# 管理身份源 OneAccess具有同步身份数据的功能，数据传递的关系模型可以理解为"上游 - 中游 -下游"。其中，上游是企业管理的核心身份源，中游是OneAccess平台，下游是需要和上游保持同步的应用系统。通过该模型，OneAccess可将上游的身份数据实时同步到下游应用系统，确保人员的入离调转行为可以准确的传递到各个应用系统，实现用户的全生命周期管理，确保身份数据同步的准确和安全。 身份源相当于企业的核心身份管理系统，包含企业用户的详细信息。OneAccess提供了标准的上游身份源，例如企业微信、钉钉、AD和LDAP，通过简单的连接配置，即可实现将这些身份源的组织、用户数据同步到OneAccess中。身份源同步可用于以下场景： - 唯一身份源 当企业配置唯一身份源后，可通过该身份源的管理系统维护企业的身份数据。 - 多个独立身份源 当企业配置的身份源相互独立，且身份数据之间没有交集时，可分别通过身份源的管理系统维护对应的企业身份数据。例如，总公司的下属子公司A、子公司B，分别拥有独立的的身份管理系统，可对应OneAccess中的不同机构，通过各自独立的身份管理系统维护对应的身份数据。 - 多个相关身份源 当企业配置的身份源存在关联时，即身份数据之间有交集，为避免同步时，可能出现的数据覆盖问题，建议身份数据的创建、更新通过唯一的源头控制。 OneAccess支持企业以多种身份源同步用户和组织信息，不同的身份源配置信息略有差异。具体可参考： - 添加钉钉身份源请参考：[集成钉钉身份源](https://support.huaweicloud.com/bestpractice-oneaccess/oneaccess_05_0011.html)。 - 添加企业微信身份源请参考：[集成企业微信身份源](https://support.huaweicloud.com/bestpractice-oneaccess/oneaccess_05_0012.html)。 - 添加AD身份源请参考：[集成AD身份源](https://support.huaweicloud.com/bestpractice-oneaccess/oneaccess_05_0013.html)。 - 添加LDAP身份源请参考：[集成LDAP身份源](https://support.huaweicloud.com/bestpractice-oneaccess/oneaccess_05_0014.html)。 - 添加飞书身份源请参考：[集成飞书身份源](https://support.huaweicloud.com/bestpractice-oneaccess/oneaccess_05_0015.html)。 - 添加薪人薪事身份源请参考：[集成薪人薪事身份源](https://support.huaweicloud.com/bestpractice-oneaccess/oneaccess_05_0016.html)。 - 添加泛微OA_E9身份源请参考：[集成泛微OA_E9身份源](https://support.huaweicloud.com/bestpractice-oneaccess/oneaccess_05_0097.html)。 本章以AD身份源为例介绍添加身份源的操作步骤。 #### 操作步骤 1. 在OneAccess中创建身份源。 1. 登录OneAccess管理门户。 2. 在导航栏中，选择"用户 \> 身份源管理"。 3. 在身份源管理页面，单击AD身份源操作列的"添加身份源"，输入"身份源名称"，单击"确定"。 2. 设置导入配置。 1. 在AD身份源列表页面，单击目标身份源的"详情"。 图1AD身份源详情 ![](https://support.huaweicloud.com/usermanual-oneaccess/zh-cn_image_0000001591938462.png) 2. 选择"导入配置"页签，填写导入配置参数并单击"确定"。 - 基础配置：企业AD服务器的连接参数，实现OneAccess和企业AD的连接，请务必填写正确。 表1基础配置 | 参数 | 说明 | |:---|:---| | \*主机 | 运行企业AD服务器的主机名称或 IP 地址。 | | \*TCP端口 | 用于与企业AD服务器进行通信的服务器TCP/IP 端口号。默认为389。 OneAccess目前只支持公网访问，需要提供公网地址，并开启389端口。 | | SSL | 系统默认true，即使用 SSL 连接到 企业AD服务器。 | | StartTLS | 是否启用startTLS进行加密通信 - true：启用StartTLS，且SSL不能设置为true； - false：不启用StartTLS。 | | 校验证书 | 是否校验证书。仅在SSL为true或者StartTLS为true时有效。true: 校验证书，false: 不校验证书。证书必须是公网认证的证书，自签名证书不可以。 | | 协议版本 | 系统默认TLSv1.2，推荐使用TLSv1.3、TLSv1.2。 | | \*主体 | 进行企业AD服务器验证时使用的标识名，即拥有AD域读取权限的账号名。