

Wird der DN als eindeutige Kennung angegeben, braucht „Eindeutige Kennung für Mitglied“ nicht konfiguriert zu werden.

Organisation: Das Schemaattribut für den Namen der Organisation, der die Gruppe angehört.

Primäre E-Mail: Das Schemaattribut für die primäre E-Mail-Adresse der Gruppe.

Sekundäre E-Mail: Das Schemaattribut für die sekundäre E-Mail-Adresse der Gruppe.

Zeitstempel ändern: Um die Delta-Ordnersynchronisierung zu aktivieren, legen Sie diesen Wert fest, um den Zeitstempel zu ändern. (Siehe Delta-Ordnersynchronisierung aktivieren.)

VLV-Steuerung (Virtuelle Listenansicht) aktivieren: Ein LDAP-Steuerelement, das es AEM Forms ermöglicht, Daten in Stapeln vom Ordner-Server abzurufen. Wenn Sie Sun One als LDAP-Ordner verwenden und das Ordner sehr viele Gruppen enthält, wird bei Aktivieren der VLV-Steuerung ein Index erstellt, den User Management zum Suchen von Gruppen verwenden kann. Diese Funktion ist nützlich, wenn ein normales Benutzerkonto verwendet wird, das nur eine begrenzte Datenmenge synchronisieren kann. Sie können die VLV-Steuerung auch für Benutzende aktivieren. Wenn Sie „VLV-Steuerung (Virtuelle Listenansicht) aktivieren“ auswählen, geben Sie einen Sortierfeldnamen an.

Sortierfeldname: Wenn Sie „VLV-Steuerung (Virtuelle Listenansicht) aktivieren“ ausgewählt haben, geben Sie den Attributnamen für die Sortierung des Indexes an. Dies ist der Attributname, den Sie beim Erstellen eines Indexes für die virtuelle Listenansicht auf dem Ordnerserver angegeben haben.

Wenn Benutzende und Gruppen zurückgegeben werden, zeigen die Ergebnisse die Werte, die jedem Feld gemäß der Attributfestlegung zugewiesen werden.

Konfigurieren von User Management mit der virtuellen Listenansicht (VLV) configure-user-management-to-use-virtual-list-view-vlv

Die Verzeichnissynchronisierung ist eine wichtige Voraussetzung für User Management. Die Benutzenden und Gruppen werden aus einem Unternehmensverzeichnis mit der AEM Forms-Datenbank synchronisiert, um Rollen und Berechtigungen zuzuweisen. Die Anzahl der Benutzenden liegt je nach Anforderung zwischen 100 und über 100.000, was eine technische Herausforderung für eine effiziente Datensynchronisierung darstellt.

Das LDAP-Protokoll bietet in der Form von Anforderungssteuerelementen eine Möglichkeit zum seitenweisen Abfragen großer Ergebnismengen. Bei Verwendung von Microsoft Active Directory kommt bei der Synchronisierung zwischen LDAP und der AEM Forms-Datenbank der Parameter „PagedResultsControl“ zum Abrufen von Daten in Batches bestimmter Größe zum Einsatz. Dieses Steuerelement wird vom Sun ONE Directory Server nicht unterstützt. Zum Durchführen einer seitenweisen Abfrage des Sun ONE Directory Servers verwenden Sie das VLV-Steuerelement (Virtual List View, virtuelle Listenansicht). Dieses Steuerelement beinhaltet sowohl eine Verzeichnis-Server-seitige Konfiguration als auch eine Client-seitige Implementierung.

Konfigurieren des Sun ONE Directory-Servers für VLV configuring-the-sun-one-directory-server-for-vlv

Zum Erstellen einer virtuellen Listenansicht muss ein Paar von Einträgen vorhanden sein, zu denen die Objektklassen vlvSearch und vlvIndex gehören. Der vlvSearch-Eintrag beinhaltet eine Suchbasis und das vlvFilter-Attribut, das die Objektklasse angibt, die die Attribute enthält, die sortiert werden sollen. Die vlvIndex-Objektklasse enthält das Attribut vlvSort, das ein oder mehrere zu sortierende Attribute und die Reihenfolge ihrer Sortierung angibt. (Ein Minuszeichen (-) bedeutet umgekehrte alphabetische Reihenfolge). Bei der Verwendung der virtuellen Listenansicht mit AEM Forms sind getrennte Einträge für Personen und Gruppen erforderlich.

Im Folgenden finden Sie eine Beispielskript-LDIF für VLV-Einträge für Personen:

 dn: cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 objectclass: top
 objectclass: vlvSearch
 cn: lcuser
 vlvBase: dc=corp,dc=adobe,dc=com
 vlvScope: 2
 vlvFilter: (&(objectclass=inetOrgPerson))
 aci: (target="ldap:///cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config")(targetattr="*")(version 3.0; acl "Config"
 ;allow(read,search,compare) userdn="ldap:///all"; )
 dn: cn=lcuser,cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 cn: lcuser
 vlvSort: cn
 objectclass: top
 objectclass: vlvIndex

Erstellen der Objekteinträge mit einem Skript

Erstellen eines Verzeichnis-Server-Indexes für VLV create-the-directory-server-index-for-vlv

Beenden Sie nach dem Konfigurieren der Verzeichniseinstellungen und dem Erstellen der LDAP-VLV-Einträge für Personen und Gruppen den Server und erstellen Sie den erforderlichen Index.