Configurar directorios configuring-directories

Para cada dominio de empresa que configure, especifique los directorios que el proveedor de autenticación consulta para obtener información del usuario. Puede configurar varios directorios para un dominio.

Adición de directorios o SPI personalizados adding-directories-or-custom-spis

Para cada dominio de empresa que configure, especifique los directorios que el proveedor de autenticación consulta para obtener información del usuario. Puede agregar un directorio a un dominio de empresa existente o a un nuevo dominio de empresa que esté agregando. Puede configurar varios directorios para un dominio. También puede configurar un dominio para utilizar una interfaz de proveedor de servicios (SPI) personalizada para la sincronización.

Añadir un directorio add-a-directory

Añadir un SPI personalizado add-a-custom-spi

AEM Para obtener más información sobre la creación de una SPI personalizada, consulte "Desarrollo de SPI para formularios de la lista de permitidos" en AEM Programar con formularios de. Para que un SPI personalizado recién implementado esté disponible para asociarlo al dominio, reinicie el servidor.

Edición de un directorio edit-a-directory

Puede editar los detalles de un directorio que haya configurado anteriormente.

Eliminar un directorio delete-a-directory

Al sincronizar los dominios después de eliminar un directorio, todos los usuarios y grupos de ese directorio se marcan como obsoletos en la base de datos. No se devolverán en ninguna búsqueda desde la consola de administración.

Configuración de directorio directory-settings

Cuando agregue un directorio a un dominio, especifique la siguiente configuración de directorio.

Servidor: (Obligatorio) Nombre de dominio completo (FQDN) del servidor de directorio. Por ejemplo, para un equipo llamado x en la red adobe.com, el FQDN es x.adobe.com. Se puede usar una dirección IP en lugar del nombre de servidor FQDN.

Puerto: (Obligatorio) El puerto que utiliza el servidor de directorios. Normalmente, 389 o 636 si se utiliza el protocolo Secure Sockets Layer (SSL) para enviar información de autenticación a través de la red.

SSL: (Obligatorio) Especifica si el servidor de directorios utiliza SSL al enviar datos a través de la red. El valor predeterminado es No. Cuando se establece en Yes, el entorno de tiempo de ejecución de Java™ (JRE) del servidor de aplicaciones debe confiar en el certificado del servidor LDAP correspondiente.

Enlace (Obligatorio) Especifica cómo acceder al directorio.

Anónimo: No se requiere nombre de usuario ni contraseña. Es posible que un usuario anónimo solo pueda recuperar una cantidad limitada de datos. Esta opción puede resultar útil para las pruebas iniciales.

Usuario: Se requiere autenticación. En el cuadro Nombre, especifique el nombre del registro de usuario que puede acceder al directorio. Es mejor introducir el nombre distinguido completo (DN) de la cuenta de usuario, como cn=Jane Doe, ou=user, dc=can, dc=com. En el cuadro Contraseña, especifique la contraseña asociada. Esta configuración es necesaria cuando selecciona Usuario como opción de enlace.

Nombre: Nombre que se puede utilizar para conectarse a la base de datos LDAP cuando el acceso anónimo no está habilitado. Para Active Directory 2003, especifique [domain name]\[userid]. Para Sun™ One, eDirectory o IBM Tivoli Directory Server, especifique el nombre completo del usuario, como uid=lcuser,ou=it,o=company.com.

Contraseña: Contraseña que corresponde al nombre especificado para conectarse a la base de datos LDAP cuando el acceso anónimo no está habilitado.

Rellenar página con: Cuando se selecciona, rellena los atributos en las páginas de configuración Usuario y Grupo con los valores LDAP predeterminados correspondientes.

Recuperar DN Base: Recupera los DN base y los muestra en la lista desplegable. Esta configuración es útil cuando tiene varios DN base y necesita seleccionar un valor.

Activar recomendación: Esta configuración es aplicable cuando su organización utiliza varios dominios de Active Directory organizados en una estructura jerárquica y ha especificado la configuración de directorios sólo para el dominio principal. En este caso, al seleccionar esta opción, Administración de usuarios puede acceder a los detalles de usuarios y grupos desde los dominios secundarios.

Configuración de usuario user-settings

Identificador único: (Obligatorio) Atributo único y constante que se utiliza para identificar a los usuarios. Utilice un atributo que no sea DN como identificador único, ya que el DN de un usuario puede cambiar si se desplaza a otra parte de la organización. Esta configuración depende del servidor de directorio. El valor es objectGUID para Active Directory 2003, nsuniqueID para Sun™ One y guid para eDirectory.

DN base: Se establece como punto de partida para sincronizar usuarios y grupos desde la jerarquía LDAP. Es mejor especificar un DN base en el nivel inferior de la jerarquía que incluya todos los usuarios y grupos que necesitan sincronizarse para los servicios.

Si seleccionó la opción Habilitar referencia en la configuración del Directorio, establezca la opción DN base en dc parte del DN. Para que funcione la referencia, la duración de la búsqueda debe incluir los dominios principal y secundario.

Aunque DN base es una configuración obligatoria en la consola de administración, algunos servidores de directorio como IBM Domino Enterprise Server pueden requerir un DN base vacío. Para especificar un DN base vacío, exporte el archivo config.xml, edite el ajuste en el archivo config.xml y vuelva a importarlo. (Consulte Importación y exportación del archivo de configuración.)

Filtro de búsqueda: (Obligatorio) El filtro de búsqueda que se utiliza para encontrar el registro asociado al usuario. Puede realizar una búsqueda de un nivel o una búsqueda de subnivel. (Consulte Sintaxis del filtro de búsqueda o RFC 2254). Para obtener información adicional sobre el esquema de Microsoft AD, consulte Esquema de Active Directory.

Descripción: Atributo de esquema para la descripción del usuario

Nombre completo: (Obligatorio) Atributo de esquema para el nombre completo del usuario

ID de inicio de sesión: (Obligatorio) Atributo de esquema para el ID de inicio de sesión del usuario

Apellidos: (Obligatorio) Atributo de esquema para el apellido del usuario

Nombre dado: (Obligatorio) Atributo de esquema para el nombre del usuario

Iniciales: Atributo de esquema para las iniciales del usuario

Calendario empresarial: Permite asignar un calendario empresarial a un usuario, según el valor de esta configuración (la clave del calendario empresarial). Los calendarios comerciales definen días laborables y no laborables. AEM Los formularios de datos pueden utilizar calendarios comerciales al calcular las fechas y horas futuras para eventos como recordatorios, plazos y escalaciones. La forma de asignar claves de calendario empresarial a los usuarios depende de si utiliza un dominio empresarial, local o híbrido. (Consulte Configuración de calendarios comerciales.)

Si utiliza un dominio de empresa, puede asignar la configuración del Calendario empresarial a un campo del directorio LDAP. Por ejemplo, si cada registro de usuario del directorio contiene un país y desea asignar calendarios comerciales basados en el país donde se encuentra el usuario, especifique el campo país Nombre de campo como valor de la configuración Calendario empresarial. A continuación, puede asignar las claves del calendario empresarial (los valores definidos para la variable país en el directorio LDAP) a los calendarios empresariales del flujo de trabajo de formularios.

La cantidad de espacio utilizado para mostrar el nombre de la clave del calendario empresarial en las páginas del flujo de trabajo de formularios es limitada. Limite el nombre de la clave del calendario empresarial a menos de 53 caracteres para evitar que se trunque en esas páginas.

Modificar marca de tiempo: Para habilitar la sincronización de directorios delta, establezca este valor para modificar TimeStamp. (Consulte Habilitar la sincronización de directorios delta.)

Organización: Atributo de esquema para el nombre de la organización a la que pertenece el usuario.

Correo electrónico principal: Atributo de esquema para la dirección de correo electrónico principal del usuario.

Correo electrónico secundario: Atributo de esquema para la dirección de correo electrónico secundaria del usuario.

Teléfono: Atributo de esquema para el número de teléfono del usuario.

Dirección postal: Atributo de esquema para la dirección de correo del usuario.

Configuración regional: Atributo de esquema que contiene la información de configuración regional ISO. El valor es un código de idioma de dos letras o un código de idioma y país.

Zona horaria: Atributo de esquema que contiene la zona horaria en la que se encuentra el usuario. El valor es una cadena como Ciudad/País.

Habilitar el control de vista de lista virtual (VLV): AEM Un control LDAP que permite a los formularios de recuperar datos por lotes desde el servidor de directorios. Si utiliza Sun One como directorio LDAP y el directorio contiene muchos usuarios, al activar VLV se crea un índice que Administración de usuarios puede utilizar al buscar usuarios. Esta función es útil cuando se utiliza una cuenta de usuario normal que solo puede sincronizar una cantidad limitada de datos. También puede habilitar VLV para grupos. Si selecciona Habilitar el control de vista de lista virtual (VLV), especifique un nombre en el cuadro Ordenar campo.

Campo de ordenación: Si ha seleccionado Activar control de vista de lista virtual (VLV), especifique el nombre del atributo utilizado para ordenar el índice. Este nombre de atributo (como uid) es el que especificó al crear un índice para VLV en el servidor de directorios.

Configuración de grupo group-settings

Identificador único: (Obligatorio) Atributo único y constante que se utiliza para identificar grupos. Utilice un atributo que no sea DN como identificador único. Esta configuración depende del servidor de directorio. El valor es objectGUID para Active Directory 2003, nsuniqueID para Sun One y guid para eDirectory.

DN base: (Obligatorio) Nombre completo base del directorio.

Aunque DN base es una configuración obligatoria en la consola de administración, algunos servidores de directorio como IBM Domino Enterprise Server requieren un DN base vacío. Para especificar un DN base vacío, exporte el archivo config.xml, edite el ajuste en el archivo config.xml y vuelva a importarlo. (Consulte Importación y exportación del archivo de configuración.)

Filtro de búsqueda: (Obligatorio) El filtro de búsqueda que se utilizará para encontrar el registro asociado al grupo. Puede realizar una búsqueda de un nivel o una búsqueda de subnivel.

Descripción: Atributo de esquema para la descripción del grupo

Nombre completo: (Obligatorio) Atributo de esquema para el nombre completo del grupo

DN de miembro: (Obligatorio) Atributo de esquema para el nombre distintivo de los miembros de un grupo

Identificador único de miembro: Identificador único de un usuario o grupo que es miembro del grupo seleccionado. Este valor depende del servidor de directorios. El valor es objectSID para AD2003, nsuniqueID para Sun One y guid para eDirectory.

Si se especifica DN de miembro con un atributo que no es DN, User Management utiliza el identificador único de miembro para consultar LDAP y recopilar el DN del usuario, ya que corresponde a un valor de identificador único.

Si DN se especifica como identificador único, no es necesario configurar el identificador único de miembro.

Organización: Atributo de esquema para el nombre de la organización a la que pertenece el grupo

Correo electrónico principal: Atributo de esquema para la dirección de correo electrónico principal del grupo

Correo electrónico secundario: Atributo de esquema para la dirección de correo electrónico secundaria del grupo

Modificar marca de tiempo: Para habilitar la sincronización de directorios delta, establezca este valor para modificar TimeStamp. (Consulte Habilitar la sincronización de directorios delta.)

Habilitar el control de vista de lista virtual (VLV): AEM Un control LDAP que permite a los formularios de recuperar datos por lotes desde el servidor de directorios. Si utiliza Sun One como directorio LDAP y el directorio contiene muchos grupos, al activar VLV se crea un índice que Administración de usuarios puede utilizar al buscar grupos. Esta función es útil cuando se utiliza una cuenta de usuario normal que solo puede sincronizar una cantidad limitada de datos. También puede habilitar VLV para usuarios de. Si selecciona Habilitar el control de vista de lista virtual (VLV), especifique un nombre de campo de ordenación.

Nombre del campo de ordenación: Si ha seleccionado Activar control de vista de lista virtual (VLV), especifique el nombre del atributo utilizado para ordenar el índice. Este nombre de atributo es el que especificó al crear un índice para VLV en el servidor de directorios.

Si se devuelven usuarios y grupos, los resultados muestran los valores asignados a cada campo según el conjunto de atributos.

Configuración de la administración de usuarios para utilizar la vista de lista virtual (VLV) configure-user-management-to-use-virtual-list-view-vlv

La sincronización de directorios es un requisito importante para la administración de usuarios. AEM Los usuarios y grupos se sincronizan desde un directorio empresarial a la base de datos de formularios de la aplicación para asignar funciones y permisos. El número de usuarios varía de 100 a 100000 o más según los requisitos y plantea un desafío de ingeniería para sincronizar los datos de forma eficaz.

El protocolo LDAP proporciona un mecanismo para consultar conjuntos de datos grandes de forma paginada mediante controles de solicitud. Cuando se utiliza Microsoft AEM Active Directory, LDAP para la sincronización de la base de datos de formularios de la aplicación utiliza PagedResultsControl para recuperar datos en lotes de un tamaño concreto. Sun ONE Directory Server no admite este control. Para completar una consulta paginada con Sun ONE Directory Server, utilice el control Vista de lista virtual (VLV). Este control implica tanto la configuración del lado del servidor como la implementación del lado del cliente.

Configuración de Sun ONE Directory Server para VLV configuring-the-sun-one-directory-server-for-vlv

La creación de un VLV requiere un par de entradas que incluyan vlvSearch y vlvIndex clases de objeto. La entrada vlvSearch incluye una base de búsqueda y la variable vlvFilter attribute, que especifica la clase de objeto que contiene los atributos que desea ordenar. El vlvIndex la clase de objeto incluye vlvSort , que especifica uno o más atributos para ordenar y el orden en que ordenarlos. (Un signo menos (-) indica el orden alfabético inverso). AEM El uso de VLV con formularios requiere entradas independientes para usuarios y grupos.

Este es un ejemplo de script LDIF para la entrada VLV para usuarios:

 dn: cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 objectclass: top
 objectclass: vlvSearch
 cn: lcuser
 vlvBase: dc=corp,dc=adobe,dc=com
 vlvScope: 2
 vlvFilter: (&(objectclass=inetOrgPerson))
 aci: (target="ldap:///cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config")(targetattr="*")(version 3.0; acl "Config"
 ;allow(read,search,compare) userdn="ldap:///all"; )
 dn: cn=lcuser,cn=lcuser,cn=userRoot,cn=ldbm database,cn=plugins,cn=config
 cn: lcuser
 vlvSort: cn
 objectclass: top
 objectclass: vlvIndex

Creación de las entradas del objeto mediante una secuencia de comandos

Crear el índice del servidor de directorios para VLV create-the-directory-server-index-for-vlv

Después de configurar el directorio y crear las entradas LDAP VLV para usuarios y grupos, detenga el servidor y cree el índice requerido.