Configurazione delle directory configuring-directories

Per ogni dominio enterprise configurato, specificare le directory in cui il provider di autenticazione esegue la query delle informazioni utente. Puoi configurare più directory per un dominio.

Aggiunta di directory o SPI personalizzati adding-directories-or-custom-spis

Per ogni dominio enterprise configurato, specificare le directory in cui il provider di autenticazione esegue la query delle informazioni utente. È possibile aggiungere una directory a un dominio enterprise esistente o a un nuovo dominio enterprise che si sta aggiungendo. Puoi configurare più directory per un dominio. È inoltre possibile configurare un dominio per l'utilizzo di una SPI (Service Provider Interface) personalizzata per la sincronizzazione.

Aggiungi una directory add-a-directory

Aggiungere una SPI personalizzata add-a-custom-spi

Per informazioni sulla creazione di un SPI personalizzato, vedere "Sviluppo di SPI per i moduli AEM" in Programmazione con moduli AEM. Per rendere disponibile un SPI personalizzato appena distribuito per l'associazione al dominio, riavviare il server.

Modificare una directory edit-a-directory

Puoi modificare i dettagli di una directory configurata in precedenza.

Eliminare una directory delete-a-directory

Quando si sincronizzano i domini dopo l'eliminazione di una directory, tutti gli utenti e i gruppi in tale directory vengono contrassegnati come obsoleti nel database. Non verranno restituiti in alcuna ricerca dalla console di amministrazione.

Impostazioni directory directory-settings

Quando aggiungi una directory a un dominio, specifica le seguenti impostazioni di directory.

Server: (obbligatorio) Nome di dominio completo (FQDN) del server delle directory. Ad esempio, per un computer denominato x nella rete adobe.com, il nome di dominio completo è x.adobe.com. È possibile utilizzare un indirizzo IP al posto del nome del server FQDN.

Porta: (obbligatoria) Porta utilizzata dal server delle directory. In genere, 389 o 636 se il protocollo SSL (Secure Sockets Layer) viene utilizzato per l'invio di informazioni di autenticazione sulla rete.

SSL: (obbligatorio) Specifica se il server delle directory utilizza SSL per l'invio di dati in rete. Il valore predefinito è No. Se impostato su Sì, il certificato del server LDAP corrispondente deve essere considerato attendibile dall'ambiente runtime Java™ (JRE) del server applicazioni.

Binding (obbligatorio) Specifica come accedere alla directory.

Anonimo: Non è richiesto alcun nome utente o password. Un utente anonimo può essere in grado di recuperare solo una quantità limitata di dati. Questa opzione può essere utile per il test iniziale.

Utente: autenticazione richiesta. Nella casella Nome specificare il nome del record utente che può accedere alla directory. È consigliabile immettere il nome distinto completo (DN) dell'account utente, ad esempio cn=Jane Doe, ou=user, dc=can, dc=com. Nella casella Password specificare la password associata. Queste impostazioni sono necessarie quando si seleziona Utente come opzione di binding.

Nome: Nome che può essere utilizzato per connettersi al database LDAP quando l'accesso anonimo non è abilitato. Per Active Directory 2003, specificare [domain name]\[userid]. Per Sun™ One, eDirectory o IBM Tivoli Directory Server, specificare il nome completo dell'utente, ad esempio uid=lcuser,ou=it,o=company.com.

Password: Password corrispondente al nome specificato per la connessione al database LDAP quando l'accesso anonimo non è abilitato.

Popola pagina con: Se questa opzione è selezionata, compila gli attributi nelle pagine delle impostazioni Utente e Gruppo con i corrispondenti valori LDAP predefiniti.

Recupera DN di base: Recupera i DN di base e li visualizza nell'elenco a discesa. Questa impostazione è utile quando si dispone di più DN di base e si deve selezionare un valore.

Abilita riferimento: Questa impostazione è applicabile quando l'organizzazione utilizza più domini di Active Directory organizzati in una struttura gerarchica e sono state specificate impostazioni di directory solo per il dominio padre. In questa situazione, quando selezioni questa opzione, Gestione utenti può accedere ai dettagli di utenti e gruppi dai domini secondari.

Impostazioni utente user-settings

Identificatore univoco: (obbligatorio) attributo univoco e costante utilizzato per identificare gli utenti. Utilizzare un attributo non DN come identificatore univoco perché il DN di un utente può cambiare se si sposta in un'altra parte dell'organizzazione. Questa impostazione dipende dal server delle directory. Il valore è objectGUID per Active Directory 2003, nsuniqueID per Sun™ One e guid per eDirectory.

DN di base: Imposta come punto iniziale per la sincronizzazione di utenti e gruppi dalla gerarchia LDAP. È consigliabile specificare un DN di base al livello più basso della gerarchia che includa tutti gli utenti e i gruppi che devono essere sincronizzati per i servizi.

Se nelle impostazioni della directory è stata selezionata l'opzione Abilita riferimento, impostare l'opzione DN di base sulla parte dc del DN. Affinché il riferimento funzioni, l’intervallo di ricerca deve includere sia i domini padre che quelli figlio.

