Caching Principal Resolution Service

Installation und Konfiguration

Caching Principal Resolution Service (ActiveDirectory LDAP)

1. Fügen Sie ein „CachingLdapPrincipalResolution“ Service unter “Services” im “Indices” Karteireiter hinzu.

1. „LDAP Server Hostname“ soll nur dann konfiguriert werden, um die Konfiguration von „Preferred LDAP Server“ unter „LDAP Settings“ (im „Network“-Tab) zu überschrieben. Die benötigte Anmeldeinformation „LDAP Credential“ kann entweder direkt hier oder im „Network“-Tab unter „Endpoints“ ausgewählt werden.
2. 

1. Die Location kann als dns://<domain> (z.B dns://mycompany.com) konfiguriert werden, um diese Anmeldeinformation für mehrere LDAP Server in einer DNS Domäne gleichzeitig zu verwenden. Es ist ebenfalls möglich, ein Credential direkt einem LDAP-Server zuzuweisen: ldap://<ldapserver hostname> (z.B. ldap://ldapserver.mycompany.com).

1. Falls keine Anmeldeinformationen konfiguriert sind wird Kerberos verwendet. Dafür muss unter Linux zuerst eine gültige Keytab hochgeladen und für diesen Service unter „Setup Kerberos Authentication“ ausgewählt werden.

1. Im Kerberos Authentisierungsfall wird das UPN (User Principal Name) Attribut des Benutzers aus dem LDAP-Verzeichnis als Schlüssel für die Suche im Cache verwendet. Falls eine andere Authentisierung verwendet wird, welche z.B. die E-Mail-Adresse des Benutzers sendet, sollten die entsprechenden LDAP Attribute in diesem Fall mail als „Alias Name LDAP Attribute“ konfiguriert werden. Zusätzlich sollte im „Identity Alias Name Property“ Feld jener Eigenschaftsname eingetragen werden, der von der Authentisierung geliefert wird. Die Attribute „msDS-principalName“ und „userPrincipalName“ werden automatisch für alle Benutzer gespeichert, weil sie bei der Kerberos-Authentisierung vom ClientService verwendet werden. Deswegen sollen diese nicht als Benutzer-Aliasname konfiguriert werden. Falls nur eine Domäne konfiguriert ist, wird das Attribut: “samaccountname” ebenfalls automatisch hinzugefügt.

1. Falls die ACLs während der Indizierung nicht normalisiert, d.h. nicht in das DN Format umgewandelt werden und sie z.B. dem „msDS-principalName“ Attribut einer Gruppe im ActiveDirectory entsprechen, dann sollte das „Group Alias Name LDAP Attribute“ ebenfalls konfiguriert werden.

1. Falls die Benutzer unterschiedliche Aliasnamen in mehreren Domänen haben, können die Aliasnamen aus bestimmten Domänen mit „Deprioritize Alias Names From Domain“ depriorisiert werden. Dadurch werden die Principals in diesen Domänen nicht zu der Liste der Benutzer Principals hinzugefügt.
2. Mit „Suppress ‚Everyone‘ Principal For Domain“ und „Suppress ‚Authenticated Users‘ Principal For Domain“ werden Benutzer nicht mehr als Mitglieder dieser Gruppen behandelt.
3. Falls nur bestimmte Gruppen oder Benutzer im Cache gespeichert werden sollen, können die „Group Filter“ bzw. „User Filter“ dafür konfiguriert und verwendet werden. Die Filter müssen der LDAP Filter Syntax entsprechen. Der Cacheaufbau kann auf bestimmte ActiveDirectory Organisationseinheiten eingeschränkt werden. Dafür ist es notwendig die „Exclude Base DN“ und „Include Base DN“ Optionen entsprechend zu konfigurieren. Dabei wird der „Distinguished Name“ von allen Benutzern und Gruppen mit den einzelnen Zeilen des konfigurierten „Include Base DN“ und „Exclude Base DN“ verglichen, um den Benutzer oder die Gruppe zu inkludieren bzw. zu exkludieren. Die „Exclude Base DN“ Option wird zuerst angewandt.

1. Geben Sie den Verzeichnispfad für den Cache im „Database Directory Path“ Feld an und ändern Sie, wenn notwendig, die “Cache In Memory Items Size”, abhängig vom verfügbaren Speicherplatz der JVM. Im „Cache Update Interval“ Feld geben sie die Zeit (Minuten) an, die gewartet wird bevor der Cache aktualisiert wird. Beim ersten Starten des Service wird diese Zeit ignoriert. Beim nächsten Starten des Service wird diese Zeit berücksichtigt. Um den Cache nach bestimmter Anzahl von Updates (N) zu löschen und neueaufzubauen kann eine Zahl N im Feld „Clean Cache after each N updates“ eingetragen werden. Wenn „Backup cache before cleaning“ ausgewählt ist, wird eine Kopie des Cache im /data/currentservice/<Service Name>/temp Verzeichnis angelegt. Die Einstellungen „Health Check Interval“, „Health Check max. Retries On Failure“ und „Heath Check Request Timeout“ ermöglichen es, dass dieser Service neugestartet wird falls es z.B. dauerhafte Verbindungsprobleme gibt.
2. Das Service wird am angegebenen “Webservice Port” aufgerufen.

1. Mit der Auswahl der Option „Include Identity Principals“ kann man auch nach Identity Principals, die mit der Identity selbst mitgeschickt werden im Cache suchen und deren Gruppenmitgliedschaften finden.
2. „Identity Alias Name Property“ erlaubt es aber in der Identity befindliche Properties zu verwenden um mit deren Wert im Cache nach Gruppenmitgliedschaften zu suchen.

1. „Preserve Case for Principals Matching Pattern“ ermöglicht es, bestimmte (durch Regex Pattern definierte) Principals im originalen Format (nicht kleingeschrieben) beibehalten zu können.
2. „Exclude Principals Pattern“ ermöglicht es, bestimmte Principals für alle Benutzer aus deren Principals Liste zu entfernen.
3. „Suppress Anonymous Users Principals“ ermöglicht es z.B. den ‚Everyone‘ Principal für anonyme Benutzer zu unterdrücken, d.h. anonyme Benutzer können auch öffentliche Dokumente nicht finden.
4. „Resolve non anonymous principal to all registered users“ bestimmt, ob „normale“ (nicht anonyme) Benutzer zur Gruppe gehören, die alle Benutzer enthält.
5. “Include Principals Rule“ ermöglicht es, neue Principals für alle Benutzer (wenn diese Benutzer einem konfigurierten Regex Pattern entsprechen) hinzuzufügen. Damit können auch „Pseudogruppen“, d.h. Gruppen, die implizit alle Benutzer beinhalten, erstellt werden. Beispielsweise kann mit dem „Pattern“ .* (matched alles) und den „Principal“ myportal-users eine Pseudogruppe myportal-users erstellt werden. Jeder Benutzer ist damit Mitglied in der Pseudogruppe myportal-users.
6. Falls die Gruppen eines Benutzers nicht im Cache gespeichert sind, wird durch auswählen von „Suppress LDAP Queries“ verhindert, dass LDAP Abfragen gemacht werden, um diese Gruppen zu finden. „Case Insensitive Member Resolution“ bestimmt, ob Benutzer unabhängig von deren Groß- und Kleinschreibung geprüft werden. (Standard: aktiviert)
7. „Use Parent Principal Cache Service“ und “Parent Principal Cache Service Port” Optionen ermöglichen die Gruppenmitglieschaftseauflösung des Benutzers in einem anderen Cache (Parent Cache). Dadurch werden zusätzlich die vom Parent Cache aufgelösten Gruppen als Gruppenmitgliedschaft geliefert.

1. Zum Schluss wählen Sie in der Crawler Konfiguration unter „Caching Principal Resolution Service“ diesen Service aus. Siehe Kapitel 5.

Caching Principal Resolution Service (Novell LDAP)

1. Fügen Sie ein „CachingNovellLdapPrincipalResolution“ Service unter “Services” im “Indices” Karteireiter hinzu.

1. „LDAP Server Hostname“ sollte nur dann konfiguriert werden um die Konfiguration „Preferred LDAP Server“ im „LDAP Settings“ im „Network“ Karteireiter zu überschrieben. Die benötigten Anmeldeinformationen „LDAP Credential“ kann entweder hier direkt ausgewählt oder in der „Network“ Karteireiter unter „Endpoints“ ausgewählt werden.
2. 

1. Die Location für einen LDAP Server hat das Format: ldap://<ldapserver hostname> (z.B. ldap://ldapserver.mycompany.com).

1. Der “Username” muss im DN Format angegeben und das „Domain“ Feld leer gelassen werden.

1. Für weitere Konfigurationsparameter siehe: Caching Principal Resolution (ActiveDirectory LDAP).

Konfiguration der Datenquellen für das Caching Principal Resolution Service.

Wählen Sie einen der konfigurierten Caching Principal Resolution Services in „Data Source” aus. Z.B. kann Caching LDAP Principal Resolution für eine Dateisystemdatenquelle (im Screenshot „FS Data Source”) ausgewählt werden.

Principal Resolution Service REST API