LDAP-Anwendung mittels Onboarding integrieren

Benutzer aus Verify in den On-Premises- LDAP -Adapter übertragen.

Vorbereitende Schritte

Konfigurieren Sie den Identitätsagenten für die Authentifizierung in Verify. Siehe Konfiguration mithilfe der Verify-Benutzerschnittstelle.
Stellen Sie die IBM® Verify Komponente „Identity Brokerage On-Premises“ bereit und konfigurieren Sie sie.

Vorgehensweise

VerifyMelden Sie sich als Administrator bei an.
Wählen Sie „Anwendungen“ > „Anwendungen“ und klicken Sie auf „Anwendung hinzufügen“.
Suchen Sie im Popup-Fenster nach dem Anwendungstyp „ LDAP “ und klicken Sie auf „Anwendung hinzufügen“.
Wählen Sie auf der Seite „Anwendungen hinzufügen “ die Registerkarte „Allgemein“ aus und geben Sie die erforderlichen Angaben ein.
Wählen Sie die Registerkarte „Kundenlebenszyklus“ aus.

Geben Sie die Richtlinien für die Bereitstellung und die Zurücknahme der Bereitstellung an.


Parameter	Beschreibung
Accounts bereitstellen	Die Funktion „Konten anlegen“ ist standardmäßig deaktiviert, was bedeutet, dass die Kontoerstellung außerhalb von IBM Verify. erfolgt. Wählen Sie die Option Aktiviert aus, um einen Account automatisch bereitzustellen, wenn das Nutzungsrecht einem Benutzer zugeordnet wird. IBM VerifyFür das mit […] erstellte Konto stehen Funktionen zur Passwortgenerierung und E-Mail-Benachrichtigung zur Verfügung.
Bereitstellung von Accounts zurücknehmen	Die Deaktivierung von Konten ist standardmäßig deaktiviert, was bedeutet, dass das Löschen von Konten außerhalb von IBM Verify. erfolgt. Wählen Sie die Option Aktiviert aus, um die Bereitstellung eines Accounts automatisch zurückzunehmen, wenn das Nutzungsrecht für einen Benutzer entfernt wird.
Accountkennwort	Cloud Directory-Kennwort des Benutzers synchronisieren Diese Option ist verfügbar, wenn der Kennwortabgleich in Cloud Directory aktiviert ist. Sie verwendet das Cloud Directory-Kennwort, wenn ein regulärer Benutzer für die Anwendung bereitgestellt wird. Föderierte Benutzer empfangen ein generiertes Kennwort, wenn sie für die Anwendung bereitgestellt werden. Kennwort generieren Mit dieser Option wird für den bereitgestellten Account ein automatisch generiertes Kennwort generiert. Das Kennwort basiert auf der Cloud Directory-Kennwortrichtlinie. Ohne Bei dieser Option wird der Account ohne ein Kennwort bereitgestellt.
E-Mail-Benachrichtigung senden	Diese Option ist verfügbar, wenn Sie die Option Kennwort generieren auswählen. Wenn die Option E-Mail-Benachrichtigung senden ausgewählt wird, wird eine E-Mail-Benachrichtigung mit dem automatisch generierten Kennwort an Ihre E-Mail-Adresse gesendet, nachdem der Account erfolgreich bereitgestellt wurde.
Karenzzeit (Tage)	Legen Sie die Karenzzeit in Tagen fest, für die ein Account, dessen Bereitstellung zurückgenommen wurde, als 'ausgesetzt' aufbewahrt wird, bevor er permanent gelöscht wird.
Aktion zum Zurücknehmen der Bereitstellung	Löschen Sie das Konto. Dieses Feld ist nur verfügbar, wenn das Feld 'Bereitstellung von Accounts zurücknehmen' aktiviert ist.

Wählen Sie im Abschnitt „Allgemein“ im Dropdown-Menü die Option „Anwendungsprofil“ aus. Falls das Profil nicht vorhanden ist, müssen Sie eines anlegen. Weitere Informationen finden Sie unter „Verwalten von Anwendungsprofilen für Identitätsadapter “.

Geben Sie die API-Authentifizierungsdetails an.


Parameter	Beschreibung
Tivoli Directory Integrator-Position	URL für die IBM Security Directory Integrator-Instanz. Beispiel: rmi://<IP-Adresse>:<Port>/ITDIDispatcher. Dabei ist 'IP-Adresse' der IBM Security Directory Integrator-Host und 'Port' die Portnummer für den RMI-Dispatcher.
URL	URL des Verzeichnisservers. Beispiel: ldap://<LDAP-Host>:<Port>. Dabei ist 'LDAP-Host' der Verzeichnisserver-Host und 'Port' die Portnummer für den Verzeichnisserver.
Administratorname	Der Benutzername des Administrators.
Name des Verzeichnisservers	Wählen Sie für IBM die erste Option, IBM Directory Server, aus der Dropdown-Liste aus. Wählen Sie für Oracle die zweite Option, Oracle Directory Server, aus der Dropdown-Liste aus. Wählen Sie für jedes andere Ziel eine andere Option aus der Dropdown-Liste aus.
Benutzer-Basis-DN	Der DN des Containers, in dem die Benutzer gespeichert werden. Beispiel: cn=users,dc=com.
Benutzer-RDN	Das RDN-Attribut (RDN = Relativer Definierter Name) für die LDAP-Einträge der Benutzer. Beispiel: UID oder CN.
Gruppen-Basis-DN	Der DN des Containers, in dem die Gruppen gespeichert werden. Beispiel: cn=groups,dc=com.
Gruppen-RDN	Das RDN-Attribut (RDN = Relativer Definierter Name) für die LDAP-Einträge der Gruppen. Beispiel: UID oder CN.
Anfangsgruppenmitglied	Der DN eines Benutzers, der ein Gruppenmitglied sein kann, wenn eine Operation zum Hinzufügen der Gruppe ausgeführt wird.
Kennwort	Das Kennwort des Administrators.
Identitätsagent	Wählen Sie mithilfe des erkannten Anwendungsprofils einen Identitätsagenten des Typs 'Bereitstellung' aus der Dropdown-Liste aus.
Beschreibung	Optionales Feld. Fügen Sie bei Bedarf die Beschreibung hinzu.
SSL-Kommunikation mit LDAP verwenden	Wählen Sie das Kontrollkästchen aus, wenn SSL für die Kommunikation mit LDAP verwendet wird.
Kennwortrichtlinie auf Verzeichnisserver aktiviert?	Wählen Sie das Kontrollkästchen aus, wenn die Kennwortrichtlinie auf dem Verzeichnisserver aktiviert ist.
LDAP-Seitengröße	Geben Sie die LDAP-Seitengröße an.
Name der Gruppenobjektklasse	Geben Sie den Namen der Gruppenobjektklasse an, unter dem die Gruppe auf der verwalteten Ressource hinzugefügt wird.
Gruppenzugehörigkeitsattribut	Geben Sie das Attribut der Gruppenobjektklasse auf der verwalteten Ressource an, das die Benutzer auflistet, die Mitglied der Gruppe sind.

Klicken Sie auf „Verbindung testen“, um die Verbindung zum lokalen „ LDAP “-Adapter zu prüfen. Die Verbindung muss erfolgreich sein, damit Accounts in der LDAP-Anwendung bereitgestellt oder abgeglichen werden können.
Ordnen Sie die Attribute der Ziel- LDAP en nach Bedarf den Verify entsprechenden Attributen zu. Wählen Sie das Kontrollkästchen Immer aktualisieren für die Attribute aus, die im Ziel aktualisiert werden müssen.
Wählen Sie die Registerkarte „Kontosynchronisierung“ aus.
Fügen Sie im Abschnitt „Adoptionsrichtlinie“ ein oder mehrere Attributpaare hinzu, die übereinstimmen müssen, damit der Kontosynchronisierungsprozess die Konten von „ LDAP “ ihren jeweiligen Kontoinhabern bei Verify zuordnet.
Wählen Sie im Abschnitt „Korrekturmaßnahmen“ eine Richtlinie aus, um nicht konforme Konten automatisch zu korrigieren.
Klicken Sie auf „Speichern “.
Nachdem die Anwendung gespeichert wurde, legen Sie die Berechtigungsrichtlinie auf der Registerkarte „Berechtigungen“ fest.
Hinweis:
Der Fehlerschwellenwert für den Abgleich wird standardmäßig auf 15 % gesetzt. Damit wird sichergestellt, dass das Accountsynchronisationsergebnis gelöscht und die Operation angehalten wird, wenn zwischen aufeinanderfolgenden Accountsynchronisationen mehr als 15 % gelöschter Accounts gefunden werden.

Ist ein höherer Prozentsatz gelöschter Datensätze vorhanden (normalerweise mit einem geringeren Datenvolumen - das geringere Datenvolumen trägt zu einer höheren prozentualen Abweichung bei), passen Sie den Wert entsprechend an. Wird der Fehlerschwellenwert auf 100 % gesetzt, wird die prozentuale Abweichung ignoriert und die Accountsynchronisationsoperation wird abgeschlossen.

Sie können den Fehlerschwellenwert ändern, indem Sie die Umgebungsvariable RECONCILIATION_FAILURETHRESHOLD_VALUE:"100” (der Wert kann zwischen 0 und 100 liegen) im Abschnitt "identity-brokerage environments" in der yml-Datei "docker-compose" hinzufügen. Starten Sie anschließend den Container erneut, wenn er bereits ausgeführt wird.

Beispiel:
```
identity-brokerage:
image: ibmcom/identity-brokerage
container_name: identity-brokerage
depends_on:
- ib-init
- ibdb
environment:
LICENSE_ACCEPT: "yes"
HOSTNAME: "identity-brokerage"
DB_SERVICE_NAME: "ibdb"
TRACE: "enabled"
SCIM_USER: "<>"
SCIM_USER_PASSWORD: "<>"
RECONCILIATION_FAILURETHRESHOLD_VALUE: "75"
```