传参带域名，如"admin@test.com "或"TEST\\admin"。 | | \*密码 | 主体账号的密码。 | | \*基本上下文 | 搜索企业AD树时将使用该树中的一个或多个节点作为起始点，需填写要同步AD用户所在AD中的树的根节点，如"OU=huaweitest,DC=test,DC=com"。 | | \*UID 属性 | 映射到UID属性的AD属性的名称。 | | \*账户对象类 | 在AD树中创建新用户对象时将使用的一个或多个对象类。如果输入多个对象类，每一项输入应独占一行；请不要使用逗号或分号来分隔多个对象类。有些对象类可能要求您指定类分层结构中的所有对象类。 | - 可选配置：可默认配置，如需同步密码需配置密码的相关参数，包括启用密码同步和要同步的密码属性，如出现同步异常，可根据实际的使用情况进行参数调整，包括但不限于账户对象类、机构对象类等参数。 表2可选配置 | 参数 | 说明 | |:---|:---| | 域名 | 域名存在时，回收的用户名中将该域名排除掉（存在多个域名用","分隔，默认用户名会排除域名） | | 账户用户名属性 | 保存账户用户名的一个或多个属性。在进行验证时，将使用这些属性查找要验证的用户名的AD 条目。 | | 机构对象类 | 在AD 树中创建新机构对象时将使用的一个或多个对象类。如果输入多个对象类，每一项输入应独占一行；请不要使用逗号或分号来分隔多个对象类。有些对象类可能要求您指定类分层结构中的所有对象类。 | | 机构名属性 | 保存机构名的一个或多个属性。在进行验证时，将使用这些属性查找要验证的机构名的 AD 条目。 | | 故障转移服务器 | 列出首选服务器发生故障时将用于故障转移的所有服务器。如果首选服务器发生故障，JNDI 将连接到列表中的下一个可用服务器。按照 "ldap://ldap.example.com:389/" 格式（符合RFC 2255中所述的标准AD v3 URL）列出所有服务器。只有 URL 的主机和端口部分在此设置中是相关的。 | | 密码属性 | 用于保存密码的AD属性的名称。在更改用户的密码时，会为该属性设置新密码。 | | 用于检索账户的AD过滤器 | 用于控制从AD资源返回的账户的可选AD过滤器。如果未指定任何过滤器，则只返回包含所有指定对象类的账户。 | | 密码散列算法 | 指出Identity System对密码执行散列时应使用的算法。目前支持的值为SSHA、SHA、SMD5和MD5。空值表示系统不会对密码执行散列。除非LDAP服务器执行散列（Netscape Directory Server 和 iPlanet Directory Server执行散列），否则这将导致明文密码存储在AD中。 | | 优先处理资源密码策略重置后更改 | 如果在登录模块中指定此资源（即，此资源是传递验证目标），并且将资源的密码策略配置为在重置后更改，则以管理方式重置了资源账户密码的用户需要在成功验证后更改该密码。 | | 使用VLV控件 | 指定是否在标准AD控件上强制使用VLV控件。默认为"false"。 | | VLV 排序属性 | 指定用于资源上 VLV 索引的排序属性。 | | 读取模式 | 如果为TRUE，连接器将从服务器中读取模式。如果为FALSE，连接器将根据配置中的对象类提供一个默认模式。要使用扩展对象类，该属性必须为TRUE。 | | 要同步的基本上下文 | AD树中用于确定是否应同步更改的一个或多个起始点。如果未设置此属性，则将使用基本上下文属性来同步更改。 | | 要同步的对象类 | 要同步的对象类。更改日志针对所有对象；它会根据所列出的对象类来对更新进行过滤。除非您要将对象与任何超类值同步，否则不应列出对象类的超类。例如，如果仅应同步 "inetOrgPerson" 对象，但应过滤掉 "inetOrgPerson" 的超类（"person"、"organizationalperson" 和 "top"），则此处仅应列出 "inetOrgPerson"。AD中的所有对象都是 "top" 的派生子类。因此，绝不应列出 "top"，否则将无法过滤任何对象。 | | 要同步的属性 | 要同步的属性的名称。设置此项后，如果更改日志中的更新没有对任何命名属性进行更新，则会忽略这些更新。例如，如果仅列出 "department"，则只处理影响 "department" 的更改。而忽略所有其他更新。如果将其留空（默认设置），则处理所有更改。 | | 要同步的账户的 AD 过滤器 | 同步对象时使用的可选AD过滤器。由于更改日志适用于所有对象，因此此过滤器只更新符合指定过滤器条件的对象。如果指定了过滤器，则只有在对象符合过滤器条件并且包含已同步的对象类时，才会对其进行同步。 | | 更改日志块大小 | 每个查询获取的更改日志条目数。 | | 更改编号属性 | 更改编号属性 | | 使用 OR 而不是 AND 进行过滤 | 通常，用于获取更改日志条目的过滤器是基于AND条件检索一段时间间隔内的更改条目。如果设置了此属性，则过滤器将改用OR条件配合所需的更改数量进行过滤。 | | 从过滤器中删除日志条目对象类 | 如果设置了此属性（默认设置），用于获取更改日志条目的过滤器不会包含 "changeLogEntry" 对象类，因为更改日志中应该不包含其他对象类型的条目。 | | 要同步的密码属性 | 在执行密码同步时要同步的密码属性的名称。 | | 状态管理类 | 用于管理启用/禁用状态的类。 如果未指定类，则无法进行身份状态管理。 | | 是否搜索密码 | 搜索时是否检索用户密码。 默认值为"否"。 | | DN属性 | 条目DN属性名称（默认：entryDN） | | AD过滤器 | 一个可选的AD过滤器，用于控制从AD资源返回的组。 如果未指定过滤器，则仅返回包含所有指定对象类的组。 | | 读超时 | 等待接收响应的时间。如果在指定的时间内没有响应，读取尝试将被中止。值为0或小于0表示没有限制。 | | 连接超时 | 打开新服务器连接时的等待时间。 值0表示将使用TCP网络超时，可能是几分钟。 值小于0表示没有限制。 | | 账号DN前缀 | 默认值cn，也可以为uid等其它用于dn前缀的属性名。 | - 高级配置：用于配置顶层组织、组织、用户映射策略。 表3高级配置 | 参数 | 说明 | |:---|:---| | 开启定时回收 | 可设置是否开启定时回收，若开启，每天定时执行回收任务。 | | 定时频率 | 定时频率固定为1天。 说明： 当开启了定时回收后，显示此参数。 | | 选择回收开始时间 | 可在选择框中设置回收开始时间。 说明： 当开启了定时回收后，才需设置此参数。 | | 选择根组织 | 企业AD身份源组织同步至OneAccess后的父级组织。如果不填，将自动创建顶层组织。 | | 组织匹配策略 | 企业AD组织与OneAccess组织的映射关系。当OneAccess同步企业AD中的组织时，根据该策略进行匹配。如属性名为**编码** 、身份源属性名为**组织编码**，企业AD中的组织将以编码为匹配策略映射至OneAccess。 | | 创建组织 | 开启后，如果同步组织时匹配失败，则OneAccess将自动创建对应组织。默认开启，为了您的数据完整，建议开启。 | | 更新组织 | 开启后，如果同步组织时匹配成功，则OneAccess将自动更新该组织。默认开启，为保证您的数据正确，建议开启。 | | 删除组织 | 当AD的组织数据成功同步至OneAccess后，如果删除AD中的组织，则OneAccess会和设置的删除阈值进行对比，删除组织数和上次同步数据总数的比值大于阈值则删除失败，删除组织数和上次同步数据总数的比值小于阈值则删除成功。 | | 用户匹配策略 | 企业AD用户与OneAccess用户的映射关系。当OneAccess同步企业AD中的用户时，根据该策略进行匹配。如属性名为用户ID、身份源属性名为**员工唯一标识ID**，企业AD的用户将以编码为匹配策略映射至OneAccess。 | | 创建用户 | 开启后，如果同步用户时匹配失败，则OneAccess将自动创建对应用户。默认开启，为了您的数据完整，建议开启。 | | 更新用户 | 开启后，如果同步用户时匹配成功，则OneAccess将自动更新该用户。默认开启，为保证您的数据正确，建议开启。 | | 删除用户 | 当AD的用户数据成功同步至OneAccess后，如果删除AD中的用户，则OneAccess会和设置的删除阈值进行对比，删除用户数和上次同步数据总数的比值大于阈值则删除失败，删除用户数和上次同步数据总数的比值小于阈值则删除成功。 | | 禁用用户阈值调节 | 默认20%，该功能为平台提供的一种保护机制，支持自定义设置比例。当上游身份源应用禁用/删除超过设定的阈值数据，平台接到指令后，不会进行同步禁用/删除。 | 3. （可选）设置对象模型。 在身份源详情页面，选择"对象模型"页签，修改、添加、删除用户和机构的属性、映射规则。 表4对象模型 | 参数 || 说明 | |:---|---|:---| | 用户对象 | 属性定义 | AD身份源的用户属性。 | | 用户对象 | 映射定义 | AD与OneAccess用户数据同步时的映射规则，支持脚本转换。 | | 机构对象 | 属性定义 | AD身份源的组织属性。 | | 机构对象 | 映射定义 | AD与OneAccess组织数据同步时的映射规则，支持脚本转换。 | - 添加属性。 1. 在"属性定义"页签，单击"添加"，弹出"添加属性"弹框。 ![](https://support.huaweicloud.com/usermanual-oneaccess/zh-cn_image_0000001946425061.png) 2. 选择"身份源可选属性"，输入"显示标签"、描述。 3. 选择"类型"。当"类型"选择为"文本"时，需要设置"格式"。 4. 设置该属性是否为必填，单击"确定"，属性添加完成。 - 设置映射规则。 在"映射定义"页签，单击"编辑"，通过设置转换方式、脚本表达方式、执行方式、系统用户设置映射规则。 ![](https://support.huaweicloud.com/usermanual-oneaccess/zh-cn_image_0000001641297205.png)