Configuration des annuaires configuring-directories

Pour chaque domaine d’entreprise que vous configurez, spécifiez les répertoires que le fournisseur d’authentification interroge pour obtenir des informations sur l’utilisateur. Vous pouvez configurer plusieurs répertoires pour un domaine.

Ajout d’annuaires ou d’interfaces SPI personnalisées adding-directories-or-custom-spis

Pour chaque domaine d’entreprise que vous configurez, spécifiez les répertoires que le fournisseur d’authentification interroge pour obtenir des informations sur l’utilisateur. Vous pouvez ajouter un annuaire à un domaine d’entreprise existant ou à un nouveau domaine d’entreprise que vous ajoutez. Vous pouvez configurer plusieurs répertoires pour un domaine. Vous pouvez également configurer un domaine pour utiliser une interface SPI (Service Provider Interface) personnalisée pour la synchronisation.

Ajout d’un répertoire add-a-directory

Ajout d’une SPI personnalisée add-a-custom-spi

Pour plus d’informations sur la création d’une interface SPI personnalisée, voir "Développement d’interfaces SPI pour AEM forms" dans Programmation avec les AEM forms. Pour rendre disponible une SPI personnalisée déployée récemment pour l’association au domaine, redémarrez le serveur.

Modification d’un annuaire edit-a-directory

Vous pouvez modifier les détails d’un répertoire que vous avez précédemment configuré.

Suppression d’un annuaire delete-a-directory

Lorsque vous synchronisez vos domaines après la suppression d’un annuaire, tous les utilisateurs et groupes de cet annuaire sont marqués comme obsolètes dans la base de données. Ils ne sont renvoyés dans aucune recherche effectuée à partir d’Administration Console.

Paramètres d’annuaire directory-settings

Lorsque vous ajoutez un répertoire à un domaine, spécifiez les paramètres d’annuaire suivants.

Serveur : (obligatoire) nom de domaine complet (FQDN) du serveur de répertoire. Par exemple, le nom de domaine complet d’un ordinateur appelé x sur le réseau corp.exemple.com est x.corp.exemple.com. Il est possible d’utiliser une adresse IP à la place du nom de domaine complet du serveur.

Port : (obligatoire) port utilisé par le serveur d’annuaire. Il s’agit du port 389 ou 636 si les informations d’authentification sont envoyées via le protocole SSL sur le réseau.

SSL : (obligatoire) indique si le serveur de répertoire utilise le protocole SSL pour envoyer les données sur le réseau. La valeur par défaut est Non. Lorsque la valeur est définie sur Oui, le certificat du serveur LDAP correspondant doit être approuvé par l’environnement d’exécution Java™ (JRE) du serveur d’applications.

Binding : (obligatoire) indique le mode d’accès au répertoire.

Anonyme : aucun nom d’utilisateur ni mot de passe requis. Un utilisateur anonyme peut ne récupérer qu’une quantité limitée de données. Cette option peut s’avérer utile pour le test initial.

Utilisateur : authentification requise. Dans le champ Nom, indiquez le nom de l’enregistrement utilisateur qui peut accéder à l’annuaire. Il est généralement conseillé d’entrer le nom distinctif complet (ND) du compte utilisateur, par exemple : cn=Jane Doe, ou=user, dc=can, dc=com. Dans la zone Mot de passe, indiquez le mot de passe associé. Ces paramètres sont requis lorsque vous sélectionnez Utilisateur comme option de liaison.

Nom : nom pouvant être utilisé pour la connexion à la base de données LDAP lorsque l’accès anonyme n’est pas activé. Pour Active Directory 2003, spécifiez [domain name]\[userid]. Pour Sun™ One, eDirectory ou IBM Tivoli Directory Server, spécifiez le nom qualifié complet de l’utilisateur, comme uid=lcuser,ou=it,o=company.com.

Mot de passe : mot de passe associé au nom indiqué pour la connexion à la base de données LDAP lorsque l’accès anonyme n’est pas activé.

Renseigner la page avec : lorsque cette option est sélectionnée, les attributs des pages contenant les paramètres Utilisateur et Groupe sont renseignés avec les valeurs LDAP par défaut correspondantes.

