Configurar directorios configuring-directories

Para cada dominio de empresa que configure, especifique los directorios que consulta el proveedor de autenticación para obtener información del usuario. Puede configurar varios directorios para un dominio.

Añadir directorios o SPI personalizados adding-directories-or-custom-spis

Para cada dominio de empresa que configure, especifique los directorios que consulta el proveedor de autenticación para obtener información del usuario. Puede agregar un directorio a un dominio de empresa existente o a un nuevo dominio de empresa que esté agregando. Puede configurar varios directorios para un dominio. También puede configurar un dominio para que utilice una interfaz de proveedor de servicios (SPI) personalizada para la sincronización.

Añadir un directorio add-a-directory

Añadir un SPI personalizado add-a-custom-spi

Para obtener información sobre la creación de un SPI personalizado, consulte "Desarrollo de SPI para AEM formularios" en Programación con formularios AEM. Para que un SPI personalizado recién implementado esté disponible para la asociación con el dominio, reinicie el servidor.

Editar un directorio edit-a-directory

Puede editar los detalles de un directorio que haya configurado anteriormente.

Eliminar un directorio delete-a-directory

Al sincronizar los dominios después de eliminar un directorio, todos los usuarios y grupos de ese directorio se marcan como obsoletos en la base de datos. No se devolverán en ninguna búsqueda desde la Consola de administración.

Configuración de directorio directory-settings

Cuando agregue un directorio a un dominio, especifique la siguiente configuración de directorio.

Servidor: (Obligatorio) Nombre de dominio completo (FQDN) del servidor de directorios. Por ejemplo, para un equipo llamado x en la red adobe.com, el FQDN es x.adobe.com. Se puede usar una dirección IP en lugar del nombre del servidor FQDN.

Puerto: (Obligatorio) El puerto que utiliza el servidor de directorios. Normalmente, 389 o 636 si el protocolo Secure Sockets Layer (SSL) se utiliza para enviar información de autenticación a través de la red.

SSL: (Obligatorio) Especifica si el servidor de directorio utiliza SSL al enviar datos a través de la red. El valor predeterminado es No. Cuando se establece en Sí, el certificado de servidor LDAP correspondiente debe ser de confianza para el entorno de tiempo de ejecución (JRE) de Java™ del servidor de aplicaciones.

Enlace (Obligatorio) Especifica cómo acceder al directorio.

Anónimo: No se requiere nombre de usuario ni contraseña. Es posible que un usuario anónimo solo pueda recuperar una cantidad limitada de datos. Esta opción puede resultar útil para la prueba inicial.

Usuario: Se requiere autenticación. En el cuadro Nombre, especifique el nombre del registro de usuario que puede acceder al directorio. Es mejor introducir el nombre de reconocimiento completo (DN) de la cuenta de usuario, como cn=Jane Doe, ou=user, dc=can, dc=com. En el cuadro Contraseña, especifique la contraseña asociada. Estos ajustes son necesarios cuando selecciona Usuario como opción de enlace.

Nombre: Nombre que se puede utilizar para conectarse a la base de datos LDAP cuando el acceso anónimo no está habilitado. Para Active Directory 2003, especifique [domain name]\[userid]. Para Sun™ One, eDirectory o IBM Tivoli Directory Server, especifique el nombre completo del usuario, como uid=lcuser,ou=it,o=company.com.

Contraseña: Contraseña que corresponde al nombre especificado para conectarse a la base de datos LDAP cuando el acceso anónimo no está habilitado.

Rellenar página con: Cuando está seleccionado, rellena los atributos en las páginas de configuración de usuario y grupo con los valores LDAP predeterminados correspondientes.

Recuperar DN base: Recupera los DN base y los muestra en la lista desplegable. Esta configuración es útil cuando tiene varios DN base y necesita seleccionar un valor.

Habilitar referente: Esta configuración es aplicable cuando su organización utiliza varios dominios de Active Directory organizados en una estructura jerárquica y ha especificado la configuración de directorio solo para el dominio principal. En este caso, al seleccionar esta opción, la Administración de usuarios puede acceder a los detalles de usuarios y grupos de los dominios secundarios.

Configuración de usuario user-settings

Identificador único: (Obligatorio) Un atributo único y constante que se utiliza para identificar a los usuarios. Utilice un atributo que no sea DN como identificador único, ya que el DN de un usuario puede cambiar si se traslada a otra parte de la organización. Esta configuración depende del servidor de directorios. El valor es objectGUID para Active Directory 2003, nsuniqueID para Sun™ One y guid para eDirectory.

DN base: Establezca como punto de partida para sincronizar usuarios y grupos desde la jerarquía LDAP. Es mejor especificar un DN base en el nivel más bajo de la jerarquía que incluya a todos los usuarios y grupos que necesitan sincronizarse para los servicios.

Si seleccionó la opción Enable reference en la configuración de Directorio, establezca la opción Base DN en la dc parte del DN. Para que funcione la referencia, el intervalo de búsqueda debe incluir los dominios principal y secundario.

Aunque la DN base es una configuración obligatoria en la consola de administración, algunos servidores de directorios, como IBM Domino Enterprise Server, pueden requerir una BaseDN vacía. Para especificar un DN base vacío, exporte el archivo config.xml, edite el ajuste en el archivo config.xml y, a continuación, vuelva a importarlo. (Consulte Importación y exportación del archivo de configuración.)

Filtro de búsqueda: (Obligatorio) Filtro de búsqueda que se utilizará para encontrar el registro asociado al usuario. Puede realizar una búsqueda de un nivel o de un subnivel. (Consulte Sintaxis del filtro de búsqueda o RFC 2254.) Para obtener información adicional sobre el esquema de AD de Microsoft, consulte Esquema de Active Directory.

Descripción: Atributo de esquema para la descripción del usuario

Nombre completo: (Obligatorio) Atributo de esquema para el nombre completo del usuario

ID de inicio de sesión: (Obligatorio) Atributo de esquema para el ID de inicio de sesión del usuario

Apellidos: (Obligatorio) Atributo de esquema para el apellido del usuario

Nombre dado: (Obligatorio) Atributo de esquema para el nombre del usuario

Iniciales: Atributo de esquema para las iniciales del usuario

Calendario comercial: Permite asignar un calendario empresarial a un usuario, según el valor de esta configuración (la clave del calendario empresarial). Los calendarios comerciales definen los días laborables y no laborables. AEM formularios pueden utilizar calendarios empresariales para calcular fechas y horas futuras en el caso de eventos como recordatorios, plazos y escalaciones. La forma en que asigne claves de calendario empresarial a los usuarios dependerá de si utiliza un dominio empresarial, local o híbrido. (Consulte Configuración de calendarios comerciales).

Si utiliza un dominio de empresa, puede asignar la configuración del Calendario de negocios a un campo del directorio LDAP. Por ejemplo, si cada registro de usuario del directorio contiene un country y desea asignar calendarios empresariales en función del país donde se encuentre el usuario, especifique el country nombre de campo como valor de la configuración del Calendario de negocio. A continuación, puede asignar las claves del calendario empresarial (los valores definidos para la variable country en el directorio LDAP) a calendarios empresariales en el flujo de trabajo de formularios.

La cantidad de espacio que se utiliza para mostrar el nombre de la clave del calendario empresarial en las páginas de flujo de trabajo de los formularios es limitada. Limite el nombre de la clave de calendario empresarial a menos de 53 caracteres para evitar que se trunque en esas páginas.

Modificar marca de tiempo: Para habilitar la sincronización de directorios delta, establezca este valor para modificar TimeStamp. (Consulte Habilitar la sincronización de directorios delta).

Organización: Atributo de esquema para el nombre de la organización a la que pertenece el usuario.

Correo electrónico principal: Atributo de esquema para la dirección de correo electrónico principal del usuario.

Correo electrónico secundario: Atributo de esquema para la dirección de correo electrónico secundaria del usuario.

Teléfono: Atributo de esquema para el número de teléfono del usuario.

Dirección postal: Atributo de esquema para la dirección de correo del usuario.

Configuración regional: Atributo de esquema que contiene la información de configuración regional ISO. El valor es un código de idioma de dos letras o un código de idioma y de país.

Zona horaria: Atributo de esquema que contiene la zona horaria en la que se encuentra el usuario. El valor es una cadena como Ciudad/País.

Activar el control de vista de lista virtual (VLV): Control LDAP que permite a los formularios AEM recuperar datos en lotes desde el servidor de directorios. Si está utilizando Sun One como directorio LDAP y el directorio contiene muchos usuarios, al habilitar VLV se crea un índice que la Administración de usuarios puede utilizar al buscar usuarios. Esta función es útil cuando se utiliza una cuenta de usuario normal que solo puede sincronizar una cantidad limitada de datos. También puede habilitar VLV para grupos. Si selecciona Activar control de vista de lista virtual (VLV), especifique un nombre en el cuadro Campo de ordenación.

Campo de ordenación: Si seleccionó Activar control de vista de lista virtual (VLV), especifique el nombre de atributo utilizado para ordenar el índice. Este nombre de atributo (como uid) es el que especificó cuando creó un índice para VLV en el servidor de directorios.

Configuración de grupo group-settings

Identificador único: (Obligatorio) Un atributo único y constante que se utiliza para identificar grupos. Utilice un atributo que no sea de DN como identificador único. Esta configuración depende del servidor de directorios. El valor es objectGUID para Active Directory 2003, nsuniqueID para Sun One y guid para eDirectory.

DN base: (Obligatorio) Nombre de reconocimiento base del directorio.

Aunque la DN base es una configuración obligatoria en la consola de administración, algunos servidores de directorios, como IBM Domino Enterprise Server, requieren una BaseDN vacía. Para especificar un DN base vacío, exporte el archivo config.xml, edite el ajuste en el archivo config.xml y, a continuación, vuelva a importarlo. (Consulte Importación y exportación del archivo de configuración.)

