Configurazione delle directory configuring-directories

Per ogni dominio enterprise configurato, specificare le directory richieste dal provider di autenticazione per le informazioni utente. Puoi configurare più directory per un dominio.

Aggiunta di directory o SPI personalizzati adding-directories-or-custom-spis

Per ogni dominio enterprise configurato, specificare le directory richieste dal provider di autenticazione per le informazioni utente. È possibile aggiungere una directory a un dominio enterprise esistente o a un nuovo dominio enterprise che si sta aggiungendo. Puoi configurare più directory per un dominio. Puoi anche configurare un dominio per l’utilizzo di un’interfaccia SPI (Service Provider Interface) personalizzata per la sincronizzazione.

Aggiungi una directory add-a-directory

Aggiungi un SPI personalizzato add-a-custom-spi

Per informazioni sulla creazione di un SPI personalizzato, vedere "Sviluppo di SPI per moduli AEM" in Programmazione con moduli AEM. Per rendere disponibile un nuovo SPI personalizzato implementato per l'associazione con il dominio, riavvia il server.

Modificare una directory edit-a-directory

Puoi modificare i dettagli di una directory configurata in precedenza.

Eliminare una directory delete-a-directory

Quando si sincronizzano i domini dopo l'eliminazione di una directory, tutti gli utenti e i gruppi in tale directory vengono contrassegnati come obsoleti nel database. Non verranno restituiti in alcuna ricerca dalla console di amministrazione.

Impostazioni directory directory-settings

Quando aggiungi una directory a un dominio, specifica le seguenti impostazioni di directory.

Server: (Obbligatorio) Nome di dominio completo (FQDN) del server delle directory. Ad esempio, per un computer chiamato x sulla rete adobe.com, l'FQDN è x.adobe.com. Un indirizzo IP può essere utilizzato al posto del nome del server FQDN.

Porta: (Obbligatorio) La porta utilizzata dal server delle directory. In genere 389 o 636 se il protocollo SSL (Secure Sockets Layer) viene utilizzato per l'invio di informazioni di autenticazione sulla rete.

SSL: (Obbligatorio) Specifica se il server di directory utilizza SSL quando invia dati sulla rete. Il valore predefinito è No. Se è impostato su Sì, il certificato del server LDAP corrispondente deve essere considerato attendibile dall'ambiente di runtime Java™ (JRE) del server dell'applicazione.

Binding (Obbligatorio) Specifica come accedere alla directory.

Anonimo: Non è richiesto alcun nome utente o password. Un utente anonimo può essere in grado di recuperare solo una quantità limitata di dati. Questa opzione può essere utile per il test iniziale.

Utente: L'autenticazione è obbligatoria. Nella casella Nome specificare il nome del record utente che può accedere alla directory. È consigliabile inserire il nome distinto completo (DN) dell’account utente, ad esempio cn=Jane Doe, ou=user, dc=can, dc=com. Nella casella Password specificare la password associata. Queste impostazioni sono necessarie quando si seleziona Utente come opzione Binding.

Nome: Nome che può essere utilizzato per connettersi al database LDAP quando l'accesso anonimo non è abilitato. Per Active Directory 2003, specificare [domain name]\[userid]. Per Sun™ One, eDirectory o IBM Tivoli Directory Server, specificare il nome completo dell'utente, ad esempio uid=lcuser,ou=it,o=company.com.

Password: Password corrispondente al nome specificato per la connessione al database LDAP quando l'accesso anonimo non è abilitato.

Popolare la pagina con: Quando è selezionata, compila gli attributi nelle pagine delle impostazioni Utente e Gruppo con i corrispondenti valori LDAP predefiniti.

Recupera DN di base: Recupera i DN di base e li visualizza nell'elenco a discesa. Questa impostazione è utile quando disponi di più DN di base e devi selezionare un valore.

Abilita riferimento: Questa impostazione è applicabile quando l'organizzazione utilizza più domini di Active Directory organizzati in una struttura gerarchica e si dispone di impostazioni di directory specificate solo per il dominio padre. In questa situazione, quando selezioni questa opzione, Gestione utente può accedere ai dettagli di utenti e gruppi dai domini figlio.

Impostazioni utente user-settings

Identificatore univoco: (Obbligatorio) Attributo univoco e costante utilizzato per identificare gli utenti. Utilizza un attributo non DN come identificatore univoco perché il DN di un utente può cambiare se si sposta in un'altra parte dell'organizzazione. Questa impostazione dipende dal server di directory. Il valore è objectGUID per Active Directory 2003, nsuniqueID per Sun™ One e guid per eDirectory.

DN di base: Imposta come punto di partenza per la sincronizzazione di utenti e gruppi dalla gerarchia LDAP. È consigliabile specificare un DN di base al livello più basso della gerarchia che includa tutti gli utenti e i gruppi che devono essere sincronizzati per i servizi.

Se è stata selezionata l'opzione Abilita riferimento nelle impostazioni Directory, impostare l'opzione DN di base su dc parte del DN. Affinché il riferimento funzioni, l’intervallo di ricerca deve includere sia i domini padre che quelli secondari.