Récupérer les ND de base : permet de récupérer les ND de base et de les afficher dans la liste déroulante. Ce paramètre est utile lorsque vous avez plusieurs DN de base et que vous devez sélectionner une valeur.

Activer le référentiel : ce paramètre s’applique si votre entreprise utilise plusieurs domaines Active Directory organisés sous forme hiérarchique et si vous avez spécifié des paramètres d’annuaire pour le domaine parent uniquement. Dans ce cas, lorsque vous sélectionnez cette option, User Management peut accéder aux détails des utilisateurs et des groupes à partir des domaines enfants.

Paramètres utilisateur user-settings

Identifiant unique : (obligatoire) attribut unique et constant utilisé pour identifier les utilisateurs. Utilisez un attribut non ND comme identifiant unique, car le ND d’un utilisateur peut changer s’il se déplace vers une autre partie de l’organisation. Ce paramètre dépend du serveur d’annuaire. La valeur est objectGUID pour Active Directory 2003, nsuniqueID pour Sun™ One et guid pour eDirectory.

ND de base : défini comme point de départ pour la synchronisation des utilisateurs et des groupes à partir de la hiérarchie LDAP. Il est préférable de spécifier un DN de base au niveau le plus bas de la hiérarchie qui englobe tous les utilisateurs et groupes devant être synchronisés pour les services.

Si vous avez sélectionné l’option Activer le référentiel dans les paramètres d’annuaire, définissez l’option ND de base sur la valeur dc fait partie du DN. Pour que la référence fonctionne, la recherche doit inclure les domaines parents et enfants.

Bien que le paramètre ND de base soit obligatoire dans Administration Console, certains serveurs d’annuaire tels qu’IBM Domino Enterprise Server peuvent nécessiter un ND de base vide. Pour spécifier un ND de base vide, exportez le fichier config.xml, modifiez le paramètre dans le fichier config.xml, puis réimportez-le. (Voir Import et export du fichier de configuration.)

Filtre de recherche : (obligatoire) filtre de recherche à utiliser pour trouver l’enregistrement associé à l’utilisateur. Vous pouvez effectuer une recherche sur un seul niveau ou sur les niveaux inférieurs. (Voir Syntaxe des filtres de recherche, en anglais ou la RFC 2254.) Pour obtenir des informations supplémentaires sur le schéma Microsoft AD, voir Active Directory Schema (en anglais).

Description : attribut de schéma pour la description de l’utilisateur.

Nom complet : (obligatoire) attribut de schéma pour le nom complet de l’utilisateur.

ID de connexion : (obligatoire) attribut de schéma pour l’ID de connexion de l’utilisateur.

Nom : (obligatoire) attribut de schéma pour le nom de l’utilisateur.

Prénom : (obligatoire) attribut de schéma pour le prénom de l’utilisateur.

Initiales : attribut de schéma pour les initiales de l’utilisateur.

Calendrier professionnel : permet d’associer un calendrier professionnel à un utilisateur, en fonction de la valeur de ce paramètre (clé du calendrier professionnel). Les calendriers professionnels définissent les jours ouvrés et non ouvrés. AEM les formulaires peuvent utiliser des calendriers professionnels pour calculer les dates et heures futures des événements tels que les rappels, les échéances et les transmissions. La manière dont vous attribuez des clés de calendrier professionnel aux utilisateurs varie selon que vous utilisez un domaine d’entreprise, local ou hybride. Voir Configuration des calendriers professionnels.

Si vous utilisez un domaine d’entreprise, vous pouvez associer le paramètre Business Calendar à un champ de l’annuaire LDAP. Par exemple, si chaque enregistrement d’utilisateur dans votre annuaire contient une country et si vous souhaitez affecter des calendriers professionnels en fonction du pays dans lequel l’utilisateur se trouve, indiquez la variable country nom de champ comme valeur du paramètre Calendrier professionnel . Vous pouvez ensuite associer les clés de calendrier professionnel (les valeurs définies pour la variable country dans l’annuaire LDAP) aux calendriers professionnels dans le processus des formulaires.

L’espace utilisé pour afficher le nom de la clé de calendrier professionnel dans les pages de processus des formulaires est limité. Limitez le nom de la clé de calendrier professionnel à moins de 53 caractères pour éviter qu’il ne soit tronqué sur ces pages.

Modifier l’horodatage : pour activer la synchronisation de répertoires delta, définissez cette valeur sur Modifier l’horodatage. Voir Activation de la synchronisation d’annuaires delta.

Organisation : attribut de schéma pour le nom de la société à laquelle appartient l’utilisateur.

Adresse électronique principale : attribut de schéma pour l’adresse électronique principale de l’utilisateur.

Adresse électronique secondaire : attribut de schéma pour l’adresse électronique secondaire de l’utilisateur.

Téléphone : attribut de schéma pour le numéro de téléphone de l’utilisateur.

Adresse postale : attribut de schéma pour l’adresse postale de l’utilisateur.

Paramètres régionaux : attribut de schéma contenant les paramètres régionaux ISO. La valeur de cet attribut est un code de langue à deux lettres ou un code de langue et de pays.

Fuseau horaire : attribut de schéma contenant le fuseau horaire de l’utilisateur. La valeur de cet attribut est une chaîne de type Ville/Pays.

Activer le contrôle VLV (Virtual List View) : contrôle LDAP qui permet à AEM Forms de récupérer les données par lots à partir du serveur d’annuaire. Si vous utilisez Sun One en tant qu’annuaire LDAP et si cet annuaire contient de nombreux utilisateurs, l’activation du contrôle VLV crée un index que User Management peut utiliser lors de la recherche d’utilisateurs. Cette option se révèle tout particulièrement utile lors de l’utilisation d’un compte utilisateur normal capable de synchroniser un volume limité de données seulement. Vous pouvez également activer le contrôle VLV pour les groupes. Si vous sélectionnez Activer le contrôle VLV (Virtual List View), indiquez un nom dans la zone Champ de tri.

Champ de tri : si vous avez sélectionné Activer le contrôle VLV (Virtual List View), indiquez le nom de l’attribut utilisé pour trier l’index. Ce nom d’attribut (uid, par exemple) est celui que vous avez spécifié lors de la création d’un index pour VLV sur le serveur d’annuaire.

Paramètres du groupe group-settings

Identifiant unique : (obligatoire) attribut unique et constant utilisé pour identifier les groupes. Utilisez un attribut non ND comme identifiant unique. Ce paramètre dépend du serveur d’annuaire. La valeur est objectGUID pour Active Directory 2003, nsuniqueID pour Sun One et guid pour eDirectory.

ND de base : (obligatoire) identifiant de base du répertoire.

Bien que le paramètre ND de base soit obligatoire dans Administration Console, certains serveurs d’annuaire tels qu’IBM Domino Enterprise Server nécessitent un ND de base vide. Pour spécifier un ND de base vide, exportez le fichier config.xml, modifiez le paramètre dans le fichier config.xml, puis réimportez-le. (Voir Import et export du fichier de configuration.)

Filtre de recherche : (obligatoire) filtre de recherche à utiliser pour trouver l’enregistrement associé au groupe. Vous pouvez effectuer une recherche sur un seul niveau ou sur les niveaux inférieurs.

Description : attribut de schéma pour la description du groupe.

Nom complet : (obligatoire) attribut de schéma pour le nom complet du groupe.

ND de membre : (obligatoire) attribut de schéma pour le nom distinctif des membres d’un groupe.

Identifiant unique de membre : identifiant unique d’un utilisateur ou d’un groupe qui est membre du groupe sélectionné. La valeur de ce paramètre dépend du serveur d’annuaire. La valeur est objectSID pour Active Directory 2003, nsuniqueID pour Sun One et guid pour eDirectory.

Si le ND de membre est spécifié avec un attribut non ND, User Management utilise l’identifiant unique de membre pour interroger LDAP pour collecter le ND de l’utilisateur, car il correspond à une valeur d’identifiant unique.

Si le ND est spécifié comme identifiant unique, il n’est pas nécessaire de configurer l’identifiant unique du membre.

Organisation : attribut de schéma pour le nom de la société à laquelle appartient le groupe.

