Navigatie

AD-synchronisatiesjablonen

In dit artikel wordt beschreven hoe AD-synchronisatiesjablonen voor gebruikers in eADM werken, wat elk tabblad en elk veld regelt, en hoe je export- en importtoewijzingen kunt configureren. Het artikel behandelt de twee standaardsjablonen die bij eADM worden geleverd: AD: Actieve gebruikers en AD: Gedeactiveerde gebruikers.

Wat is een synchronisatiesjabloon?

Een synchronisatiesjabloon is het configuratieobject dat bepaalt wat eADM tijdens een synchronisatiecyclus naar Active Directory schrijft — en daaruit terugleest. Het definieert:

  • Welke synchronisatiestap voert de sjabloon uit (bijv. Export AD)?

  • Welke regelset bepaalt welke gebruikers onder het toepassingsgebied vallen?

  • Waar in de AD OU-structuur worden gebruikersobjecten geplaatst (objectpad)

  • Welke AD-attributen worden opgeslagen en met welke waarden (exporttoewijzingen)

  • Welke AD-attributen worden teruggelezen in eADM (importtoewijzingen)

Sjablonen zijn te vinden onder Automatisering → Synchronisatie in het navigatiemenu aan de linkerkant. Elk sjabloon wordt op naam weergegeven onder het kopje Synchronisatie.

Sjabloon-tabbladen

Elk synchronisatiesjabloon heeft vijf tabbladen: Informatie, Objectpad, Visma, Exporteren en Importeren.

Informatie

Op het tabblad ‘Informatie’ worden de belangrijkste instellingen van de sjabloon weergegeven.

Veld

Beschrijving

Id

Interne numerieke identificatiecode voor het sjabloon.

Naam

Weergavenaam, bijv. AD: Actieve gebruikers of AD: Gedeactiveerde gebruikers.

Actief

Of het sjabloon actief is. Inactieve sjablonen worden niet uitgevoerd tijdens synchronisatiecycli.

Objecttype

Het eADM-objecttype waarop dit sjabloon wordt toegepast. Beide standaard AD-sjablonen maken gebruik van User.

Beschrijving

Optionele beschrijving in vrije tekst.

Synchronisatiestap

De synchronisatiestap waarmee dit sjabloon wordt uitgevoerd, meestal ‘Export AD’.

Regelset

De regelset die bepaalt welke gebruikers door dit sjabloon worden verwerkt. Het sjabloon ‘actieve gebruikers’ maakt gebruik van een regelset die overeenkomt met geactiveerde medewerkers; het sjabloon ‘gedeactiveerde gebruikers’ maakt gebruik van een regelset die overeenkomt met ontslagen of gedeactiveerde medewerkers.

Definitief verwijderen

Indien ingeschakeld, verwijdert eADM het AD-object wanneer de gebruiker buiten het toepassingsgebied valt. In de sjabloon voor gedeactiveerde gebruikers is dit doorgaans ingesteld op Ja, met een wachttijd voor verwijdering (bijvoorbeeld 90 dagen) voordat het object definitief wordt verwijderd.

De thuismap verwijderen

Indien deze optie is ingeschakeld, verwijdert eADM de thuismap van de gebruiker bij definitieve verwijdering.

Volledige update van het object verzenden bij wijzigingen

Indien deze optie is ingeschakeld, worden alle exporttoewijzingen opnieuw geschreven zodra er een wijziging bij de gebruiker wordt gedetecteerd, in plaats van alleen bij gewijzigde attributen.

Objectpad

Op het tabblad ‘Objectpad’ wordt de OU-toewijzing gedefinieerd — dat wil zeggen, waar in Active Directory eADM gebruikersobjecten aanmaakt of verplaatst. Elke vermelding heeft het label ‘Objectpad #N’ en toont een absoluut pad dat is samengesteld uit OU- en DC-componenten.

Voorbeelden uit de standaardsjablonen:

Sjabloon

Voorbeeld van een absoluut pad

AD: Actieve gebruikers

OU=Brukere,OU=Brukerkontoer,DC=eksempel,DC=kommune,DC=no

AD: Gedeactiveerde gebruikers

OU=Disabled users,OU=Brukerkontoer,DC=eksempel,DC=kommune,DC=no

Wanneer een gebruiker van de actieve naar de gedeactiveerde scope wordt verplaatst, verplaatst eADM het AD-object automatisch van de actieve OU naar de gedeactiveerde OU.

Opmerking: The OU path must match the actual OU structure in the organisation's Active Directory. Incorrect paths will cause export failures. Verify the path with the organisation's AD administrator before configuring.

Exporteren

Op het tabblad ‘Export’ worden alle exporttoewijzingen weergegeven — de attribuutwijzigingen die eADM tijdens elke synchronisatiecyclus aan het AD-gebruikersobject aanbrengt. Elke rij koppelt één bronuitdrukking aan één AD-doelattribuut.

Kolommen voor export toewijzen

Rubriek

Beschrijving

Id

Interne mapping-identificatie.

Bron

De waarde of uitdrukking die naar het doel wordt geschreven. Dit kan een statische waarde zijn (bijv. 512, TRUE, NO), een plaatshouder voor een veld (bijv. [UserName]), of een samengestelde uitdrukking met behulp van de regeluitdrukkingsengine (bijv. [givenname] [surname]).

Doel

De naam van het AD-attribuut waaraan de waarde wordt toegekend (bijv. samAccountName, userPrincipalName, displayName).

Leeg doel

Bepaalt wat er gebeurt als het bronveld leeg is. Bij ‘Ja’ wist eADM het doelattribuut in AD — de lege waarde wordt geschreven, waardoor de eerdere waarde wordt verwijderd. Bij ‘Nee’ wordt de toewijzing voor die gebruiker overgeslagen en blijft de bestaande waarde in AD ongewijzigd.

Vreemde sleutel

Wordt gebruikt voor relationele opzoekingen, bijvoorbeeld om het attribuut ‘manager’ op te zoeken via User.Manager.

Regelset

Indien ingesteld, wordt deze toewijzing alleen uitgevoerd wanneer de gebruiker voldoet aan de opgegeven regelset, bijvoorbeeld: HRM-brukere.

Leeg doel tijdens de training: Ja betekent dat het doelveld in AD wordt leeggemaakt wanneer het bronveld leeg is. Voorbeeld: een gebruiker heeft een mobiel nummer in het HR-systeem; dit wordt later verwijderd, en de mobile het in kaart brengen heeft Leeg doel = Ja — de volgende synchronisatiecyclus wordt gewist mobile in AD. Met Leeg doel = Nee het oude nummer zou voor onbepaalde tijd in AD blijven staan. Stel in Ja voor attributen die altijd een exacte weergave van de bron moeten zijn (bijv. mobile, telephoneNumber, department), en Geen voor attributen die nooit per ongeluk leeg mogen worden (bijv. samAccountName, userPrincipalName, cn).

Standaard exporttoewijzingen — AD: Actieve gebruikers

Bron

Doel

Opmerkingen

[UserName]

samAccountName


[surname]

sn


[givenname] [surname]

displayName


[userpassword]

userPwd


512

userAccountControl

512 = normaal geactiveerd account

[Company]

company


[givenname] [surname]

cn


[Mobile]

mobile

Leeg doel: Ja — wist mobile in AD als er geen mobiel nummer voor de gebruiker is geregistreerd

[title]

title


NO

c

Landcode, vaste waarde

[Socialsecuritynumber]

employeeID


[EmployeeNumber]

employeeNumber

Regelset: HRM-gebruikers

UserId

manager

Vreemde sleutel: User.Manager

[WorkPhone]

telephoneNumber

Leeg doel: Ja — wist telephoneNumber in AD als er geen zakelijke telefoon voor de gebruiker is geregistreerd

[givenname]

givenName


[Department] - [Title]

description


[Email]

mail


[WebUserId]

extensionAttribute14


[UserName]@eksempelkommune.no

userPrincipalName

Het domeinachtervoegsel is organisatiespecifiek

[Department]

department


[DepartmentNumber]

departmentNumber


Standaard exporttoewijzingen — AD: Gedeactiveerde gebruikers

Bron

Doel

Opmerkingen

TRUE

msExchHideFromAddressLists

Verbergt het account in het adresboek van Exchange/M365

Deaktivert av eAdm [SUBSTRING;0;10;[Deleted]]

description

Schrijft een deactiveringsbericht met tijdstempel naar het beschrijvingsattribuut van AD

514

userAccountControl

514 = gedeactiveerd account

Importeren

Op het tabblad ‘Import’ worden de importtoewijzingen weergegeven — attributen die na de exportstap vanuit AD terug worden gelezen in eADM. Dit wordt gebruikt om eADM synchroon te houden met waarden die AD mogelijk zelfstandig bijwerkt.