Sebbene Base DN sia un'impostazione obbligatoria nella console di amministrazione, alcuni server di directory come IBM Domino Enterprise Server potrebbero richiedere un BaseDN vuoto. Per specificare un DN Base vuoto, esportare il file config.xml, modificare l'impostazione nel file config.xml e quindi reimportarlo. (Vedi Importazione ed esportazione del file di configurazione.)

Filtro di ricerca: (Obbligatorio) Il filtro di ricerca da utilizzare per trovare il record associato all'utente. È possibile eseguire una ricerca a un livello o a un livello secondario. (Consulta Sintassi del filtro di ricerca o RFC 2254). Per ulteriori informazioni sullo schema di Microsoft AD, vedere Schema di Active Directory.

Descrizione: Attributo schema per la descrizione dell’utente

Nome completo: (Obbligatorio) Attributo schema per il nome completo dell'utente

ID di accesso: (Obbligatorio) Attributo schema per l'ID di accesso dell'utente

Cognome: (Obbligatorio) Attributo schema per il cognome dell’utente

Nome: (Obbligatorio) Attributo schema per il nome dell’utente

Iniziali: Attributo schema per le iniziali dell’utente

Calendario aziendale: Consente di mappare un calendario aziendale a un utente in base al valore di questa impostazione (la chiave del calendario aziendale). I calendari aziendali definiscono i giorni lavorativi e non lavorativi. I moduli AEM possono utilizzare calendari aziendali per calcolare date e ore future relative a eventi quali promemoria, scadenze ed escalation. Il modo in cui si assegnano le chiavi del calendario aziendale agli utenti dipende dal fatto che si utilizzi un dominio enterprise, locale o ibrido. (Vedere Configurazione dei calendari aziendali.)

Se utilizzi un dominio Enterprise, puoi mappare l'impostazione Calendario aziendale su un campo nella directory LDAP. Ad esempio, se ogni record utente nella directory contiene un paese e si desidera assegnare calendari aziendali in base al paese in cui si trova l'utente, specificare il paese Nome del campo come valore per l'impostazione del calendario aziendale. È quindi possibile mappare le chiavi del calendario aziendale (i valori definiti per paese nella directory LDAP) ai calendari aziendali nel flusso di lavoro dei moduli.

Lo spazio utilizzato per visualizzare il nome della chiave del calendario aziendale nelle pagine del flusso di lavoro dei moduli è limitato. Limita il nome della chiave del calendario aziendale a meno di 53 caratteri per evitare che venga troncata su tali pagine.

Modifica timestamp: Per abilitare la sincronizzazione della directory delta, imposta questo valore per modificare TimeStamp. (Consultare Attivare la sincronizzazione della directory delta .)

Organizzazione: Attributo schema per il nome dell'organizzazione a cui appartiene l'utente.

E-mail principale: Attributo schema per l’indirizzo e-mail principale dell’utente.

E-mail secondaria: Attributo schema per l’indirizzo e-mail secondario dell’utente.

Telefono: Attributo schema per il numero di telefono dell’utente.

Indirizzo postale: Attributo schema per l’indirizzo di posta dell’utente.

Impostazioni internazionali: Attributo dello schema contenente le informazioni internazionali ISO. Il valore è un codice di lingua a due lettere o un codice di lingua e paese.

Fuso orario: Attributo dello schema contenente il fuso orario in cui si trova l’utente. Il valore è una stringa come Città/Paese.

Attiva controllo VLV (Virtual List View): Controllo LDAP che consente ai moduli AEM di recuperare i dati in batch dal server delle directory. Se utilizzi Sun One come directory LDAP e la directory contiene molti utenti, l'abilitazione di VLV crea un indice che User Management può utilizzare durante la ricerca degli utenti. Questa funzione è utile quando si utilizza un account utente normale che può sincronizzare solo una quantità limitata di dati. Puoi anche abilitare VLV per i gruppi. Se si seleziona Abilita controllo visualizzazione elenco virtuale (VLV), specificare un nome nella casella Campo di ordinamento.

Campo di ordinamento: Se hai selezionato Abilita controllo visualizzazione elenco virtuale (VLV), specifica il nome dell’attributo utilizzato per ordinare l’indice. Questo nome attributo (ad esempio uid) è quello specificato quando è stato creato un indice per VLV sul server delle directory.

Impostazioni del gruppo group-settings

Identificatore univoco: (Obbligatorio) Attributo univoco e costante utilizzato per identificare i gruppi. Utilizza un attributo non-DN come identificatore univoco. Questa impostazione dipende dal server di directory. Il valore è objectGUID per Active Directory 2003, nsuniqueID per Sun One e guid per eDirectory.

DN di base: (Obbligatorio) Nome distinto di base della directory.

Sebbene Base DN sia un'impostazione obbligatoria nella console di amministrazione, alcuni server di directory come IBM Domino Enterprise Server richiedono un BaseDN vuoto. Per specificare un DN Base vuoto, esportare il file config.xml, modificare l'impostazione nel file config.xml e quindi reimportarlo. (Vedi Importazione ed esportazione del file di configurazione.)