Adresse électronique principale : attribut de schéma pour l’adresse électronique principale du groupe.

Adresse électronique secondaire :  attribut de schéma pour l’adresse électronique secondaire du groupe.

Modifier l’horodatage : pour activer la synchronisation de répertoires delta, définissez cette valeur sur Modifier l’horodatage. Voir Activation de la synchronisation d’annuaires delta.

Activer le contrôle VLV (Virtual List View) : contrôle LDAP qui permet à AEM Forms de récupérer les données par lots à partir du serveur d’annuaire. Si vous utilisez Sun One en tant qu’annuaire LDAP et si cet annuaire contient de nombreux groupes, l’activation du contrôle VLV crée un index que User Management peut utiliser lors de la recherche de groupes. Cette option se révèle tout particulièrement utile lors de l’utilisation d’un compte utilisateur normal capable de synchroniser un volume limité de données seulement. Vous pouvez également activer le contrôle VLV pour les utilisateurs. Si vous sélectionnez Activer le contrôle VLV (Virtual List View), indiquez un nom de champ de tri.

Nom de champ de tri : si vous avez sélectionné Activer le contrôle VLV (Virtual List View), indiquez le nom de l’attribut utilisé pour trier l’index. Il s’agit du nom de l’attribut spécifié lors de la création d’un index pour VLV sur le serveur d’annuaire.

Configuration de User Management pour l’utilisation du mode Liste virtuelle (VLV) configure-user-management-to-use-virtual-list-view-vlv

La synchronisation des annuaires est une exigence importante de User Management. Les utilisateurs et les groupes sont synchronisés d’un annuaire d’entreprise vers la base de données d’AEM forms pour attribuer des rôles et des autorisations. Le nombre d’utilisateurs varie de 100 à 100000+ en fonction des exigences. La synchronisation des données est donc un défi d’ingénierie.

Le protocole LDAP fournit un mécanisme pour interroger les jeux de données volumineux de manière paginée à l’aide de contrôles de requête. Lors de l’utilisation de Microsoft Principale Directory, la synchronisation LDAP vers AEM base de données forms utilise PagedResultsControl pour récupérer les données dans des lots d’une taille particulière. Le serveur d’annuaire Sun ONE ne prend pas en charge ce contrôle. Pour effectuer une requête paginée sur le serveur d’annuaire Sun ONE, utilisez le contrôle VLV (Virtual List View). Ce contrôle implique à la fois une configuration de répertoire côté serveur et une mise en oeuvre côté client.

Configuration du serveur d’annuaire Sun ONE pour VLV configuring-the-sun-one-directory-server-for-vlv

La création d’un contrôle VLV exige une paire d’entrées intégrant les classes d’objet vlvSearch et vlvIndex. L’entrée vlvSearch inclut une base de recherche et l’attribut vlvFilter qui définit la classe d’objet contenant les attributs à trier. La classe d’objet vlvIndex inclut l’attribut vlvSort qui spécifie un ou plusieurs attributs à trier et l’ordre dans lequel les trier. (Un signe moins (-) indique l’ordre alphabétique inverse). L’utilisation du contrôle VLV avec AEM forms nécessite des entrées distinctes pour les utilisateurs et les groupes.

Voici un exemple de script LDIF pour une entrée VLV pour les utilisateurs :

 dn: cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 objectclass: top
 objectclass: vlvSearch
 cn: lcuser
 vlvBase: dc=corp,dc=adobe,dc=com
 vlvScope: 2
 vlvFilter: (&(objectclass=inetOrgPerson))
 aci: (target="ldap:///cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config")(targetattr="*")(version 3.0; acl "Config"
 ;allow(read,search,compare) userdn="ldap:///all"; )
 dn: cn=lcuser,cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 cn: lcuser
 vlvSort: cn
 objectclass: top
 objectclass: vlvIndex

Création des entrées d’objet à l’aide d’un script

Création de l’index du serveur d’annuaire pour VLV create-the-directory-server-index-for-vlv

Après avoir configuré les paramètres d’annuaire et créé les entrées VLV LDAP pour les utilisateurs et les groupes, arrêtez le serveur et créez l’index requis.