通过LDAP协议同步数据

功能介绍

# 概述

本章节指导您通过LDAP协议同步组织和用户数据至LDAP协议目录。

# 前提条件

  • IDaaS公云服务可以访问到LDAP服务,如果LDAP服务器存在网络策略,可以添加IDaaS公云服务ip到网络白名单中,IDaaS公云服务ip请联系技术人员获取。

  • 拥有IDaaS企业中心平台的管理员权限。

# 操作步骤

  1. 登录IDaaS企业中心平台,在上方导航栏选择 “资源 > 应用” ,添加自建应用,输入应用名称并保存。

  2. 单击进入创建的应用,开启同步集成,选择 “LDAP” 并保存。

  3. 然后单击同步集成后的 “配置” 进入同步配置详情。

  4. 根据界面提示及所需场景参考配置,可选配置中的关键参数如下。

    • 通过LDAP服务同步数据

      • 账户对象类: 默认top,person,organizationalPerson,inetOrgPerson。

      • 是否包含基本上下文:应用回收时是否包含基本上下文对象,默认false。当基本上下文是一个机构时,true: 进行应用机构回收会将基本上下文作为根机构回收;false: 进行应用机构回收不会回收基本上下文。

        若需要同步IDaaS应用组成员关系,还需要配置以下属性:

      • 组对象类:配置为top,groupOfNames或者top,groupOfUniqueNames。

      • 组查询基本上下文:和通用配置基本上下文一起作为组条目搜索DN,如果不填写,将使用基本上下文作为搜索DN。

      • 组成员属性:默认member。

      • LDAP组过滤器:过滤器由一组查询条件或者运算关系和多组查询条件组成,运算关系支持与【&】和或【|】,例如(|(&(exp1)(exp2)) (&(exp3)(exp4)))查询条件由属性、关系、属性值组成,关系支持等于【cn=同步组】、不等于【!(cn=同步组)】、模糊查询【cn=同步组*】、小于等于【age<=18】、大于等于【age>=18】。

      • 组的Uid属性:配置为entryUUID。

    • 通过AD域同步数据

      • 账户对象类: 修改为top,person,organizationalPerson,user,如果同步AD域账号,需要用到sAMAccountName属性,该属性不在user对象中,需要在user后增加securityPrincipal对象,才能在应用账号模型里添加sAMAccountName属性

      • 是否包含基本上下文:与LDAP同步数据配置一致。

      • UID属性:修改为objectGUID。

      • 密码属性:当需要同步账号密码时,修改为unicodePwd,同时将通用配置中的SSL设置为true。

        若需要同步IDaaS应用组成员关系,还需要配置以下属性:

      • 组对象类:配置为top,group。

      • 组查询基本上下文:和通用配置基本上下文一起作为组条目搜索DN,如果不填写,将使用基本上下文作为搜索DN。

      • 组成员属性:默认member。

      • LDAP组过滤器:与LDAP同步数据配置一致。

      • 组的Uid属性:配置为objectGUID。

  5. 配置完成后,单击 “保存配置” ,可对连接状态进行测试。

  6. 切换至 “供应配置” 页签开启供应开关,设置同步数据的处理逻辑。

  7. 如果需要同步用户的其他属性, 在左侧菜单选择 “对象模型 > 应用账号模型 > 属性定义” ,添加账号属性。下面以employeeNumber为例

    参数 说明
    属性名 应用系统的账号属性,可在下拉菜单选取,如employeeNumber。
    显示标签 必填,可自定义。
    说明文字 非必填,可自定义。
    属性类型 不同的属性名对应不同的属性类型,由应用系统的属性确定,不支持修改。
    格式 系统默认不支持修改。
    必填 系统默认不勾选。
  8. 切换到映射定义页签,配置属性映射。

    参数 说明
    应用账号 应用的账号属性。
    执行方式 IDaaS同步用户数据至目标应用时的方式。
    转换方式 IDaaS与应用之间属性的映射方式。
    脚本表达式 当转换方式选择脚本转换时,可激活该输入框。映射脚本请参考开发映射定义的动态脚本
    系统用户 IDaaS映射至应用的属性,如手机号。
  9. 如果需要同步机构, 在左侧菜单选择 “对象模型 > 应用机构模型”,开启应用机构。应用机构开启后不支持关闭

  10. 如果需要同步机构的其他属性, 在左侧菜单选择 “对象模型 > 应用机构模型 > 属性定义”,添加机构属性,**同账号属性,**此处不做详述。

# 验证IDaaS同步数据至LDAP

  1. 在左侧菜单选择 “授权管理 > 应用机构“ 页面单击 ”授权策略”,开启机构自动授权,选择机构范围,保存配置,单击 “执行新增” 后可以看到同步的组织。

  2. 同理进入“授权管理 > 应用机构“ 页面单击 ”授权策略”,开启用户自动授权,选择用户范围,保存配置,单击 “执行新增” 后可以看到同步的用户。

  3. 同理进入 “授权管理 > 应用组” 页面单击 “添加组” ,为所选应用授权可访问的用户组,配置完成后保存,则应用组中的用户同步授权该应用。

  4. 在左侧菜单选择 “授权管理 > 同步事件” 查看上述的同步记录。同时,对于组织、用户的编辑和删除等操作,也可以进行查看并过滤。

  5. 在LDAP中查看同步的组织机构、用户、应用组成员。

# 说明

# 特殊字符

包含特殊字符的属性被同步到下游后,在显示上会做转义。如同步特殊字符“+” 到下游,下游的属性可能显示为“\+”。
需要注意,这个转义操作只是显示上会出现转义字符“\”,并未改变实际的属性值。因此不会对同步数据功能造成影响。
目前梳理统计后,会做显示转义的特殊字符如下:

转义前 转义后
+ \+
; \;
, \,
\ \\

如图: