Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

6.3. 关于同步属性

IdentityIdentity Managementnbsp;Management 同步 IdM 和 ActiveActive Directorynbsp;Directory 用户条目之间的用户属性子集。条目中存在的任何其他属性（在 IdentityIdentity Managementnbsp;Management 或 ActiveActive Directorynbsp 中）都会被同步忽略。
注意
大多数 POSIX 属性都不会同步。
虽然 ActiveActive Directorynbsp;Directory LDAP 模式和 389389 Directory Servernbsp;Directory389 Directory Servernbsp;Directory389 Directory Servernbsp;Server LDAP schema used by IdentityIdentity Managementnbsp;Management 有很多属性。这些属性只需在 ActiveActive Directorynbsp;Directory 和 IdM 用户条目之间同步，且不会影响属性名称或值格式。

用户架构，在 IdentityIdentity Managementnbsp 中是一样的 Same；管理和 Windows 服务器

  • cn[2]
  • physicalDeliveryOfficeName
  • description
  • postOfficeBox
  • destinationIndicator
  • postalAddress
  • facsimileTelephoneNumber
  • postalCode
  • givenname
  • registeredAddress
  • homePhone
  • sn
  • homePostalAddress
  • st
  • Initials
  • 街道
  • l
  • telephoneNumber
  • mail
  • teletexTerminalIdentifier
  • Mobile
  • telexNumber
  • o
  • title
  • ou
  • userCertificate
  • 寻呼机
  • x121Address
有些属性具有不同的名称，但在 IdM 间仍然有直接奇偶校验（使用 389389 Directory Servernbsp;Directory389 Directory Servernbsp;Server）和 ActiveActive Directorynbsp;Directory。这些属性由同步进程映射。

表 6.2. 用户架构在 IdentityIdentity Managementnbsp;Management 和 Active Directory 之间映射

IdentityIdentity Managementnbsp;Management Active Directory
cn[a] name
nsAccountLock userAccountControl
ntUserDomainId sAMAccountName
ntUserHomeDir homeDirectory
ntUserScriptPath scriptPath
ntUserLastLogon lastLogon
ntUserLastLogoff lastLogoff
ntUserAcctExpires accountExpires
ntUserCodePage codePage
ntUserLogonHours logonHours
ntUserMaxStorage maxStorage
ntUserProfile profilePath
ntUserParms userParameters
ntUserWorkstations userWorkstations
[a] 当从 IdentityIdentity Managementnbsp;Management to ActiveActive Directorynbsp;Directory）同步时，cn 会直接映射到cn。cn从 ActiveActive Directorynbsp 同步;Directory cn 是从 ActiveActive Directorynbsp 中的 name 属性映射;Directory 到 IdentityIdentity Managementnbsp;Management 中的 cn 属性。

6.3.1. IdentityIdentity Managementnbsp;Management 和 Active Directory 之间的用户架构差异

虽然属性可以在 ActiveActive Directorynbsp;Directory 和 IdM 之间成功同步，但仍存在 ActiveActive Directorynbsp;Directory 和 IdentityIdentity Managementnbsp;Management 定义底层 X.500 对象类的差异。这可能会导致在不同 LDAP 服务中处理数据的不同。
这部分论述了 ActiveActive Directorynbsp;Directory 和 IdentityIdentity Managementnbsp;Management 处理在两个域间同步的一些属性的区别。

6.3.1.1. cn Attributes 的值

在 389389 Directory Servernbsp;Directory389 Directory Servernbsp;Server,Server, cn 属性可以是多值，而 Active Directory 此属性中必须只有一个值。当 IdentityIdentity Managementnbsp;Management cn 属性被同步时，只有一个值发送到 Active Directory peer。
对于同步，这意味着如果 cn 值添加到 Active Directory 条目，且该值不是 IdentityIdentity Managementnbsp 中的 cn 的值之一;Management，然后所有 IdentityIdentity Managementnbsp;Management cn 值都会被单个 Active Directory 值覆盖。
另一个重要的区别是，Active Directory 使用 cn 属性作为其命名属性，其中 IdentityIdentity Managementnbsp;Management 使用 uid。这意味着，如果在 IdentityIdentity Managementnbsp 中编辑 cn 属性，则可能完全命名条目（并意外）。

6.3.1.2. 街道和街道地址的值

Active Directory 将属性 streetAddress 用于用户的 postal 地址；这是 389389 Directory Servernbsp;Directory389 Directory Servernbsp;Server 使用 street 属性的方法。Active Directory 和 IdentityIdentity Managementnbsp 中有两个重要区别：Management 使用 streetAddress 和 street 属性：
  • 在 389389 Directory Servernbsp;Directory389 Directory Servernbsp;Server, streetAddress 是 street 的别名。Active Directory 也具有 street 属性，但它是一个单独的属性，可以保存独立值，而不是 streetAddress 的别名。
  • Active Directory 将 streetAddress 和 street 定义为单值属性，而 389389 Directory Servernbsp;Directory389 Directory Servernbsp;Server 将 street 定义为多值属性，如 RFC 4519 中指定的。
由于 389389 Directory Servernbsp;Directory389 Directory Servernbsp;Server 和 Active Directory 处理 streetAddress 和 street 属性的不同方法，在 Active Directory 和 IdentityIdentity Managementnbsp 中设置地址属性时有两种：
  • 同步过程将 ActiveActive Directorynbsp 中的 streetAddress 映射到 IdentityIdentity Managementnbsp;Management 中的 street 条目。为避免冲突，不应在 Active Directory 中使用 street 属性。
  • 只将一个 IdentityIdentity Managementnbsp;Management street 属性值同步到 Active Directory。如果 streetAddress 属性在 Active Directory 中被改变，且新值尚未存在于 IdentityIdentity Managementnbsp;Management 中，则 IdentityIdentity Managementnbsp;Management 中的所有 street 属性值替换为新的、单一 Active Directory 值。

6.3.1.3. 初始属性限制

对于 initials 属性，Active Directory 会对六个字符的最大长度限制，但 389389 Directory Servernbsp;Directory389 Directory Servernbsp;Server 没有长度限制。如果在 IdentityIdentity Managementnbsp;Management 中添加大于 6 个字符的 initials 属性，则该值会在与 Active Directory 条目同步时进行修剪。

6.3.1.4. 要求姓氏(sn)属性

Activeactive Directorynbsp;Directory 允许在没有 surname 属性的情况下创建 人员 条目。但是，RFC 4519 将 人员 对象类定义为需要 surname 属性，这是 DirectoryDirectory Servernbsp;Server 中使用的定义。
如果在没有 surname 属性的情况下创建了 ActiveActive Directorynbsp;Directory 人员 条目，则该条目不会与 IdM 同步，因为它会失败并显示对象类违反情况。

[2] cn 的处理方式与其他同步属性不同。当从 IdentityIdentity Managementnbsp 同步;Management 到 ActiveActive Directorynbsp;Directory 时，它会被直接映射到cn。cn从 ActiveActive Directorynbsp 同步;Directory 到 IdentityIdentity Managementnbsp;Management 时，cn 从 Windows 上的 name 属性映射到 IdentityIdentity Managementnbsp;Management 中的 cn 属性。