7.5 使用範圍過濾來管理不同伺服器上的使用者

範圍過濾是指，將規則新增至每個驅動程式規則，以將驅動程式的動作範圍限制在特定的容器。下面是您需要使用範圍過濾的兩種情況：

  • 您想要驅動程式僅同步化特定容器中的使用者。

    Identity Manager 驅動程式預設會對所執行之伺服器上複製之所有容器中的物件，進行同步化。若要縮小該範圍，則您必須建立範圍過濾規則。

  • 您想要 Identity Manager 驅動程式同步化所有使用者，但不想將所有使用者複製到相同的伺服器上。

    若要同步化所有使用者，但不將他們複製到單一伺服器上，您需要判斷何者為保留所有使用者的伺服器組，然後在其中每個伺服器上建立 Identity Manager 驅動程式例項。若要防止驅動程式的兩個例項嘗試同步化相同的使用者，您需要使用「範圍過濾」，以定義每個驅動程式例項應該同步化的使用者。

    附註：即使您的伺服器複製本目前沒有重疊，您也應該使用範圍過濾。以後，可以將複製本新增至伺服器，並可以無意地建立重疊。如果您將範圍過濾放置在適當位置，則 Identity Manager 驅動程式不會嘗試同步化相同的使用者，即使以後會將複製本新增至伺服器。

圖 7-1 顯示了一個範例 Identity Vault，其中有三個存放使用者的容器：「行銷部門」、「財務部門」和「開發部門」。它也會顯示保存驅動程式集的「身分識別管理」容器。其中每個容器中都是一個個別分割區。在此範例中，Identity Manager 管理員有兩個 Identity Vault 伺服器：伺服器 A 和伺服器 B。這兩個伺服器都不包含所有使用者的副本。每個伺服器包含三個分割區中的兩個，因此伺服器所保留內容的範圍重疊。

圖 7-1 範圍過濾定義同步化各個容器的驅動程式

管理員想要網路樹中所有使用者由 groupwise® 驅動程式同步化，但不想將使用者複製本聚集至單一伺服器上。 他選擇使用兩個 GroupWise 驅動程式例項，每個伺服器上各一個。他會安裝 Identity Manager，並在每個 Identity Manager 伺服器上設定 GroupWise 驅動程式。

「伺服器 A」會保存「行銷部門」和「財務部門」容器的複製本。該伺服器上還有 Identity Management 容器的複製本，該容器會保留「伺服器 A」的「驅動程式集」和「伺服器 A」的「GroupWise 驅動程式」物件。

「伺服器 B」會保留「開發部門」和「財務部門」容器的複製本，Identity Management 容器保留「伺服器 B」的「驅動程式集」和「伺服器 B」的「GroupWise 驅動程式」物件。

因為「伺服器 A」和「伺服器 B」都會保存「財務部門」容器的複製本，所以這兩個伺服器都會保存「財務部門」容器中的使用者 JBassad。不使用範圍過濾的情況下，「GroupWise 驅動程式 A」與「GroupWise 驅動程式 B」都會同步化 JBassad。範圍過濾可防止兩個驅動程式例項管理同一個使用者，因為它會定義用於同步化各個容器的驅動程式。

Identity Manager 中提供了一些預先定義的規則。有兩個規則可協助執行範圍過濾：事件轉換 - 範圍過濾 - 包括子網路樹和事件轉換 - 範圍過濾 - 排除子網路樹。如需詳細資訊，請參閱《NetIQ Identity Manager Understanding Policies Guide》(NetIQ Identity Manager 規則解讀指南)。

在此範例中，您會針對「伺服器 A」和「伺服器 B」使用「包括子網路樹」預先定義規則。您會分別定義每個驅動程式的範圍，以便它們僅同步化特定容器中的使用者。「伺服器 A」會同步化「行銷部門」和「財務部門」。「伺服器 B」會同步化「開發部門」。