Filtro di ricerca: (Obbligatorio) Il filtro di ricerca da utilizzare per trovare il record associato al gruppo. È possibile eseguire una ricerca a un livello o a un livello secondario.

Descrizione: Attributo schema per la descrizione del gruppo

Nome completo: (Obbligatorio) Attributo schema per il nome completo del gruppo

DN membro: (Obbligatorio) Attributo schema per il nome distinto dei membri all'interno di un gruppo

Identificatore univoco membro: Identificatore univoco per un utente o gruppo che è membro del gruppo selezionato. Questo valore dipende dal server di directory. Il valore è objectSID per AD2003, nsuniqueID per Sun One e guid per eDirectory.

Se il DN del membro è specificato con un attributo non DN, User Management utilizza l’identificatore univoco del membro per eseguire una query su LDAP per raccogliere il DN dell’utente, in quanto corrisponde a un valore di identificatore univoco.

Se DN è specificato come identificatore univoco, non è necessario configurare l'identificativo univoco del membro.

Organizzazione: Attributo schema per il nome dell'organizzazione a cui appartiene il gruppo

E-mail principale: Attributo schema per l’indirizzo e-mail principale del gruppo

E-mail secondaria: Attributo schema per l’indirizzo e-mail secondario del gruppo

Modifica timestamp: Per abilitare la sincronizzazione della directory delta, imposta questo valore per modificare TimeStamp. (Consultare Attivare la sincronizzazione della directory delta .)

Attiva controllo VLV (Virtual List View): Controllo LDAP che consente ai moduli AEM di recuperare i dati in batch dal server delle directory. Se utilizzi Sun One come directory LDAP e la directory contiene molti gruppi, l'abilitazione di VLV crea un indice che User Management può utilizzare durante la ricerca dei gruppi. Questa funzione è utile quando si utilizza un account utente normale che può sincronizzare solo una quantità limitata di dati. Puoi anche abilitare il VLV per gli utenti. Se si seleziona Abilita controllo visualizzazione elenco virtuale (VLV), specificare un nome del campo di ordinamento.

Nome campo di ordinamento: Se hai selezionato Abilita controllo visualizzazione elenco virtuale (VLV), specifica il nome dell’attributo utilizzato per ordinare l’indice. Questo nome attributo è quello specificato quando è stato creato un indice per VLV sul server delle directory.

Configurare User Management per l’utilizzo della visualizzazione elenco virtuale (VLV) configure-user-management-to-use-virtual-list-view-vlv

La sincronizzazione della directory è un requisito importante per la gestione degli utenti. Gli utenti e i gruppi vengono sincronizzati da una directory enterprise al database dei moduli AEM per assegnare ruoli e autorizzazioni. Il numero di utenti varia da 100 a 100000+ a seconda dei requisiti, e rappresenta una sfida tecnica per sincronizzare i dati in modo efficiente.

Il protocollo LDAP fornisce un meccanismo per eseguire query su set di dati di grandi dimensioni in modo impaginato utilizzando i controlli di richiesta. Quando si utilizza Microsoft Active Directory, LDAP per AEM la sincronizzazione del database dei moduli utilizza PagedResultsControl per recuperare i dati in batch di dimensioni particolari. Il server di directory Sun ONE non supporta questo controllo. Per completare una query impaginata sul server di directory Sun ONE, utilizzare il controllo VLV (Virtual List View). Questo controllo include sia la configurazione lato server della directory che l'implementazione lato client.

Configurazione del server di directory Sun ONE per VLV configuring-the-sun-one-directory-server-for-vlv

La creazione di un VLV richiede una coppia di voci che includono vlvSearch e vlvIndex classi oggetto. La voce vlvSearch include una base di ricerca e il vlvFilter attributo , che specifica la classe oggetto contenente gli attributi che si desidera ordinare. La vlvIndex la classe object include vlvSort attributo , che specifica uno o più attributi da ordinare e l'ordine in cui ordinarli. (Il segno meno (-) indica l'ordine alfabetico inverso). L’utilizzo di VLV con moduli AEM richiede voci separate per utenti e gruppi.

Ecco uno script di esempio LDIF per la voce VLV per gli utenti:

 dn: cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 objectclass: top
 objectclass: vlvSearch
 cn: lcuser
 vlvBase: dc=corp,dc=adobe,dc=com
 vlvScope: 2
 vlvFilter: (&(objectclass=inetOrgPerson))
 aci: (target="ldap:///cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config")(targetattr="*")(version 3.0; acl "Config"
 ;allow(read,search,compare) userdn="ldap:///all"; )
 dn: cn=lcuser,cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 cn: lcuser
 vlvSort: cn
 objectclass: top
 objectclass: vlvIndex

Creare le voci dell’oggetto utilizzando uno script

Creare l'indice del server di directory per VLV create-the-directory-server-index-for-vlv

Dopo aver configurato le impostazioni della directory e creato le voci VLV LDAP per utenti e gruppi, interrompi il server e crea l'indice richiesto.