Sebbene il DN di base sia un'impostazione obbligatoria nella console di amministrazione, alcuni server delle directory, come IBM Domino Enterprise Server, potrebbero richiedere un DN di base vuoto. Per specificare un DN di base vuoto, esportare il file config.xml, modificare l'impostazione nel file config.xml, quindi reimportarlo. (Vedere Importazione ed esportazione del file di configurazione.)

Filtro di ricerca: (obbligatorio) Filtro di ricerca da utilizzare per trovare il record associato all'utente. È possibile eseguire una ricerca a un livello o a un livello secondario. Consultate Sintassi del filtro di ricerca o RFC 2254. Per ulteriori informazioni sullo schema di Microsoft AD, vedere Schema di Active Directory.

Descrizione: attributo dello schema per la descrizione dell'utente

Nome completo: (obbligatorio) Attributo schema per il nome completo dell'utente

ID accesso: (obbligatorio) Attributo schema per l'ID di accesso dell'utente

Cognome: (obbligatorio) Attributo schema per il cognome dell'utente

Nome assegnato: (obbligatorio) Attributo schema per il nome dell'utente

Iniziali: Attributo schema per le iniziali dell'utente

Calendario aziendale: consente di mappare un calendario aziendale a un utente in base al valore di questa impostazione (chiave del calendario aziendale). I calendari aziendali definiscono i giorni lavorativi e non lavorativi. I moduli AEM possono utilizzare i calendari aziendali per calcolare le date e le ore future per eventi quali promemoria, scadenze e inoltri per moderazione. Il modo in cui si assegnano le chiavi del calendario aziendale agli utenti dipende dal fatto che si utilizzi un dominio enterprise, locale o ibrido. Consultate Configurazione dei calendari aziendali.

Se si utilizza un dominio enterprise, è possibile mappare l'impostazione del Calendario aziendale a un campo nella directory LDAP. Ad esempio, se ogni record utente nella directory contiene un campo paese e si desidera assegnare calendari aziendali in base al paese in cui si trova l'utente, specificare il nome del campo paese come valore per l'impostazione Calendario aziendale. È quindi possibile mappare le chiavi del calendario aziendale (i valori definiti per il campo paese nell'elenco LDAP) ai calendari aziendali nel flusso di lavoro di Forms.

Lo spazio utilizzato per visualizzare il nome della chiave del calendario aziendale nelle pagine del flusso di lavoro dei moduli è limitato. Limita il nome della chiave del calendario aziendale a meno di 53 caratteri per evitare che venga troncato su tali pagine.

Modifica timestamp: Per abilitare la sincronizzazione della directory delta, impostare questo valore per modificare il timestamp. Consultate Abilitare la sincronizzazione della directory delta.

Organizzazione: attributo dello schema per il nome dell'organizzazione a cui appartiene l'utente.

E-mail primaria: attributo dello schema per l'indirizzo e-mail principale dell'utente.

Attributo schema e-mail secondaria: per l'indirizzo e-mail secondario dell'utente.

Telefono: Attributo dello schema per il numero di telefono dell'utente.

Indirizzo postale: Attributo schema per l'indirizzo postale dell'utente.

Impostazioni internazionali: Attributo dello schema che contiene le informazioni sulle impostazioni internazionali ISO. Il valore è un codice della lingua a due lettere o un codice della lingua e del paese.

Fuso orario: attributo dello schema che contiene il fuso orario in cui si trova l'utente. Il valore è una stringa come Città/Paese.

Attiva controllo VLV (Virtual List View): controllo LDAP che consente ai moduli AEM di recuperare i dati in batch dal server delle directory. Se si utilizza Sun One come directory LDAP e la directory contiene molti utenti, l'abilitazione di VLV crea un indice utilizzabile da Gestione utenti durante la ricerca degli utenti. Questa funzione è utile quando si utilizza un account utente normale in grado di sincronizzare solo una quantità limitata di dati. È inoltre possibile abilitare VLV per i gruppi. Se si seleziona Attiva controllo VLV (Virtual List View), specificare un nome nella casella Ordina campo.

Campo di ordinamento: Se è stata selezionata l'opzione Abilita controllo VLV (Virtual List View), specificare il nome dell'attributo utilizzato per ordinare l'indice. Questo nome di attributo (ad esempio uid) è quello specificato quando si crea un indice per VLV sul server delle directory.

Impostazioni gruppo group-settings

Identificatore univoco: (obbligatorio) attributo univoco e costante utilizzato per identificare i gruppi. Utilizza un attributo non DN come identificatore univoco. Questa impostazione dipende dal server delle directory. Il valore è objectGUID per Active Directory 2003, nsuniqueID per Sun One e guid per eDirectory.

Nome distinto di base: (obbligatorio) Nome distinto di base della directory.

Sebbene il DN di base sia un'impostazione obbligatoria nella console di amministrazione, alcuni server delle directory, come IBM Domino Enterprise Server, richiedono un DN di base vuoto. Per specificare un DN di base vuoto, esportare il file config.xml, modificare l'impostazione nel file config.xml, quindi reimportarlo. (Vedere Importazione ed esportazione del file di configurazione.)

Filtro di ricerca: (obbligatorio) Filtro di ricerca da utilizzare per trovare il record associato al gruppo. È possibile eseguire una ricerca a un livello o a un livello secondario.

Descrizione: attributo dello schema per la descrizione del gruppo

Nome completo: (obbligatorio) Attributo schema per il nome completo del gruppo

DN membro: (obbligatorio) Attributo schema per il nome distinto dei membri di un gruppo

Identificatore univoco membro: Identificatore univoco per un utente o un gruppo membro del gruppo selezionato. Questo valore dipende dal server delle directory. Il valore è objectSID per AD2003, nsuniqueID per Sun One e guid per eDirectory.

Se DN membro è specificato con un attributo non DN, Gestione utenti utilizza Identificatore univoco membro per eseguire una query LDAP per raccogliere il DN dell'utente in quanto corrisponde a un valore di identificatore univoco.

Se DN è specificato come identificatore univoco, non è necessario configurare Identificatore univoco membro.

Organizzazione: Attributo dello schema per il nome dell'organizzazione a cui appartiene il gruppo

E-mail primaria: Attributo dello schema per l'indirizzo e-mail principale del gruppo

E-mail secondaria: Attributo dello schema per l'indirizzo e-mail secondario del gruppo

Modifica timestamp: Per abilitare la sincronizzazione della directory delta, impostare questo valore per modificare il timestamp. Consultate Abilitare la sincronizzazione della directory delta.

Attiva controllo VLV (Virtual List View): controllo LDAP che consente ai moduli AEM di recuperare i dati in batch dal server delle directory. Se si utilizza Sun One come directory LDAP e la directory contiene molti gruppi, l'abilitazione di VLV crea un indice utilizzabile da Gestione utente durante la ricerca dei gruppi. Questa funzione è utile quando si utilizza un account utente normale in grado di sincronizzare solo una quantità limitata di dati. È inoltre possibile abilitare VLV per gli utenti. Se si seleziona Abilita controllo VLV (Virtual List View), specificare un nome per il campo di ordinamento.

Nome campo di ordinamento: Se è stata selezionata l'opzione Abilita controllo VLV (Virtual List View), specificare il nome dell'attributo utilizzato per ordinare l'indice. Questo nome di attributo è quello specificato al momento della creazione di un indice per VLV sul server delle directory.

Se vengono restituiti utenti e gruppi, i risultati mostrano i valori assegnati a ciascun campo in base alla serie di attributi.

Configurare User Management per l'utilizzo di Virtual List View (VLV) configure-user-management-to-use-virtual-list-view-vlv

La sincronizzazione delle directory è un requisito importante per la gestione degli utenti. Gli utenti e i gruppi vengono sincronizzati da una directory enterprise al database dei moduli AEM per l'assegnazione di ruoli e autorizzazioni. Il numero di utenti varia da 100 a 100000+ a seconda dei requisiti e rappresenta una sfida tecnica per sincronizzare i dati in modo efficiente.

Il protocollo LDAP fornisce un meccanismo per eseguire query su set di dati di grandi dimensioni in modo impaginato utilizzando i controlli di richiesta. Quando si utilizza Microsoft Active Directory, la sincronizzazione del database da LDAP a AEM Forms utilizza PagedResultsControl per recuperare i dati in batch di dimensioni particolari. Il server delle directory Sun ONE non supporta questo controllo. Per completare una query impaginata sul server delle directory Sun ONE, utilizzare il controllo Virtual List View (VLV). Questo controllo coinvolge sia la configurazione lato server delle directory che l'implementazione lato client.

Configurazione di Sun ONE Directory Server per VLV configuring-the-sun-one-directory-server-for-vlv

La creazione di un VLV richiede una coppia di voci che includono le classi di oggetti vlvSearch e vlvIndex. La voce vlvSearch include una base di ricerca e l'attributo vlvFilter, che specifica la classe oggetto contenente gli attributi che si desidera ordinare. La classe dell'oggetto vlvIndex include l'attributo vlvSort, che specifica uno o più attributi da ordinare e l'ordine in cui ordinarli. (Il segno meno (-) indica l'ordine alfabetico inverso). L’utilizzo del VLV con i moduli AEM richiede voci separate per gli utenti e i gruppi.

Di seguito è riportato un esempio di script LDIF per la voce VLV per gli utenti:

 dn: cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 objectclass: top
 objectclass: vlvSearch
 cn: lcuser
 vlvBase: dc=corp,dc=adobe,dc=com
 vlvScope: 2
 vlvFilter: (&(objectclass=inetOrgPerson))
 aci: (target="ldap:///cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config")(targetattr="*")(version 3.0; acl "Config"
 ;allow(read,search,compare) userdn="ldap:///all"; )
 dn: cn=lcuser,cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 cn: lcuser
 vlvSort: cn
 objectclass: top
 objectclass: vlvIndex

Creare le voci oggetto utilizzando uno script

Creare l'indice del server delle directory per VLV create-the-directory-server-index-for-vlv

Dopo aver configurato le impostazioni della directory e creato le voci VLV LDAP per utenti e gruppi, arrestare il server e creare l'indice richiesto.