Настройка миграции из АД

011 012

Точечная синхронизация и множественная миграция настраиваются 013 одновременной в одном конфигурационном файле. Конфигурационный файл 014 находиться по адресу:

015 016

017  /mybpm/configs/AdConfig.txt
018  
019  
020  
021

022 023

Этот файл уже должен существовать и в нём некоторые поля уже 024 имеют значения по умолчанию. Не трогайте те настройки, которые уже 025 есть, если вы точно не знаете что делаете.

026 027

В первую очередь необходимо настроить доступ к АД по протоколу 028 LDAP для этого нужно попросить у администратора параметры доступа к 029 АД и заполнить следующие поля:

030 031

032  adUsername=cn=greetgo,ou=temp,dc=hq,dc=bc
033  adPassword=anyPassword
034  adPort=389
035  adBase=dc=hq,dc=bc
036  adHost=10.0.0.1
037  useSSL=false
038  
039  
040  
041

042 043

Здесь приведены значения для понимания как они должны выглядеть. 044 У вас они будут другими, но похожими. Следует отметить, что 045 некоторые параметры можно передать через переменные окружения, 046 например логин и пароль, чтобы они в конфиге не были доступны в 047 открытом виде. Для этого нужно вначале эти переменные окружения 048 определить. Например вы определили сделующие переменные 049 окружения:

050 051

052  AD_LOGIN=cn=greetgo,ou=temp,dc=hq,dc=bc
053  AD_PASSWORD=very-big-secret
054  
055  
056  
057

058 059

И теперь нужно из конфига на них сослаться, для этого поменять 060 следующие параметры на такие:

061 062

063  adUsername:ENV=AD_LOGIN
064  adPassword:ENV=AD_PASSWORD
065  
066  
067  
068

069 070

Т.е. нужно к ключу добавить окончание :ENV, которое 071 говорит, что правее равно содержится имя переменной окружения, из 072 которой нужно читать значение данного параметра.

073 074

Синхронизация рабочих групп

075 076

Для того, чтобы синхронизировать рабочие группы нужно заполнить 077 параметр:

078 079

080  adGroupFieldCode=
081  
082  
083  
084

085 086

Если этот параметр равен пустой строке, то рабочие группы 087 синхронизировать не будут. Если же нужно синхронизация этого 088 параметра, то нужно у рабочей группы создать поле для синхронизации 089 с АД. Например вы создали у БО "Рабочая группа" поле:

090 091

092  Название поля: Код роли из АД
093  Тип поля: Текстовая строка (INPUT_TEXT)
094  Код поля: AD_ROLE
095  
096  
097  
098

099 100

Тогда нужно в конфиге задать этот параметр так:

101 102

103  adGroupFieldCode=AD_ROLE
104  
105  
106  
107

108 109

Т.е. его значение должно соответствовать коду этого поля.

110 111

После этого, при синхронизации с АД этот пользователь будет 112 добавляться ко всем группам, которые соответствуют тем ролям, 113 которые приходят из АД для этого пользователя.

114 115

Например, вы создали рабочие группы:

116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141

Имя	Значение поля `AD_ROLE`
Центральная группа рассылок	CN=Central,OU=Группы рассылок,DC=ok,DC=kz
Проблемные кредиты	CN=problem,OU=DC=ok,DC=kz
Подключён к VPN	CN=vpn_user,OU=Groups,DC=ok,DC=kz

142 143

И пользователь example в АД содержит две роли: 144 CN=Central,OU=Группы рассылок,DC=ok,DC=kz и 145 CN=problem,OU=DC=ok,DC=kz. А в системе он находиться в 146 двух группах: Проблемные кредиты и Подключён к 147 VPN. То при входе в систему он будет исключён из группы 148 Подключён к VPN и добавлен в группу: Центральная 149 группа рассылок. А в группе Проблемные кредиты 150 он останется.

151 152

Также пользователь будет исключён из всех остальных групп, даже 153 тек, в которых поле AD_ROLE будет не заполнено.

154 155

Настройка множественной миграции

156 157

Множественную миграцию нужно дополнительно настраивать. Для 158 этого нужно в конфигурационном файле:

159 160

161  /mybpm/scheduler/core/MigrateFromAdScheduler.scheduler-config.txt
162  
163  
164  
165

166 167

Настроить расписание запуска в параметре:

168 169

170  migrate = 02:00
171  
172  
173  
174

175 176

В данном случае настроен запуск в 2 часа ночи. Какие сюда можно 177 вносить данные более детально читайте в самом файле - там вначале 178 всё расписано.

179 180

После установки этого параметра, ночью запуститься множественная 181 миграция и все пользователи из АД будут скопированы в систему.

182 183

Логирование миграции из АД

184 185

В конфигурационном файле:

186 187

188  /mybpm/logging/structure.txt
189  
190  
191  
192

193 194

Нужно настроить вывод логов для миграции из АД. Вот эти строки 195 это настраивают.

196 197

198  category AdMigration
199      level TRACE
200      assign_to adMigration
201  
202  destination adMigration to_file migration/ad
203      layout trace
204      level TRACE
205  
206  destination tracer_ad_1 to_file traces2/ad_1
207      layout trace
208      level TRACE
209  
210  category tracer_ad_1
211      level TRACE
212      assign_to tracer_ad_1
213  
214  
215  
216

217 218

Эти строки настраивают файлы логирования: 219 migration/ad.log и traces2/ad_1.log. В 220 этих логах будут сохраняться состояния миграции и некоторые 221 полезные данные. Например в файле ad_1 появляются роли 222 из АД, которые назначены только что зашедшему в систему 223 АД-пользователю.

224