Filtro de búsqueda: (Obligatorio) El filtro de búsqueda que se utilizará para encontrar el registro asociado al grupo. Puede realizar una búsqueda de un nivel o de un subnivel.

Descripción: Atributo de esquema para la descripción del grupo

Nombre completo: (Obligatorio) Atributo de esquema para el nombre completo del grupo

DN de miembro: (Obligatorio) Atributo de esquema para el nombre distintivo de los miembros de un grupo

Identificador único de miembro: Identificador único de un usuario o grupo que es miembro del grupo seleccionado. Este valor depende del servidor de directorios. El valor es objectSID para AD2003, nsuniqueID para Sun One y guid para eDirectory.

Si el DN de miembro se especifica con un atributo que no es de DN, la Administración de usuarios utiliza el Identificador único de miembro para consultar LDAP para recopilar el DN del usuario, ya que corresponde a un valor de identificador único.

Si DN se especifica como identificador único, no es necesario configurar el identificador único de miembro.

Organización: Atributo de esquema para el nombre de la organización a la que pertenece el grupo

Correo electrónico principal: Atributo de esquema para la dirección de correo electrónico principal del grupo

Correo electrónico secundario: Atributo de esquema para la dirección de correo electrónico secundaria del grupo

Modificar marca de tiempo: Para habilitar la sincronización de directorios delta, establezca este valor para modificar TimeStamp. (Consulte Habilitar la sincronización de directorios delta).

Activar el control de vista de lista virtual (VLV): Control LDAP que permite a los formularios AEM recuperar datos en lotes desde el servidor de directorios. Si está utilizando Sun One como directorio LDAP y el directorio contiene muchos grupos, al habilitar VLV se crea un índice que la Administración de usuarios puede usar al buscar grupos. Esta función es útil cuando se utiliza una cuenta de usuario normal que solo puede sincronizar una cantidad limitada de datos. También puede habilitar VLV para usuarios. Si selecciona Activar control de vista de lista virtual (VLV), especifique un nombre de campo de ordenación.

Nombre del campo de ordenación: Si seleccionó Activar control de vista de lista virtual (VLV), especifique el nombre de atributo utilizado para ordenar el índice. Este nombre de atributo es el que especificó cuando creó un índice para VLV en el servidor de directorios.

Configuración de la administración de usuarios para utilizar la vista de lista virtual (VLV) configure-user-management-to-use-virtual-list-view-vlv

La sincronización de directorios es un requisito importante para la Administración de usuarios. Los usuarios y grupos se sincronizan desde un directorio de empresa a la base de datos de formularios AEM para asignar funciones y permisos. El número de usuarios varía de 100 a más de 10000 según los requisitos y supone un desafío de ingeniería para sincronizar los datos de forma eficiente.

El protocolo LDAP proporciona un mecanismo para consultar grandes conjuntos de datos de forma paginada mediante controles de solicitud. Cuando se utiliza Microsoft Active Directory, LDAP para AEM la sincronización de la base de datos de formularios utiliza PageResultsControl para recuperar datos en lotes de un tamaño determinado. Sun ONE Directory Server no admite este control. Para completar una consulta paginada con el Sun ONE Directory Server, utilice el control Virtual List View (VLV). Este control implica la configuración del lado del servidor del directorio y la implementación del lado del cliente.

Configuración del Sun ONE Directory Server para VLV configuring-the-sun-one-directory-server-for-vlv

La creación de un VLV requiere un par de entradas que incluyan la variable vlvSearch y vlvIndex clases de objetos. La entrada vlvSearch incluye una base de búsqueda y la variable vlvFilter , que especifica la clase de objeto que contiene los atributos que desea ordenar. La variable vlvIndex la clase object incluye el vlvSort , que especifica uno o más atributos para ordenar y el orden para ordenarlos. (El signo menos (-) denota el orden alfabético inverso). El uso de VLV con formularios AEM requiere entradas independientes para usuarios y grupos.

Este es un ejemplo de entrada de script LDIF para VLV para usuarios:

 dn: cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 objectclass: top
 objectclass: vlvSearch
 cn: lcuser
 vlvBase: dc=corp,dc=adobe,dc=com
 vlvScope: 2
 vlvFilter: (&(objectclass=inetOrgPerson))
 aci: (target="ldap:///cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config")(targetattr="*")(version 3.0; acl "Config"
 ;allow(read,search,compare) userdn="ldap:///all"; )
 dn: cn=lcuser,cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 cn: lcuser
 vlvSort: cn
 objectclass: top
 objectclass: vlvIndex

Creación de entradas de objeto mediante una secuencia de comandos

Creación del Índice de Servidor de Directorios para VLV create-the-directory-server-index-for-vlv

Después de configurar los directorios y crear las entradas LDAP VLV para usuarios y grupos, detenga el servidor y cree el índice requerido.