Navigatie

AD-synchronisatiesjablonen

In dit artikel wordt beschreven hoe AD-synchronisatiesjablonen voor gebruikers in eADM werken, wat elk tabblad en elk veld regelt, en hoe je export- en importtoewijzingen kunt configureren. Het artikel behandelt de twee standaardsjablonen die bij eADM worden geleverd: AD: Actieve gebruikers en AD: Gedeactiveerde gebruikers.

Wat is een synchronisatiesjabloon?

Een synchronisatiesjabloon is het configuratieobject dat bepaalt wat eADM tijdens een synchronisatiecyclus naar Active Directory schrijft — en daaruit terugleest. Het definieert:

  • Welke synchronisatiestap voert de sjabloon uit (bijv. Export AD)?

  • Welke regelset bepaalt welke gebruikers onder het toepassingsgebied vallen?

  • Waar in de AD OU-structuur worden gebruikersobjecten geplaatst (objectpad)

  • Welke AD-attributen worden opgeslagen en met welke waarden (exporttoewijzingen)

  • Welke AD-attributen worden teruggelezen in eADM (importtoewijzingen)

Sjablonen zijn te vinden onder Automatisering → Synchronisatie in het navigatiemenu aan de linkerkant. Elk sjabloon wordt op naam weergegeven onder het kopje Synchronisatie.

Sjabloon-tabbladen

Elk synchronisatiesjabloon heeft vijf tabbladen: Informatie, Objectpad, Visma, Exporteren en Importeren.

Informatie

Op het tabblad ‘Informatie’ worden de belangrijkste instellingen van de sjabloon weergegeven.

Veld

Beschrijving

Id

Interne numerieke identificatiecode voor het sjabloon.

Naam

Weergavenaam, bijv. AD: Actieve gebruikers of AD: Gedeactiveerde gebruikers.

Actief

Of het sjabloon actief is. Inactieve sjablonen worden niet uitgevoerd tijdens synchronisatiecycli.

Objecttype

Het eADM-objecttype waarop dit sjabloon wordt toegepast. Beide standaard AD-sjablonen maken gebruik van User.

Beschrijving

Optionele beschrijving in vrije tekst.

Synchronisatiestap

De synchronisatiestap waarmee dit sjabloon wordt uitgevoerd, meestal ‘Export AD’.

Regelset

De regelset die bepaalt welke gebruikers door dit sjabloon worden verwerkt. Het sjabloon ‘actieve gebruikers’ maakt gebruik van een regelset die overeenkomt met geactiveerde medewerkers; het sjabloon ‘gedeactiveerde gebruikers’ maakt gebruik van een regelset die overeenkomt met ontslagen of gedeactiveerde medewerkers.

Definitief verwijderen

Indien ingeschakeld, verwijdert eADM het AD-object wanneer de gebruiker buiten het toepassingsgebied valt. In de sjabloon voor gedeactiveerde gebruikers is dit doorgaans ingesteld op Ja, met een wachttijd voor verwijdering (bijvoorbeeld 90 dagen) voordat het object definitief wordt verwijderd.

De thuismap verwijderen

Indien deze optie is ingeschakeld, verwijdert eADM de thuismap van de gebruiker bij definitieve verwijdering.

Volledige update van het object verzenden bij wijzigingen

Indien deze optie is ingeschakeld, worden alle exporttoewijzingen opnieuw geschreven zodra er een wijziging bij de gebruiker wordt gedetecteerd, in plaats van alleen bij gewijzigde attributen.

Objectpad

Op het tabblad ‘Objectpad’ wordt de OU-toewijzing gedefinieerd — dat wil zeggen, waar in Active Directory eADM gebruikersobjecten aanmaakt of verplaatst. Elke vermelding heeft het label ‘Objectpad #N’ en toont een absoluut pad dat is samengesteld uit OU- en DC-componenten.

Voorbeelden uit de standaardsjablonen:

Sjabloon

Voorbeeld van een absoluut pad

AD: Actieve gebruikers

OU=Brukere,OU=Brukerkontoer,DC=eksempel,DC=kommune,DC=no

AD: Gedeactiveerde gebruikers

OU=Disabled users,OU=Brukerkontoer,DC=eksempel,DC=kommune,DC=no

Wanneer een gebruiker van de actieve naar de gedeactiveerde scope wordt verplaatst, verplaatst eADM het AD-object automatisch van de actieve OU naar de gedeactiveerde OU.

Opmerking: Het OU-pad moet overeenkomen met de daadwerkelijke OU-structuur in de Active Directory van de organisatie. Onjuiste paden leiden tot fouten bij het exporteren. Controleer het pad samen met de AD-beheerder van de organisatie voordat u de configuratie uitvoert.

Exporteren

Op het tabblad ‘Export’ worden alle exporttoewijzingen weergegeven — de attribuutwijzigingen die eADM tijdens elke synchronisatiecyclus aan het AD-gebruikersobject aanbrengt. Elke rij koppelt één bronuitdrukking aan één AD-doelattribuut.

Kolommen voor export toewijzen

Rubriek

Beschrijving

Id

Interne mapping-identificatie.

Bron

De waarde of uitdrukking die naar het doel wordt geschreven. Dit kan een statische waarde zijn (bijv. 512, TRUE, NO), een plaatshouder voor een veld (bijv. [UserName]), of een samengestelde uitdrukking met behulp van de regeluitdrukkingsengine (bijv. [givenname] [surname]).

Doel

De naam van het AD-attribuut waaraan de waarde wordt toegekend (bijv. samAccountName, userPrincipalName, displayName).

Leeg doel

Zo ja, dan schrijft eADM de waarde op, zelfs als de bronuitdrukking geen waarde oplevert — waardoor het attribuut in AD in feite wordt gewist.

Vreemde sleutel

Wordt gebruikt voor relationele opzoekingen, bijvoorbeeld om het attribuut ‘manager’ op te zoeken via User.Manager.

Regelset

Indien ingesteld, wordt deze toewijzing alleen uitgevoerd wanneer de gebruiker voldoet aan de opgegeven regelset, bijvoorbeeld: HRM-brukere.

Standaard exporttoewijzingen — AD: Actieve gebruikers

Bron

Doel

Opmerkingen

[UserName]

samAccountName


[surname]

sn


[givenname] [surname]

displayName


[userpassword]

userPwd


512

userAccountControl

512 = normaal geactiveerd account

[Company]

company


[givenname] [surname]

cn


[Mobile]

mobile

Leeg doel: Ja

[title]

title


NO

c

Landcode, vaste waarde

[Socialsecuritynumber]

employeeID


[EmployeeNumber]

employeeNumber

Regelset: HRM-gebruikers

UserId

manager

Vreemde sleutel: User.Manager

[WorkPhone]

telephoneNumber

Leeg doel: Ja

[givenname]

givenName


[Department] - [Title]

description


[Email]

mail


[WebUserId]

extensionAttribute14


[UserName]@eksempelkommune.no

userPrincipalName

Het domeinachtervoegsel is organisatiespecifiek

[Department]

department


[DepartmentNumber]

departmentNumber


Standaard exporttoewijzingen — AD: Gedeactiveerde gebruikers

Bron

Doel

Opmerkingen

TRUE

msExchHideFromAddressLists

Verbergt het account in het adresboek van Exchange/M365

Deaktivert av eAdm [SUBSTRING;0;10;[Deleted]]

description

Schrijft een deactiveringsbericht met tijdstempel naar het beschrijvingsattribuut van AD

514

userAccountControl

514 = gedeactiveerd account

Importeren

Op het tabblad ‘Import’ worden de importtoewijzingen weergegeven — attributen die na de exportstap vanuit AD terug worden gelezen in eADM. Dit wordt gebruikt om eADM synchroon te houden met waarden die AD mogelijk zelfstandig bijwerkt.

De standaardsjabloon voor actieve gebruikers importeert één attribuut:

Bron (AD-attribuut)

Doel (eADM-veld)

Opmerkingen

lastLogonTimestamp

ExtensionAttribute12

Delta-synchronisatie starten: Nee

De UPN en de naamgevingsnorm voor e-mailadressen instellen

De userPrincipalName en mail Toewijzingen bepalen hoe eADM inlognamen en e-mailadressen samenstelt. De bronuitdrukking wordt op het moment van synchronisatie afgezet tegen de HR-gegevens van elke gebruiker.

In de aanbevolen productie-expressie wordt gebruikgemaakt van [SPLIT] om alleen de eerste voornaam te extraheren, [CLEAN] en [LOWER] om het resultaat te normaliseren, twee [REPLACE] oproepen om scheidingstekens te zuiveren, en [UNIQUE] om adresconflicten te voorkomen:

[UNIQUE;[LOWER;[REPLACE;[REPLACE;[LOWER;[CLEAN;[SPLIT;[GivenName]; ;0]]].[LOWER;[CLEAN;[Surname]]];-;.];...;.]]@eksempelkommune.no;Upn;@eksempelkommune.no]

De uitdrukking wordt als volgt berekend:

Stap

Functie

Doel

1

[SPLIT;[GivenName]; ;0]

Haal het eerste woord uit het veld ‘voornaam’ en negeer eventuele overige voornamen.

2

[CLEAN;...]

Verwijdert tekens die niet veilig zijn in gebruikersnamen. Opmerking: [CLEAN] behoudt de koppeltekens.

3

[LOWER;...]

Zet elk naamdeel om naar kleine letters voordat ze worden samengevoegd.

4

firstgivenname.surname

De punt als scheidingsteken tussen de twee naamdelen wordt als letterlijke waarde aan de uitdrukking toegevoegd.

5

[REPLACE;...;-;.]

Vervangt alle resterende koppeltekens (bijvoorbeeld in samengestelde achternamen) door punten.

6

[REPLACE;...;...;.]

Vouwt elke reeks van drie puntjes (die verschijnen wanneer een naamdeel leeg of kort is) samen tot één enkel puntje.

7

[UNIQUE;...;Upn;@eksempelkommune.no]

Vergelijkt de gegenereerde waarde met de Upn attribuut voor alle gebruikers. Als het al in gebruik is, wordt er een oplopend nummer aan toegevoegd. De derde parameter geeft het e-maildomein aan, zodat [UNIQUE] voert de botsingscontrole uit op het volledige adres.

Voorbeeld: GivenName = Anne Karin, Surname = Eksempel → anne.eksempel@eksempelkommune.no

Voorbeeld met een achternaam met koppelteken: GivenName = Per, Surname = Ås-Eksempel → per.as.eksempel@eksempelkommune.no

Opmerking: vervangen @eksempelkommune.no met het daadwerkelijke domein van de organisatie, zowel in de adresliteral als in de [UNIQUE] domeinparameter. Beide vermeldingen moeten met elkaar overeenkomen.

Uitdrukkingen testen met de Expression Builder

Gebruik Sysadmin-tools → Expression Builder om een voorbeeld van een bronuitdrukking te bekijken voordat je deze toepast op een synchronisatiesjabloon.

  1. Selecteer ‘Gebruiker ’ als het primaire objecttype.

  2. Kies een testgebruiker via ‘Zoeken ’ of ‘Willekeurig kiezen’.

  3. Voer de uitdrukking in de editor in en klik op ‘Uitvoeren’.

  4. Controleer het resultaat en herhaal de procedure met gebruikers die randgevallen vertegenwoordigen: namen met een koppelteken, voornamen die uit één woord bestaan, namen met speciale tekens en gebruikers waarbij een conflict te verwachten is.

Een synchronisatiesjabloon bewerken

  1. Ga naar Automatisering → Synchronisatie en selecteer de sjabloon in het menu aan de linkerkant.

  2. Klik op ‘Bewerken’ (rechtsonder) om de bewerkingsmodus te openen, of gebruik het potloodpictogram (rechtsboven) om de tekst direct te bewerken.

  3. Om een exporttoewijzing toe te voegen of te wijzigen, ga je in de bewerkingsmodus naar het tabblad ‘Exporteren’ en pas je de bronuitdrukking voor de betreffende rij aan.

  4. Sla het sjabloon op en voer een handmatige synchronisatie uit op een testgroep om de uitvoer te controleren voordat u het voor alle gebruikers inschakelt.

Laatst bijgewerkt: