Orkestrering av Efecte Provisioning Engine

Efecte Provisioning Engine (EPE) ger möjlighet att orkestrera följande aktiviteter: Alla kopplingsaktiviteter

För Active Directory :

• Aktivera/avaktivera användare.
• Lägg till/ta bort en användare till/från en/eller flera grupper.
• Skapa grupp.
• Skapar en ny användare.
• Ta bort grupp.
• Ta bort användare.
• Hantera Pro xy-adresser.
• Ta bort användarattributet.
• Återställ användarlösenord.
• Lås upp användaren.
• Uppdatera gruppen.
• Uppdatera användarinformation.
• Uppdatera användarens värde för unikt namn.
• Verifiera gruppen.
• Verifiering av en användarförfrågan innan en ny användare skapas.
• Verifiera gruppmedlemskap.

Efecte Provisioning Engine använder LDAP-gränssnittet (Lightweight Directory Access Pro tocol) för Active Directory och även för OpenLDAP och IBM LDAP . De flesta av Active Directory aktiviteterna som nämns ovan är också tillgängliga för dessa LDAP-kataloger, beroende på vilken EPE-version som används.

För Microsoft Entra ( Azure Active Directory ):

• Aktivera/avaktivera användarkonto.
• Lägg till/ta bort en användare till/från en/eller flera grupper.
• Skapa grupp.
• Skapar en ny användare.
• Ta bort grupp.
• Ta bort användare.
• Återställ användarlösenord.
• Uppdatera gruppen.
• Uppdatera användarinformation.
• Verifiera gruppen.
• Verifiering av en användarförfrågan innan en ny användare skapas.
• Verifiera gruppmedlemskap.

Orkestreringsnoden har alltid två möjliga utfall: antingen är orkestreringen slutförd eller så har det uppstått ett undantag och orkestreringsåtgärden kunde inte utföras. Olika uppföljningsåtgärder kan definieras om det finns ett undantag, till exempel att en incident registreras eller ett meddelande till service desk om att slutföra åtgärden manuellt. Undantag kan också vara att det attribut som ska påverkas i det externa systemet inte finns eller att det externa systemet inte kan nås. För felsökning, vänligen titta i ITSM-loggar och EPE-loggar (master och workers).

För att ansluta Efecte Service Management-verktyget och Efecte Provisioning Engine måste flera inställningar konfigureras i plattformsinställningarna i administrationsgränssnittet.

Som standard hämtas egenskaperna som behövs för att ansluta till Efecte Provisioning Engine från consul. Det är därför du måste ställa in egenskapen consul.enabled till true. Då kan du se till att "provisioning.configuration.consul" också är aktiverat.

Efecte Provisioning Engine – Plattformsinställningar för konsul:

När Consul är aktiverat definieras alla nödvändiga konfigurationer för Efecte Provisioning Engine :

Efecte Provisioning Engine - manuell anslutningskonfiguration:

Orkestreringsaktiviteter för Active Directory

Aktivera/avaktivera användarkonto

Efecte Provisioning Engine AD orkestreringsnod för att aktivera/avaktivera användarkonto:

I skärmbilden ovan väljer administratörer rätt Active Directory "mål" och kan se identitetsmappningarna som är konfigurerade för valda AD uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa utföras i konfigurationsvyn för Pro . Inuti samma nod kan administratörer välja vilken åtgärd de föredrar att använda, "Aktivera" eller "Inaktivera".

Aktivera/avaktivera anteckningar för användarkonto:

•  Funktionen 'Aktivera/avaktivera' här avser att ställa in Active Directory -attributet 'useraccountcontrol' till värdet '512/514' (Aktivera/Avaktivera)
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Lägg till/ta bort en användare till/från en/eller flera grupper

Konfiguration av Efecte Provisioning Engine AD -orkestreringsnod för att ta bort användare från en eller flera grupper:

I skärmbilden ovan ska konfigurationen av personattributet peka på mallen där orkestreringsnoden hittar användarens data. Attributet roll måste konfigureras för att definiera var orkestreringsnoden hittar de tillgängliga rollerna ( AD grupper där användaren ska tas bort). Det kan finnas en eller flera attributgrupper konfigurerade i ett "rollattribut".

Listan över tillgängliga registrerade AD uppgifter hämtas från EPE-mastern. Det är nödvändigt att välja AD uppgiften, eftersom Efecte Provisioning Engine -orkestreringsnoden använder mappning av identitets- och åtkomsträttighetsfält för att veta under vilken attributkod, användarens och AD gruppens unika namn lagras. Därför krävs mappning för JSON-fältet distinguishedName, för både identitet och åtkomsträtt. Om mappningen inte hittas kommer orkestreringsnoden att resultera i ett "undantag"-tillstånd.

Lägg till/ta bort en användare till/från en/eller flera gruppers aktivitetsanteckningar:

• Resultatet för en nod kommer endast att ha tillståndet "Slutfört" om alla användares gruppmedlemskap har uppdaterats. Om användaren till exempel har tagits bort från 5 av 6 grupper kommer resultatet för en nod att ha tillståndet "Undantag".
• Försöket att ta bort en användare från en grupp som de inte tillhör kommer att misslyckas.
• Försöket att lägga till en användare i en grupp som hen redan tillhör kommer att misslyckas.
• Detaljer om lyckade/misslyckade uppdateringar av användarens gruppmedlemskap finns i loggarna.
• Från och med EPE-version 2020.2.0 behöver man inte konfigurera mallkoder för workflow.orchestration.personTemplateCode och workflow.orchestration.roleTemplateCode från systeminställningarna. Korrekta attribut kan väljas direkt från noden.
• Undantag Pro etablering och gruppmedlemskap är valfria egenskaper på den här arbetsflödesnoden. Administratörer kan konfigurera dessa egenskaper som används, där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Skapa en grupp

Efecte Provisioning Engine AD -orkestreringsnod för att skapa en ny grupp:

I skärmbilden ovan visas mappningarna för åtkomsträttigheter från Pro . Administratörer väljer rätt Active Directory "mål" och kan se mappningarna för åtkomsträttigheter som är konfigurerade för valda AD uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, dessa presenteras som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa utföras i konfigurationsvyn för Pro . Den nya orkestreringsnoden för användare som skapas läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory .

Det är viktigt att se till att Access Rights Mapping, som används i orkestreringsnoden Create Group, innehåller minst två ytterligare Active Directory mappningar: för attributen "cn" och "sAMAccountName". Utan dem kommer Pro Engine inte att beräkna korrekt DistinguishedName för den nyskapade gruppen och returnera med fel. Nya Distinguished Name för grupper skapas baserat på det angivna Common Name (CN) i arbetsflödet och bassökningen som tillhandahålls för "Target AD *". Därför rekommenderas det att ha LDAP-konfiguration med endast en sökbas definierad. Om det angivna Common Name redan finns i AD måste arbetsflödet inkludera logik för att skapa ett nytt unikt CN för den aktuella användaren.

I 2025.1-versionen och senare, med aktiviteten "Skapa grupp" i arbetsflödesredigeraren för orkestreringsnoden, kan du nu direkt ange den skapade enhetens ID till attributet (Skapat enhets-ID) utan att använda den separata aktiviteten "Läs gruppens data":

Skapa anteckningar om grupporkestreringsaktiviteter:

• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Skapa en ny användare

Efecte Provisioning Engine AD -orkestreringsnod för att skapa ny användare:

I skärmbilden ovan fylls identitetsattributmappningarna i från Pro . Administratörer väljer rätt Active Directory "mål" och kan se identitetsmappningarna som är konfigurerade för valda AD uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, dessa presenteras som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa utföras i konfigurationsvyn för provisioneringsuppgifter. Den nya orkestreringsnoden för användare som skapas läser attribut från aktuella datakort och kör LDAP-kommandot till Pro Active Directory .

Det är viktigt att se till att identitetsmappningen, som används i orkestreringsnoden Create User, innehåller minst två ytterligare Active Directory mappningar: för attributen "cn" och "sAMAccountName". Utan dem kommer Pro Engine inte att beräkna korrekt DistinguishedName för den nyskapade användaren och returnera med felmeddelandet. Obs: om dessa två mappningar saknas i en given konfiguration kommer den inte att visas i en rullgardinsmeny.

Nya unika namn för användare skapas baserat på det angivna Common Name (CN) i arbetsflödet och bassökningen som tillhandahålls för "Target AD *". Därför rekommenderas det att ha LDAP-konfiguration med endast en sökbas definierad. Om det angivna Common Name redan finns i AD :n måste arbetsflödet inkludera logik för att skapa ett nytt unikt CN för användaren i fråga.

I 2025.1-versionen och senare, med aktiviteten "Skapa användare" i arbetsflödesredigeraren för orkestreringsnoden, kan du nu direkt ange den skapade enhetens ID till attributet (Skapat enhets-ID) utan att använda den separata aktiviteten "Läs användares data":

Skapa nya aktivitetsanteckningar för användare:

• Det finns två sätt att skapa lösenordet för en ny användare för deras första inloggning.
  • Definiera "Standardlösenord" i konfigurationsvyn för Pro .
    • Det lösenordet kommer endast att användas av användare när de loggar in i systemet för första gången.
  • Genererar slumpmässigt lösenord i arbetsflödet och väljer till vilket attribut på identitetsmappningsdatakortet det skrevs till.
  • I båda fallen sätts förstagångslösenordet "pwdLastSet" till noll (0) för att tvinga en användare att ändra sitt lösenord efter den första inloggningen.
  • Från och med EPE version 2020.3 har vi implementerat möjligheten att välja om lösenordet måste ändras vid första inloggningen eller inte. Administratörer kan göra valet för detta direkt från arbetsflödets orkestreringsnod för användarskapande.
• Det finns olika sätt att tillhandahålla lösenord för den första inloggningen för slutanvändaren. Beroende på kundens behov är det möjligt att använda arbetsflödesfunktioner för att skicka lösenordet direkt till slutanvändaren via e-post eller sms. Ett annat alternativ är att skicka lösenordet för första inloggningen till chefen, som kommer att tillhandahålla det för slutanvändaren. EPE:s orkestreringsnod i sig tillhandahåller INTE den funktionen, den måste definieras någon annanstans.
• Konfigurationen av "Target" görs i konfigurationsvyn för provisioneringsuppgifter. För att skapa nya användare måste administratörer se till att det bara finns en LDAP-användarbas/LDAP-användarfilter för att undvika konflikter i arbetsflödet.
• Från och med EPE version 2019.4 har vi implementerat en funktion för att filtrera bort LDAP-konfigurationer med dubbletter av mappningar när aktiviteten Skapa eller Uppdatera användare används i arbetsflödet.
  • Med denna förbättring kan vi undvika fel från AD när användare skapas/uppdateras. Om det skulle finnas dubbletter av mappningar skulle AD inte veta vilket attribut som ska användas för att fylla i dess egenskaper.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.
• Från och med version 2025.1 kan du nu direkt ange den skapade enhetens ID som attribut för orkestreringsnoderna "Skapa användare" och "Skapa grupp", utan att använda den separata aktiviteten "Läs användares data".

Ta bort grupp

Efecte Provisioning Engine AD -orkestreringsnod för borttagningsgrupp:

I skärmbilden ovan kan administratörer välja rätt Active Directory "mål". Orkestreringsnoden för borttagning av grupp läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory .

Ta bort anteckningar om användaraktivitet:

• För Active Directory -baserade konfigurationer bör 'Role group attribute' innehålla gruppens distinguishedName-namn.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Ta bort användare

Efecte Provisioning Engine AD -orkestreringsnod för borttagning av användare:

I skärmbilden ovan kan administratörer välja rätt Active Directory "mål". Den borttagna användarorkestreringsnoden läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory .

Ta bort anteckningar om användaraktivitet:

• För Active Directory -baserade konfigurationer bör 'Person Attribute' innehålla användarens distinguishedName-namn.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Hantera Pro xy-adresser

Efecte Provisioning Engine -orkestreringsnod för hantering av proxyadresser:

I skärmbilden ovan kan administratörer välja rätt Active Directory "mål". Manage Pro xy-adresserar orkestreringsnoden läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory .

Det finns tre olika möjligheter: Ange , Uppdatera och Ta bort proxyadresser.

• Ange: administratören väljer ett attribut i ESM:s arbetsflödesgränssnitt (kan vara ett attribut med ett eller flera värden) - Sedan kontaktar arbetsflödesnoden AD , hittar användarkontot och ställer in värdet i proxyAddresses (denna åtgärd används för att ställa in värdet till proxyAddresses första gången - föregående värde i AD är null).
• Uppdatering: administratören väljer två attribut i ESM:s arbetsflödesgränssnitt - ett för AKTUELLT värde och det andra - det NYA värdet. Sedan kontaktar arbetsflödesnoden AD , hittar användarkontot och uppdaterar de befintliga proxyAddresserna, hittar det AKTUELLA värdet i listan och ändrar dess prefix från SMTP: till smtp: - och lägger till ett NYTT värde med prefixet SMTP: (de andra värdena finns kvar i proxyAddresses).
• Ta bort: administratören väljer ett attribut i ESM:s arbetsflödesgränssnitt (kan vara ett attribut med ett eller flera värden) - Sedan kontaktar arbetsflödesnoden AD , hittar användarkontot och tar bort värdet från listan proxyAddresses (de andra värdena finns kvar i proxyAddresses).

Anteckningar om aktiviteten Hantera Pro xyAddresses:

• Det är också möjligt att hantera proxyadresser med orkestreringsaktiviteten "Uppdatera användare",
  men med denna egen aktivitet kan vi hantera projektspecifika användningsfall, vilket tidigare krävde mer komplicerade arbetsflödeslösningar.
  • Pro är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under provisioneringsåtgärderna.

Ta bort användarattribut

Efecte Provisioning Engine AD orkestreringsnod för att ta bort användarattributet:

I skärmbilden ovan kan administratörer välja rätt Active Directory "mål". Orkestreringsnoden för att ta bort användarattribut läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory .

I egenskapen "Attribut(er) att ta bort" kan administratören definiera attributet som ska tas bort från Active Directory .

• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Återställ användarlösenord

Efecte Provisioning Engine AD -orkestreringsnod för återställning av användarlösenord:

I skärmbilden ovan kan administratörer välja rätt Active Directory "mål". Orkestreringsnoden Återställ användarlösenord läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory . Attributen Person och Lösenord ska peka på mallen där orkestreringsnoden hittar användarens data.

Anteckningar om aktiviteten Återställ användarlösenord:

• Användarlösenordsvärdet "pwdLastSet" är satt till noll (1), vilket innebär att en användare inte behöver ändra sitt lösenord vid den första inloggningen.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Lås upp användaren

Efecte Provisioning Engine AD -orkestreringsnod för att låsa upp användare:

I skärmbilden ovan kan administratörer välja rätt Active Directory "mål". Den upplåsta användarorkesteringsnoden läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory .

Lås upp användaraktivitetsanteckningar:

• Det är viktigt att ta hänsyn till i konfigurationerna att 'Personattribut' ska innehålla användarens distinguishedName-namn.
  • Pro är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under provisioneringsåtgärderna.

Uppdatera en grupp

Efecte Provisioning Engine AD -orkestreringsnod för uppdateringsgrupp:

I skärmbilden ovan visas mappningarna för åtkomsträttigheter från Pro . Administratörer väljer rätt Active Directory "mål" och kan se mappningarna för åtkomsträttigheter som är konfigurerade för valda AD uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa utföras i konfigurationsvyn för Pro . Orkestreringsnoden för uppdateringsgruppen läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory .

Uppdatering av anteckningar om gruppaktiviteter:

• Konfigurationen av "Mål" görs i konfigurationsvyn för provisioneringsuppgifter. För att uppdatera grupper måste administratörer se till att det bara finns en LDAP-gruppbas / LDAP-gruppfilter för att undvika konflikter i arbetsflödet.

Uppdatera användarinformation

Efecte Provisioning Engine AD -orkestreringsnod för uppdatering av användarinformation:

I skärmbilden ovan fylls identitetsattributmappningarna i från Pro . Administratörer väljer rätt Active Directory "mål" och kan se identitetsmappningarna som är konfigurerade för valda AD uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa behov utföras i konfigurationsvyn för Pro . Uppdatera användarens orkestreringsnod läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory .

Uppdatering av användaraktivitetsanteckningar:

• Uppdatering av användarlösenord stöds inte för den här orkestreringsaktiviteten.
• Konfigurationen av "Target" görs i konfigurationsvyn för provisioneringsuppgifter. För att uppdatera användare måste administratörer se till att det bara finns en LDAP-användarbas/LDAP-användarfilter för att undvika konflikter i arbetsflödet.
• Från och med EPE version 2019.4 har vi implementerat en funktion för att filtrera bort LDAP-konfigurationer med dubbletter av mappningar när aktiviteten Skapa eller Uppdatera användare används i arbetsflödet.
  • Med denna förbättring kan vi undvika fel från AD när användare skapas/uppdateras. Om det skulle finnas dubbletter av mappningar skulle AD inte veta vilket attribut som ska användas för att fylla i dess egenskaper.
• EPE version 2020.2.0 tillhandahåller en ny orkestreringsaktivitet för "Hantera Pro xy-adresser" för att förtydliga åtgärderna. Det är fortfarande möjligt att använda den här aktiviteten för den här funktionen. Se mer information i beskrivningen av aktiviteten "Hantera Pro xy-adresser" i det här dokumentet.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Uppdatera värde för användarsärskilt namn

Efecte Provisioning Engine AD -orkestreringsnod för uppdatering av användare Distinguished Name-värde:

I skärmbilden ovan kan administratörer välja rätt Active Directory "mål". Orkestreringsnoden Update user Distinguished Name Value läser attribut från aktuella datakort och kör LDAP-kommandot till Active Directory .

I fältet ”Aktuellt värde för unikt namn*” måste administratören välja från vilket attribut på given mall/datakort det "gamla" namnet på AD -platsen ska läsas. Fältet ”Nytt värde för unikt namn*” väljer attribut från given mall/datakort, vilket ska användas som namn på den nya AD -platsen.

Uppdatera anteckningar om användarens värdeenhet för unikt namn:

• Med den här aktiviteten kan administratörer till exempel begränsa uppdateringsåtgärden till attributet 'commonname', men det krävs att hela Distinguished-värdet anges, till exempel:
  Nuvarande värde för unikt namn: CN=DemoAccount,OU=DemoUsers,DC=testad,DC=local
  Nytt värde för unikt namn: CN= DemoAccount,OU=OldDemoUsers,DC=testad,DC=local
• Från och med EPE version 2020.2.0 har namnet på denna orkestreringsaktivitet ändrats från "Namn på aktuell organisationsenhet" till "Uppdatera användarens unika namnvärde".
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Verifiera en grupp

Efecte Provisioning Engine AD -orkestreringsnod för verifiering av en gruppförfrågan innan en ny grupp skapas:

I skärmbilden ovan visas mappningarna för åtkomsträttigheter från Pro . Administratörer väljer rätt Active Directory från "Target" och kan se vilka mappningar för åtkomsträttigheter som är konfigurerade för den valda AD uppgiften. I den här orkestreringsvyn får du inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om det finns behov av att ändra attributmappningarna måste dessa attribut definieras i konfigurationsvyn för provisioneringsuppgifterna för att de ska kunna ändras i orkestreringsnoden.

Inom administratörspanelen för Access Rights Mappings kan administratörer ange ett "OM"-uttryck, vilket skapar en LDAP-fråga för att verifiera om gruppen finns. Det är möjligt att välja så många attribut från datakortet som behövs för att bekräfta en grupps unikhet. När en åtgärd utförs kommer dessa attribut att läsas från det aktuella datakortet och jämföras med lämpliga AD attribut enligt Active Directory konfigurationen "Mål*". Administratörer kan också välja att använda "lika med" eller "inte lika med" för motsvarande AD attribut genom att ändra uttrycket "OM". Fältet "Spara resultat*" används för att definiera var de lyckade LDAP-frågeresultaten sparas, "sant" om gruppen hittades eller "falskt" annars.

Administratörer har möjlighet att "kontrollera" egenskapen Include OU subtree på denna orkestreringsnod för att verifiera om gruppen finns i det definierade organisationsenhetens underträd. Om administratören inte väljer det här alternativet kommer orkestreringsnoden endast att kontrollera den specifika OU som definierats i konfigurationen.

Verifiera anteckningar om gruppaktivitet:

• Verifiera gruppaktivitet – kontrollerar om alla konfigurerade objekt för OM-uttryck redan fanns i mappningar av åtkomsträttigheter.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Verifiering av en användarförfrågan innan en ny användare skapas

Efecte Provisioning Engine AD -orkestreringsnod för verifiering av en användarförfrågan innan en ny användare skapas:

I skärmbilden ovan visas mappningarna för identitetsattribut från Pro . Administratörer väljer rätt Active Directory från "Target" och kan se vilka identitetsmappningar som är konfigurerade för den valda AD uppgiften. I den här orkestreringsvyn får du inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om det finns behov av att ändra attributmappningarna måste dessa attribut definieras i konfigurationsvyn för provisioneringsuppgifterna för att de ska kunna ändras i orkestreringsnoden.

Inom administratörspanelen för identitetsmappningar kan administratörer ange uttrycket "OM", vilket skapar en LDAP-fråga för att verifiera om användaren existerar. Det är möjligt att välja så många attribut från persondatakortet som behövs för att bekräfta en användares unikhet. När en åtgärd utförs kommer dessa attribut att läsas från det aktuella datakortet och jämföras med lämpliga AD attribut enligt Active Directory konfigurationen "Mål*". Administratörer kan också välja att använda "lika med" eller "inte lika med" för motsvarande AD attribut genom att ändra uttrycket "OM". Fältet "Spara resultat*" används för att definiera var de lyckade LDAP-frågeresultaten sparas, "sant" om användaren hittades eller "falskt" annars.

Administratörer har möjlighet att "kontrollera" egenskapen Include OU subtree på denna orkestreringsnod för att verifiera om användaren finns i det definierade organisationsenhetens underträd. Om administratören inte väljer det här alternativet kommer orkestreringsnoden endast att kontrollera den specifika OU som definierats i konfigurationen.

Verifiera anteckningar om användaraktivitet:

• Verifiera användaraktivitet – kontrollerar om alla konfigurerade objekt för IF-uttryck redan fanns i identitetsmappningar.
• Från och med EPE version 2021.1 är det nu möjligt att använda flera användarsökbaser när man verifierar användarorkestreringsaktivitet.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Till exempel, om administratören konfigurerade identitetsmappning så här:

och i Orchestration-noden väljer IF-uttryck som:

Sedan, när Workflow körs, läser det personens titel och fullständiga namn (låt oss anta att de var 'Test' och 'Jag'),
och frågar Active Directory om användarens existens med följande fråga:

(&(name='Test')(cn='Me'))

En viktig punkt för att förstå den här nodens mekanik är att administratören måste använda mallens attribut när de skapar IF-uttryck, men i själva verket kommer värden som läses från dem att översättas (mappas) till rätt Active Directory attribut, enligt identitetsmappningskonfigurationen och skickas till Active Directory som en sökfråga.

Verifiera gruppmedlemskap

Efecte Provisioning Engine AD -orkestreringsnod för att verifiera gruppmedlemskap:

I skärmbilden ovan visas mappningarna för identitetsattribut från Pro . Administratörer väljer rätt Active Directory från "Target" och kan se vilka identitetsmappningar som är konfigurerade för den valda AD uppgiften. I den här orkestreringsvyn får du inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om det finns behov av att ändra attributmappningarna måste dessa attribut definieras i konfigurationsvyn för provisioneringsuppgifterna för att de ska kunna ändras i orkestreringsnoden.