De standaardsjabloon voor actieve gebruikers importeert één attribuut:

Bron (AD-attribuut)

Doel (eADM-veld)

Opmerkingen

lastLogonTimestamp

ExtensionAttribute12

Delta-synchronisatie starten: Nee

De UPN en de naamgevingsnorm voor e-mailadressen instellen

De userPrincipalName en mail Toewijzingen bepalen hoe eADM inlognamen en e-mailadressen samenstelt. De bronuitdrukking wordt op het moment van synchronisatie afgezet tegen de HR-gegevens van elke gebruiker.

In de aanbevolen productie-expressie wordt gebruikgemaakt van [SPLIT] om alleen de eerste voornaam te extraheren, [CLEAN] en [LOWER] om het resultaat te normaliseren, twee [REPLACE] oproepen om scheidingstekens te zuiveren, en [UNIQUE] om adresconflicten te voorkomen:

[UNIQUE;[LOWER;[REPLACE;[REPLACE;[LOWER;[CLEAN;[SPLIT;[GivenName]; ;0]]].[LOWER;[CLEAN;[Surname]]];-;.];...;.]]@eksempelkommune.no;Upn;@eksempelkommune.no]

De uitdrukking wordt als volgt berekend:

Stap

Functie

Doel

1

[SPLIT;[GivenName]; ;0]

Haal het eerste woord uit het veld ‘voornaam’ en negeer eventuele overige voornamen.

2

[CLEAN;...]

Verwijdert tekens die niet veilig zijn in gebruikersnamen. Opmerking: [CLEAN] behoudt de koppeltekens.

3

[LOWER;...]

Zet elk naamdeel om naar kleine letters voordat ze worden samengevoegd.

4

firstgivenname.surname

De punt als scheidingsteken tussen de twee naamdelen wordt als letterlijke waarde aan de uitdrukking toegevoegd.

5

[REPLACE;...;-;.]

Vervangt alle resterende koppeltekens (bijvoorbeeld in samengestelde achternamen) door punten.

6

[REPLACE;...;...;.]

Vouwt elke reeks van drie puntjes (die verschijnen wanneer een naamdeel leeg of kort is) samen tot één enkel puntje.

7

[UNIQUE;...;Upn;@eksempelkommune.no]

Vergelijkt de gegenereerde waarde met de Upn attribuut voor alle gebruikers. Als het al in gebruik is, wordt er een oplopend nummer aan toegevoegd. De derde parameter geeft het e-maildomein aan, zodat [UNIQUE] voert de botsingscontrole uit op het volledige adres.

Voorbeeld: GivenName = Anne Karin, Surname = Eksempel → anne.eksempel@eksempelkommune.no

Voorbeeld met een achternaam met koppelteken: GivenName = Per, Surname = Ås-Eksempel → per.as.eksempel@eksempelkommune.no

Opmerking: vervangen @eksempelkommune.no met het daadwerkelijke domein van de organisatie, zowel in de adresliteral als in de [UNIQUE] domeinparameter. Beide vermeldingen moeten met elkaar overeenkomen.

Uitdrukkingen testen met de Expression Builder

Gebruik Sysadmin-tools → Expression Builder om een voorbeeld van een bronuitdrukking te bekijken voordat je deze toepast op een synchronisatiesjabloon.

  1. Selecteer ‘Gebruiker ’ als het primaire objecttype.

  2. Kies een testgebruiker via ‘Zoeken ’ of ‘Willekeurig kiezen’.

  3. Voer de uitdrukking in de editor in en klik op ‘Uitvoeren’.

  4. Controleer het resultaat en herhaal de procedure met gebruikers die randgevallen vertegenwoordigen: namen met een koppelteken, voornamen die uit één woord bestaan, namen met speciale tekens en gebruikers waarbij een conflict te verwachten is.

Een synchronisatiesjabloon bewerken

  1. Ga naar Automatisering → Synchronisatie en selecteer de sjabloon in het menu aan de linkerkant.

  2. Klik op ‘Bewerken’ (rechtsonder) om de bewerkingsmodus te openen, of gebruik het potloodpictogram (rechtsboven) om de tekst direct te bewerken.

  3. Om een exporttoewijzing toe te voegen of te wijzigen, ga je in de bewerkingsmodus naar het tabblad ‘Exporteren’ en pas je de bronuitdrukking voor de betreffende rij aan.

  4. Sla het sjabloon op en voer een handmatige synchronisatie uit op een testgroep om de uitvoer te controleren voordat u het voor alle gebruikers inschakelt.

Laatst bijgewerkt: