Настройка миграции из АД

Точечная синхронизация и множественная миграция настраиваются одновременной в одном конфигурационном файле. Конфигурационный файл находиться по адресу:

/mybpm/configs/AdConfig.txt

Этот файл уже должен существовать и в нём некоторые поля уже имеют значения по умолчанию. Не трогайте те настройки, которые уже есть, если вы точно не знаете что делаете.

В первую очередь необходимо настроить доступ к АД по протоколу LDAP для этого нужно попросить у администратора параметры доступа к АД и заполнить следующие поля:

adUsername=cn=greetgo,ou=temp,dc=hq,dc=bc
adPassword=anyPassword
adPort=389
adBase=dc=hq,dc=bc
adHost=10.0.0.1
useSSL=false

Здесь приведены значения для понимания как они должны выглядеть. У вас они будут другими, но похожими. Следует отметить, что некоторые параметры можно передать через переменные окружения, например логин и пароль, чтобы они в конфиге не были доступны в открытом виде. Для этого нужно вначале эти переменные окружения определить. Например вы определили сделующие переменные окружения:

AD_LOGIN=cn=greetgo,ou=temp,dc=hq,dc=bc
AD_PASSWORD=very-big-secret

И теперь нужно из конфига на них сослаться, для этого поменять следующие параметры на такие:

adUsername:ENV=AD_LOGIN
adPassword:ENV=AD_PASSWORD

Т.е. нужно к ключу добавить окончание :ENV, которое говорит, что правее равно содержится имя переменной окружения, из которой нужно читать значение данного параметра.

Синхронизация рабочих групп

Для того, чтобы синхронизировать рабочие группы нужно заполнить параметр:

adGroupFieldCode=

Если этот параметр равен пустой строке, то рабочие группы синхронизировать не будут. Если же нужно синхронизация этого параметра, то нужно у рабочей группы создать поле для синхронизации с АД. Например вы создали у БО "Рабочая группа" поле:

Название поля: Код роли из АД
Тип поля: Текстовая строка (INPUT_TEXT)
Код поля: AD_ROLE

Тогда нужно в конфиге задать этот параметр так:

adGroupFieldCode=AD_ROLE

Т.е. его значение должно соответствовать коду этого поля.

После этого, при синхронизации с АД этот пользователь будет добавляться ко всем группам, которые соответствуют тем ролям, которые приходят из АД для этого пользователя.

Например, вы создали рабочие группы:

И пользователь example в АД содержит две роли: CN=Central,OU=Группы рассылок,DC=ok,DC=kz и CN=problem,OU=DC=ok,DC=kz. А в системе он находиться в двух группах: Проблемные кредиты и Подключён к VPN. То при входе в систему он будет исключён из группы Подключён к VPN и добавлен в группу: Центральная группа рассылок. А в группе Проблемные кредиты он останется.

Также пользователь будет исключён из всех остальных групп, даже тек, в которых поле AD_ROLE будет не заполнено.

Настройка множественной миграции

Множественную миграцию нужно дополнительно настраивать. Для этого нужно в конфигурационном файле:

/mybpm/scheduler/core/MigrateFromAdScheduler.scheduler-config.txt

Настроить расписание запуска в параметре:

migrate = 02:00

В данном случае настроен запуск в 2 часа ночи. Какие сюда можно вносить данные более детально читайте в самом файле - там вначале всё расписано.

После установки этого параметра, ночью запуститься множественная миграция и все пользователи из АД будут скопированы в систему.

Логирование миграции из АД

В конфигурационном файле:

/mybpm/logging/structure.txt

Нужно настроить вывод логов для миграции из АД. Вот эти строки это настраивают.

category AdMigration
    level TRACE
    assign_to adMigration

destination adMigration to_file migration/ad
    layout trace
    level TRACE

destination tracer_ad_1 to_file traces2/ad_1
    layout trace
    level TRACE

category tracer_ad_1
    level TRACE
    assign_to tracer_ad_1

Эти строки настраивают файлы логирования: migration/ad.log и traces2/ad_1.log. В этих логах будут сохраняться состояния миграции и некоторые полезные данные. Например в файле ad_1 появляются роли из АД, которые назначены только что зашедшему в систему АД-пользователю.