Inom administratörspanelen för identitetsmappningar kan administratörer ange ett "OM"-uttryck, vilket skapar en LDAP-fråga för att verifiera om gruppen finns. Det är möjligt att välja så många attribut från datakortet som behövs för att bekräfta en grupps unikhet. När en åtgärd utförs kommer dessa attribut att läsas från det aktuella datakortet och jämföras med lämpliga AD attribut enligt Active Directory konfigurationen "Mål*". Administratörer kan också välja att använda "lika med" eller "inte lika med" för motsvarande AD attribut genom att ändra uttrycket "OM". Fältet "Spara resultat*" används för att definiera var de lyckade LDAP-frågeresultaten sparas, "sant" om användaren hittades eller "falskt" annars.

Verifiera anteckningar om aktiviteten för gruppmedlemskap:

• Beroende på valt rollattribut kan du välja mellan ett enda strängvärde eller flera strängvärden.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Orkestreringsaktiviteter för Azure AD

Aktivera/avaktivera användarkonto

Efecte Provisioning Engine -orkestreringsnod för att aktivera/inaktivera användarkonto i Azure AD :

I skärmbilden ovan väljer administratörer rätt Azure AD "mål" och kan se identitetsmappningarna som är konfigurerade för den valda Azure AD uppgiften. I den här orkestreringsvyn får administratörer inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa utföras i konfigurationsvyn för Pro . Inuti samma nod kan administratörer välja vilken åtgärd de föredrar att använda, "Aktivera" eller "Inaktivera".

Aktivera/avaktivera användarkonto i Azure AD anteckningar:

• Funktionen 'Aktivera/Inaktivera' här avser att ställa in 'accountEnabled' som sant om kontot är aktiverat; annars falskt .
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Lägg till/ta bort en användare till/från en/eller flera grupper

Konfiguration av orkestreringsnod Efecte Provisioning Engine för att ta bort användare från en eller flera grupper:

I skärmbilden ovan ska konfigurationen av personattributet peka på mallen där orkestreringsnoden hittar användarens data. Attributet roll måste konfigureras för att definiera var orkestreringsnoden hittar de tillgängliga rollerna ( Azure AD grupper där användaren ska tas bort). Det kan finnas en eller flera attributgrupper konfigurerade i ett "rollattribut".

Lägg till/ta bort en användare till/från en/eller flera gruppers aktivitetsanteckningar:

• Resultatet för en nod kommer endast att ha tillståndet "Slutfört" om alla användares gruppmedlemskap har uppdaterats. Om användaren till exempel har tagits bort från 5 av 6 grupper kommer resultatet för en nod att ha tillståndet "Undantag".
• Försöket att ta bort en användare från en grupp som de inte tillhör kommer att misslyckas.
• Försöket att lägga till en användare i en grupp som hen redan tillhör kommer att misslyckas.
• Detaljer om lyckade/misslyckade uppdateringar av användarens gruppmedlemskap finns i loggarna.
• Undantag Pro etablering och gruppmedlemskap är valfria egenskaper på den här arbetsflödesnoden. Administratörer kan konfigurera dessa egenskaper som används, där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Skapa grupp

Efecte Provisioning Engine -orkestreringsnod för att skapa en ny grupp till Azure AD :

I skärmbilden ovan visas mappningarna för åtkomsträttigheter från Pro . Administratörer väljer rätt Azure Active Directory "mål" och kan se mappningarna för åtkomsträttigheter som är konfigurerade för valda Azure AD uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, dessa presenteras som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa behov utföras i konfigurationsvyn för Pro .

Det är viktigt att se till att mappningen av åtkomsträttigheter, som används i orkestreringsnoden Create Group, innehåller minst fyra ytterligare Azure AD mappningar: för attributen "displayName", "mailEnabled", "mailNickname" och "securityEnabled".

Skapa anteckningar om grupporkestreringsaktiviteter:

• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.
• Från och med version 2025.1 kan du nu direkt ange den skapade enhetens ID som attribut för orkestreringsnoderna "Skapa användare" och "Skapa grupp", utan att använda den separata aktiviteten "Läs användares data".

Skapa en ny användare

Efecte Provisioning Engine -orkestreringsnod för att skapa en ny användare till Azure AD :

I skärmbilden ovan fylls identitetsattributmappningarna i från Pro . Administratörer väljer rätt Azure AD "mål" och kan se identitetsmappningarna som är konfigurerade för valda uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, dessa presenteras som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa behov utföras i konfigurationsvyn för Pro . Den nya användarorkestreringsnoden som skapas läser attribut från aktuella datakort och utför API anrop till Azure .

Det är viktigt att se till att identitetsmappningen, som används i orkestreringsnoden Create User, innehåller minst tre ytterligare Azure AD mappningar: för attributen "displayName", mailNickname och "userPrincipalName". Obs! Om dessa två mappningar saknas i en given konfiguration kommer den inte att visas i en rullgardinsmeny.

Skapa nya aktivitetsanteckningar för användare:

• Det finns två sätt att skapa lösenordet för en ny användare för deras första inloggning.
  • Definiera "Standardlösenord" i konfigurationsvyn för Pro .
    • Det lösenordet kommer endast att användas av användare när de loggar in i systemet för första gången.
  • Genererar slumpmässigt lösenord i arbetsflödet och väljer till vilket attribut på identitetsmappningsdatakortet det skrevs till.
  • I båda fallen sätts förstagångslösenordet "pwdLastSet" till noll (0) för att tvinga en användare att ändra sitt lösenord efter den första inloggningen.
  • Från och med EPE version 2020.3 har vi implementerat möjligheten att välja om lösenordet måste ändras vid första inloggningen eller inte. Administratörer kan göra valet för detta direkt från arbetsflödets orkestreringsnod för användarskapande.
• Det finns olika sätt att tillhandahålla lösenord för den första inloggningen för slutanvändaren. Beroende på kundens behov är det möjligt att använda arbetsflödesfunktioner för att skicka lösenordet direkt till slutanvändaren via e-post eller sms. Ett annat alternativ är att skicka lösenordet för första inloggningen till chefen, som kommer att tillhandahålla det för slutanvändaren. EPE:s orkestreringsnod i sig tillhandahåller INTE den funktionen, den måste definieras någon annanstans.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.
• Från och med version 2025.1 kan du nu direkt ange den skapade enhetens ID som attribut för orkestreringsnoderna "Skapa användare" och "Skapa grupp", utan att använda den separata aktiviteten "Läs användares data".

Ta bort grupp

Efecte Provisioning Engine -orkestreringsnod för borttagningsgrupp:

I skärmbilden ovan kan administratörer välja rätt Azure Active Directory "mål". Orkestreringsnoden för borttagning av grupp läser attribut från aktuella datakort och kör API anrop till Azure .

Ta bort anteckningar om gruppaktivitet:

• För Azure Active Directory -baserade konfigurationer bör 'Rollgruppsattribut' innehålla gruppens unika ID.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Ta bort användare

Efecte Provisioning Engine -orkestreringsnod för att ta bort användare till Azure AD :

I skärmbilden ovan fylls identitetsattributmappningarna i från Pro . Administratörer väljer rätt Azure AD "mål" och kan se identitetsmappningarna som är konfigurerade för valda Azure AD uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, dessa presenteras som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa behov utföras i konfigurationsvyn för Pro . Ta bort användarorkestreringsnoden, läs attribut från aktuella datakort och kör API anrop till Azure .

Ta bort anteckningar om användaraktivitet:

• För Azure -baserade ändamål bör den innehålla användarens UPN (User Principal Name).
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Återställ användarlösenord

Efecte Provisioning Engine -orkestreringsnod för återställning av användarlösenord:

I skärmbilden ovan väljer administratörer rätt Azure AD "mål" för att välja de identitetsmappningar som är konfigurerade för den valda AD uppgiften. I den här orkestreringsvyn får administratörer inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa behov utföras i konfigurationsvyn för Pro . Attributen Person och Lösenord ska peka på mallen där orkestreringsnoden hittar användarens data.

Anteckningar om aktiviteten Återställ användarlösenord:

• Användarlösenordsvärdet "pwdLastSet" är satt till noll (1), vilket innebär att en användare inte behöver ändra sitt lösenord vid den första inloggningen.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Uppdatera grupp

Efecte Provisioning Engine -orkestreringsnod för uppdateringsgrupp:

I skärmbilden ovan fylls attributmappningarna för åtkomsträttigheter i från Pro . Administratörer väljer rätt Azure Active Directory "mål" och kan se mappningarna för åtkomsträttigheter som är konfigurerade för valda Azure AD uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa utföras i konfigurationsvyn för Pro . Orkestreringsnoden för uppdateringsgruppen läser attribut från aktuella datakort och kör API anrop till Azure .

Uppdatering av anteckningar om gruppaktiviteter:

• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Uppdatera användarinformation

Efecte Provisioning Engine -orkestreringsnod för uppdatering av användarinformation:

I skärmbilden ovan fylls identitetsattributmappningarna i från Pro . Administratörer väljer rätt Azure AD "mål" och kan se identitetsmappningarna som är konfigurerade för valda AD uppgifter. I den här orkestreringsvyn får administratörer inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om några ändringar av mappningarna behövs måste dessa behov utföras i konfigurationsvyn för Pro . Uppdateringsnoden för användarens orkestrering läser attribut från aktuella datakort och utför API anrop till Azure AD .

Uppdatering av användaraktivitetsanteckningar:

• Uppdatering av användarlösenord stöds inte för den här orkestreringsaktiviteten.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Verifiera grupp

Efecte Provisioning Engine -orkestreringsnod för verifiering av en gruppförfrågan innan en ny grupp skapas:

I skärmbilden ovan visas mappningarna för åtkomsträttigheter från Pro . Administratörer väljer rätt Azure Active Directory från "Target" och kan se vilka mappningar för åtkomsträttigheter som är konfigurerade för den valda Azure AD uppgiften. I den här orkestreringsvyn får du inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om det finns behov av att ändra attributmappningarna måste dessa attribut definieras i konfigurationsvyn för provisioneringsuppgiften för att de ska kunna ändras i orkestreringsnoden.

I administratörspanelen för Access Rights Mappings kan administratörer ange ett "OM"-uttryck, vilket skapar en fråga för att verifiera om gruppen finns. Det är möjligt att välja så många attribut från datakortet som behövs för att bekräfta en grupps unikhet. När en åtgärd utförs kommer dessa attribut att läsas från det aktuella datakortet och jämföras med lämpliga Azure AD attribut enligt Azure Active Directory konfigurationen "Mål*". Administratörer kan också välja att använda "lika med" eller "inte lika med" för motsvarande Azure AD attribut genom att ändra uttrycket "OM". Fältet "Spara resultat*" används för att definiera var de lyckade frågeresultaten sparas, "sant" om gruppen hittades eller "falskt" annars.
Verifiera anteckningar om gruppaktivitet:

• Verifiera gruppaktivitet – kontrollerar om alla konfigurerade objekt för OM-uttryck redan fanns i mappningar av åtkomsträttigheter.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Verifiering av en användarförfrågan innan en ny användare skapas

Efecte Provisioning Engine -orkestreringsnod för verifiering av en användarförfrågan innan en ny användare skapas:

I skärmbilden ovan visas mappningarna för identitetsattribut från Pro . Administratörer väljer rätt Azure från "Target" och kan se vilka identitetsmappningar som är konfigurerade för den valda uppgiften. I den här orkestreringsvyn får du inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om det finns behov av att ändra attributmappningarna måste dessa attribut definieras i konfigurationsvyn för provisioneringsuppgifterna för att de ska kunna ändras i orkestreringsnoden.

I administratörspanelen för identitetsmappningar kan administratörer ange uttrycket "OM", vilket skapar API anrop för att verifiera om användaren finns. Det är möjligt att välja så många attribut från persondatakortet som behövs för att bekräfta en användares unikhet. När en åtgärd utförs kommer dessa attribut att läsas från det aktuella datakortet och jämföras med lämpliga Azure AD attribut enligt Active Directory konfigurationen "Mål*". Administratörer kan också välja att använda "lika med" eller "inte lika med" för motsvarande Azure AD attribut genom att ändra uttrycket "OM". Fältet "Spara resultat*" används för att definiera var de lyckade API anropsresultaten sparas, "sant" om användaren hittades eller "falskt" annars.

Verifiera anteckningar om användaraktivitet:

• Verifiera användaraktivitet – kontrollerar om alla konfigurerade objekt för IF-uttryck redan fanns i identitetsmappningar.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.

Verifiera gruppmedlemskap

Efecte Provisioning Engine AD -orkestreringsnod för att verifiera gruppmedlemskap:

I skärmbilden ovan visas mappningarna för identitetsattribut från Pro . Administratörer väljer rätt Active Directory från "Target" och kan se vilka identitetsmappningar som är konfigurerade för den valda AD uppgiften. I den här orkestreringsvyn får du inte ändra några mappningar, de presenteras endast som ett visuellt hjälpmedel. Om det finns behov av att ändra attributmappningarna måste dessa attribut definieras i konfigurationsvyn för provisioneringsuppgifterna för att de ska kunna ändras i orkestreringsnoden.

Inom administratörspanelen för identitetsmappningar kan administratörer ange uttrycket "OM", vilket skapar en LDAP-fråga för att verifiera om användaren existerar. Det är möjligt att välja så många attribut från persondatakortet som behövs för att bekräfta en användares unikhet. När en åtgärd utförs kommer dessa attribut att läsas från det aktuella datakortet och jämföras med lämpliga AD attribut enligt Active Directory konfigurationen "Mål*". Administratörer kan också välja att använda "lika med" eller "inte lika med" för motsvarande AD attribut genom att ändra uttrycket "OM". Fältet "Spara resultat*" används för att definiera var de lyckade LDAP-frågeresultaten sparas, "sant" om användaren hittades eller "falskt" annars.

Verifiera anteckningar om aktiviteten för gruppmedlemskap:

• Beroende på valt rollattribut kan du välja mellan ett enda strängvärde eller flera strängvärden.
• Undantag Pro etablering är en valfri egenskap på den här arbetsflödesnoden. Administratörer kan konfigurera den här egenskapen där undantag kan skrivas om några undantag finns under etableringsåtgärderna.