План синхронизации профиля (SharePoint Server 2010)

 

Применимо к: SharePoint Server 2010

Последнее изменение раздела: 2016-11-30

В этой статье приводятся инструкции по планированию реализации синхронизации профилей в Microsoft SharePoint Server 2010. Синхронизация профилей позволяет создавать профили пользователей путем импорта данных из других систем, которые используются в организации. Прежде чем читать эту статью, ознакомьтесь с основными понятиями, представленными в статье Обзор синхронизации профилей (SharePoint Server 2010).

В данной статье будут рассмотрены следующие вопросы:

• Как получить данные, необходимы для настройки синхронизации профилей.

• Совместно с кем необходимо работать для сбора требуемой информации.

• Внешние типы контента, которые должны быть созданы при необходимости.

По мере чтения статьи вы можете заполнять электронные таблицы для документирования своих решений. После завершения чтения этой статьи и заполнения электронных таблиц у вас будут данные, необходимые для настройки синхронизации профилей с помощью центра администрирования. Заполненные электронные таблицы можно либо передать администратору синхронизации профилей, или использовать их для самостоятельной настройки. Если потребуются внешние типы контента, представляющие данные из внешних бизнес-систем, у вас будут определены требования к этим внешним типам контента. Спецификации можно передать разработчику, который создаст внешние типы контента.

В статье не будет говориться о том, как реализовать план. Этот аспект освещается в статье Настройка синхронизации профилей (SharePoint Server 2010).

Перед началом работы над задачами планирования, описанными в статье, вы должны знать следующее:

• Каким пользователям требуется предоставить профили в SharePoint Server.

• Из каких свойств будут состоять профили пользователей. Должна быть заполнена электронная таблица планирования User Profile Properties (свойств профилей пользователей), как описано в статье Планирование профилей пользователей (SharePoint Server 2010).

• Иметь общее представление о службах каталогов.

Содержание

• Синхронизация профилей

• Планирование реализации подключений синхронизации

• Определение сопоставлений свойств

• Синхронизация групп

• Планирование реализации сервера синхронизации

• Планирование реализации расписания синхронизации

• Планирование реализации разрешений учетных записей

• Дальнейшие действия

• Электронные таблицы

Синхронизация профилей

Первым шагом при планировании реализации синхронизации профилей является определение подключений синхронизации и сбор данных, которые потребуются при создании подключений. Если потребуются какие-либо внешние типы контента, необходимо задокументировать требования к ним, предоставить требования разработчику и получить информацию, которая будут использоваться для настройки подключений синхронизации к бизнес-системе.

Затем необходимо решить, как будут сопоставляться свойства профилей пользователей с данными внешних систем, чтобы они могли синхронизироваться.

Наконец, надо будет ответить на более простые вопросы ("Синхронизировать ли группы?", "Какой сервер будет использоваться для запуска службы синхронизации?", "Как часто следует синхронизировать сведения профилей?"...).

Планирование реализации подключений синхронизации

Каждое свойство профиля пользователя может заполняться из внешней системы. Имеется два типа внешних систем: службы каталогов и бизнес-системы. В этой статье термин бизнес-система используется для обозначения внешней системы, не являющейся службой каталогов. Примерами бизнес-систем могут быть SAP, Siebel, SQL Server и специализированные приложения.

В SharePoint Server термин подключение синхронизации означает средства получения сведений профилей из внешней системы. Чтобы импортировать профили из одной из поддерживаемых служб каталогов, к ней создается подключение синхронизации. Чтобы импортировать дополнительные свойства профилей из бизнес-системы, создается внешний тип контента для передачи данных из бизнес-системы в SharePoint Server, а затем создается подключение синхронизации для внешнего типа контента. В следующих разделах описано, как собирать требуемые данные о подключениях синхронизации.

Подключения к службам каталогов

Каждый пользователь, для которого требуется создать профиль в SharePoint Server, должен иметь удостоверение в службе каталогов (если пользователи не представлены в службе каталогов, профили пользователей синхронизировать невозможно). Выясните, какая служба каталогов содержит сведения о пользователях. Если у вас нет прямого доступа к этой службе каталогов, необходимо найти ее администратора. Чтобы собрать некоторые данные, необходимые для создания подключений синхронизации, потребуется помощь этого человека.

Электронная таблица Connection Planning (Планирование подключений) (https://go.microsoft.com/fwlink/?linkid=202832&clcid=0x419) содержит шаблоны для данных, которые потребуется собрать для каждого типа подключений. Каждый шаблон расположен на отдельном листе, названным по имени поставщика службы каталогов, к которому он применяется. Создайте новый лист для каждой выявленной вами службы каталогов. Скопируйте шаблон для этого типа службы каталогов на новый лист. Затем заполните все новые листы данными в соответствии со следующей таблицей.

Название строки в электронной таблице	Применяется к следующему типу контента	Инструкции
Synchronization connection name (Название подключения синхронизации)	Все	Выберите имя, которое поможет вам запомнить, к какой службе каталогов относится конкретное подключение.
Connection type (Тип подключения)	Все	Тип службы каталогов, к которой применяется конкретное подключение. Это поле уже заполнено на всех листах.
Forest (Лес)	Доменные службы Active Directory	Имя леса службы каталогов.
Domain controller (Контроллер домена)	Доменные службы Active Directory	Имя основного контроллера домена. Контроллер домена требуется определять только если в лесу имеется несколько контроллеров и требуется выполнять синхронизацию только с определенным контроллером домена.
Authentication provider type (Тип поставщика проверки подлинности)	Все	Тип проверки подлинности, который должен использоваться SharePoint Server для подключения к службе каталогов. Это один из следующих типов: Проверка подлинности Windows. Проверка подлинности на основе форм. Проверка подлинности на основе утверждений. Эту информацию может предоставить архитектор систем.
Authentication provider (Поставщик проверки подлинности)	Все	Если будет использоваться проверка подлинности на основе форм или на основе утверждений, укажите название доверенного поставщика. Эту информацию может предоставить архитектор систем. Для проверки подлинности Windows поставщик проверки подлинности не требуется.
Synchronization account (Учетная запись синхронизации)	Все	Учетная запись, включая домен, которая будет использоваться для подключения к службе каталогов. Вероятно, что администратор службы каталогов создаст новую учетную запись, которая будет использоваться для синхронизации. Примечание Разрешения, которые должна иметь учетная запись синхронизации, описаны в разделе Планирование реализации разрешений учетных записей этой статьи.
Synchronization account password (Пароль учетной записи синхронизации)	Все	Пароль учетной записи синхронизации. Security Note Вам потребуется пароль учетной записи синхронизации, но мы рекомендуем не записывать его в электронную таблицу.
Connection port (Порт подключения)	Все	Порт, который будет использоваться для подключения к службе каталогов.
Use SSL? (Использовать ли SSL?)	Доменные службы Active Directory	Использовать ли SSL-подключение для связи со службой каталогов. Для подключений к доменным службам Active Directory поддерживается только протокол SSL.
Directory service server (Сервер службы каталогов)	Tivoli, Sun, eDirectory	Имя сервера службы каталогов.
Username attribute (Атрибут имени пользователя)	Tivoli, Sun, eDirectory	Имя атрибута в службе каталогов, которое служит в качестве уникального идентификатора для каждого профиля. В большинстве случаев подходит атрибут имени пользователя по умолчанию, "uid".
Containers (Контейнеры)	Все	Имена контейнеров службы каталогов, также называемые подразделениями (OU), которые содержат профили, предназначенные для синхронизации.
Filter for users (Фильтр пользователей)	Все	См. подробные инструкции в подразделе Фильтры исключения.
Filter for groups (Фильтр для групп)	Все	См. раздел Синхронизация групп.

Фильтры исключения

SharePoint Server будет синхронизировать все профили из заданных контейнеров, если не исключить какие-либо профили с помощью фильтров. Например, можно создать фильтр для исключения пользователей, чьи учетные записи отключены.

Фильтр состоит из набора условий и соединителя, используемого для объединения условий. Каждое условие имеет три части:

• Атрибут: атрибут службы каталогов, который обрабатывается операцией сравнения.

• Значение: значение, с которым сравнивается атрибут.

• Оператор: тип сравнения. Дополнительные сведения о том, какие операторы доступны для каждого типа данных доменных служб Active Directory (AD DS), см. в статье Операторы и типы данных фильтра подключений (SharePoint Server 2010).

Имеется два способа объединения условий фильтра исключения:

• "Применяются все (И)": учетная запись удовлетворяет условиям фильтра, если она соответствует всем его условиям.

• "Применяются по отдельности (ИЛИ)": учетная запись удовлетворяет условиям фильтра, если она соответствует любому из его условий.

Нельзя смешивать в одном фильтре команды И и ИЛИ.

Например, предположим, что временным сотрудникам организации выданы учетные записи Active Directory, начинающиеся с "T-". Требуется синхронизировать профили для всех постоянных пользователей, чьи учетные записи не отключены. Можно создать фильтр, использующий условия, приведенные в следующей таблице.

Атрибут	Оператор	Значение
sAMAccountName	Начинается с	T-
userAccountControl	Установленный бит равен	2

Фильтр должен объединять условия при помощи метода "Применяются по отдельности (ИЛИ)".

Можно создать фильтр, основанный на членстве в группе службы каталогов, например в списке рассылки. Альтернативы импорту пользователей на основе членства в группах см. по адресу https://go.microsoft.com/fwlink/?linkid=220892&clcid=0x419.

Подключения к бизнес-системам

Чтобы импортировать свойства из бизнес-системы, потребуется внешний тип контента, который передает значение свойства из внешней системы в SharePoint Server 2010. В этой статье не описывается создание внешних типов контента. Эта задача обычно выполняется разработчиками. В статье описаны данные, которые требуется собрать и передать разработчику, и действия, выполняемые с информацией, полученной от разработчика. Собственно разработка внешних типов контента рассматривается в статье Создание внешних типов контента.

Можно использовать электронную таблицу External Content Type Planning (Планирование реализации внешнего типа контента) (https://go.microsoft.com/fwlink/?linkid=202832&clcid=0x419) для указания внешних типов контента, которые потребуется создать. Просмотрите электронную таблицу планирования User Profile Properties, заполненную при чтении статьи Планирование профилей пользователей (SharePoint Server 2010). В электронной таблице External Content Type Planning создайте по одной строке для каждого свойства профиля пользователя, извлекаемого из бизнес-системы. Заполните первые три столбца каждой строки в соответствии с инструкциями, приведенными в следующей таблице.

Столбец электронной таблицы	Инструкции
Business system (Бизнес-система)	Понятное имя, обозначающее бизнес-систему, которая содержит свойство.
Item (Элемент)	Данные в бизнес-системе, соответствующие свойству. Рекомендуется указывать их максимально конкретно. Например, если бизнес-системой является база данных, предоставьте имя таблицы и столбец, если они известны.
Possible identifiers (Возможные идентификаторы)	Список свойств профиля пользователя, которые однозначно обозначают пользователя.

После заполнения первых трех столбцов для всех строк передайте электронную таблицу разработчику внешних типов контента. Разработчик должен выполнить следующие задачи и вернуть электронную таблицу:

• Создать внешние типы контента для предоставления данных внешней системы, описанных в электронной таблице.

• Выбрать подходящий идентификатор для каждого внешнего типа контента.

• Если профили пользователей будут иметь отношение "один к одному" с элементами внешнего типа контента, создать метод конкретного поиска. Внешний тип контента, содержащий дату рождения пользователя, является примером отношения "один к одному". Каждый профиль пользователя будет соответствовать одному элементу внешнего типа контента.

• Если профили пользователей будут иметь отношение "один ко многим" с элементами внешнего типа контента, создать метод поиска и фильтр сравнения. Тип внешнего контента, содержащий номер машины пользователя, является примером отношения "один ко многим". Пользователь может иметь несколько машин, поэтому каждый профиль пользователя может соответствовать нескольким элементам внешнего типа контента.

• Обновить электронную таблицу для описания созданных внешних типов контента.

Электронная таблица Connection Planning (https://go.microsoft.com/fwlink/?linkid=202832&clcid=0x419) содержит лист для подключения к бизнес-системе. При получении информации от разработчика внешнего типа контента объедините вместе все свойства профилей пользователей, которые имеют общий внешний тип контента. Создайте новую вкладку в электронной таблице Connection Planning для каждого внешнего типа контента и скопируйте данные с листа Business systems (Бизнес-системы) на все новые листы. Заполните каждый созданный лист данными в соответствии с инструкциями, приведенными в следующей таблице.

Строка на листе	Инструкции
Synchronization connection name (Название подключения синхронизации)	Выберите имя, которое поможет вам запомнить, к какой бизнес-системе относится конкретное подключение.
Connection type (Тип подключения)	"Business data connectivity" (Подключение к бизнес-системе) Это поле уже заполнено.
Business data connectivity entity (Сущность подключения к бизнес-системе)	Имя внешнего типа контента.
One-to-one or one-to-many mapping (Сопоставление "один к одному" или "один ко многим")	Число элементов внешнего типа контента, которые могут сопоставляться с заданным профилем пользователя. Введите, соответственно, "один к одному" или "один ко многим".
Profile property to match against (Свойство профиля, с которым производится сопоставление)	Имя свойства профиля пользователя, соответствующее идентификатору внешнего типа контента.
Comparison filter (Фильтр сравнения)	Имя фильтра сравнения. Фильтр требуется только для сопоставлений "один ко многим".

Определение сопоставлений свойств

Для указания того, что свойство профиля пользователя извлекается из внешней системы, это свойство сопоставляется с определенным атрибутом внешней системы. Некоторые свойства профилей пользователей сопоставлены по умолчанию. Список сопоставлений по умолчанию для всех типов служб каталогов см. в статье Сопоставления свойств профилей пользователей по умолчанию (SharePoint Server 2010). Свойство профиля можно сопоставить только с атрибутом, тип данных которого совместим с типом данных свойства. Например, невозможно сопоставить свойство профиля пользователя SPS-HireDate с атрибутом Active Directory homePhone, так как свойство SPS-HireDate является датой, а homePhone является строкой Юникода. Список совместимости между типами данных свойств профилей пользователей и типами данных доменных служб Active Directory, см. в разделе Типы данных свойств профилей пользователей (SharePoint Server 2010).

При синхронизации сведений профилей помимо импортирования свойств профилей из внешних систем можно записывать данные обратно в службу каталогов. Записывать данные в бизнес-систему невозможно. Для указания того, что SharePoint Server должен экспортировать свойство профиля пользователя, выполняется сопоставление свойства и в качестве направления сопоставления задается значение Экспорт. Каждое свойство может быть сопоставлено только в одном направлении. Невозможно импортировать и экспортировать одно и то же свойство профилей пользователей. Экспортируемые данные перезаписывают значения, хранящиеся в службе каталогов. Это также относится и к свойствам с несколькими значениями — экспортируемые значения не добавляются к существующим, а перезаписывают их.

Проверьте электронную таблицу планирования User Profile Properties, заполненную во время прочтения статьи Планирование профилей пользователей (SharePoint Server 2010). Для каждой строки (свойства), чье значение будет импортироваться из внешней системы, заполните последние три столбца в соответствии с инструкциями, приведенными в следующей таблице.

Строка на листе	Инструкции
Direction (Направление)	"Импорт", что указывает на импорт свойства в SharePoint Server.
Synchronization connection (Подключение синхронизации)	Имя подключения синхронизации, через которое будет получено это свойство.
Attribute (Атрибут)	Имя элемента внешней системы, из которого будет извлечено значение для свойства профиля пользователя. Если подключение синхронизации предназначено для службы каталогов, здесь указывается имя атрибута службы каталогов. Если подключение синхронизации предназначено для бизнес-системы, здесь указывается имя столбца во внешнем типе контента.

Для каждой строки (свойства), чье значение будет экспортироваться в службу каталогов, заполните последние три столбца в соответствии с инструкциями, приведенными в следующей таблице.

Строка на листе	Инструкции
Direction (Направление)	"Экспорт", что указывает на экспорт свойства из SharePoint Server в службу каталогов.
Synchronization connection (Подключение синхронизации)	Имя подключения синхронизации, через которое будет экспортироваться свойство. Данное подключение может осуществляться только к службе каталогов.
Attribute (Атрибут)	Имя атрибута службы каталогов, чье значение должно быть обновлено значением свойства профиля пользователя.

Синхронизация групп

По умолчанию SharePoint Server во время синхронизации профилей пользователей синхронизирует группы, такие как списки рассылки. Эту функциональность можно отключить на странице "Настройка параметров синхронизации" центра администрирования. Синхронизация групп поддерживается только для доменных служб Active Directory.

Если вы синхронизируете группы (помимо синхронизации пользователей), SharePoint Server импортирует сведения о группах, а также о том, какие пользователи состоят в группах. При синхронизации группы не создается профиль этой группы и не создаются какие-либо дополнительные профили пользователей. В SharePoint Server группы используются только для создания аудиторий и для отображения общих групп, в которых состоит как посетитель личного сайта, так и владелец сайта.

Если решено синхронизировать группы, SharePoint Server будет импортировать данные о всех группах, которые существуют в синхронизируемых контейнерах службы каталогов, если не исключить эти группы с помощью фильтра. Фильтр для исключения групп отличается от фильтра для исключения пользователей, хотя оба имеют одинаковый формат.

Вернитесь в электронную таблицу Connection Planning и заполните поле Filter (Фильтр) для ячеек групп.

Планирование реализации сервера синхронизации

Кроме определения подключений синхронизации и сопоставлений свойств, необходимо также спланировать реализацию и более простых аспектов синхронизации профилей. Первым является определение сервера синхронизации.

Можно запускать только один экземпляр службы синхронизации профилей пользователей в ферме. Компьютер, на котором выполняется служба синхронизации профилей пользователей называется сервером синхронизации. Сервер синхронизации задается при создании приложения-службы синхронизации профилей пользователей. SharePoint Server подготавливает версию Microsoft Forefront Identity Manager (FIM) на этом компьютере для участия в синхронизации.

Когда SharePoint Server синхронизирует профили, он интенсивно использует сеть для связи между сервером синхронизации и контроллерами домена. Выбор сервера синхронизации, который физически близко расположен к контроллерам домена, ускорит синхронизацию.

Планирование реализации расписания синхронизации

При первой синхронизации сведений профиля между SharePoint Server и внешними системами необходимо запустить полную синхронизацию. После этого необходимо настроить задание таймера добавочной синхронизации профилей пользователей для выполнения добавочной синхронизации с помощью повторяющегося расписания. Можно настроить задание таймера на запуск каждые несколько минут, ежечасно, ежедневно, еженедельно или ежемесячно. Для вариантов ежечасной, ежедневной, еженедельной и ежемесячной синхронизации задается время запуска задания таймера.

Чем чаще запускается задание таймера синхронизации, тем меньше изменений придется синхронизировать и поэтому задание будет быстрее завершаться. Частота по умолчанию — "Ежедневно". Рекомендуется спланировать синхронизацию на то время, когда сеть не сильно загружена.

Инструкции по настройке задания таймера добавочной синхронизации профилей пользователей см. в статье Schedule profile synchronization (SharePoint Server 2010).

Планирование реализации разрешений учетных записей

В электронной таблице Connection Planning было указано имя учетной записи синхронизации для каждой из служб каталогов. Этим учетным записям синхронизации должны быть предоставлены определенные разрешения, чтобы служба синхронизации могла получать необходимые ей данные из службы каталогов. В следующих разделах указаны разрешения, которые необходимы для каждого типа службы каталогов. Обратитесь к администратору службы каталогов для предоставления учетной записи нужных разрешений.

Доменные службы Active Directory

У учетной записи синхронизации для подключения к доменным службам Active Directory (AD DS) должны быть следующие разрешения.

• "Репликация изменений каталога" для домена, с которым выполняется синхронизация. Дополнительные сведения см. в разделе Предоставление разрешения "Репликация изменений каталога" для домена справочной статьи "Предоставление доменным службам Active Directory разрешений для синхронизации профилей".

  Примечание

  Разрешение "Репликация изменений каталога" позволяет учетной записи запрашивать изменения в каталоге. Это разрешение не позволяет учетной записи вносить какие-либо изменения в каталог.

• Если на контроллере домена выполняется Windows Server 2003, учетная запись синхронизации должна быть членом встроенной группы "Пред-Windows 2000 доступ". Дополнительные сведения см. в разделе Добавление учетной записи в группу "Пред-Windows 2000 доступ" справочной статьи "Предоставление доменным службам Active Directory разрешений для синхронизации профилей".

• Если NetBIOS-имя домена отличается от полного доменного имени, учетная запись синхронизации должна иметь разрешение "Репликация изменений каталога" для контейнера cn=configuration. Например, если NetBIOS-именем домена является contoso, а полным доменным именем является contoso-corp.com, необходимо предоставить разрешение "Репликация изменений каталога" для контейнера cn=configuration. Дополнительные сведения см. в разделе Предоставление разрешения "Репликация изменений каталога" для контейнера cn=configuration справочной статьи "Предоставление доменным службам Active Directory разрешений для синхронизации профилей".

• Если значения свойств будут экспортироваться из SharePoint Server в доменные службы Active Directory, учетная запись синхронизации должна иметь разрешения "Создание дочерних объектов" (данный объект и все дочерние объекты) и "Запись любых свойств" (данный объект и все дочерние объекты) для подразделения, с которым выполняется синхронизация. Дополнительные сведения см. в разделе Предоставление разрешений "Создание дочерних объектов" и "Запись" справочной статьи "Предоставление доменным службам Active Directory разрешений для синхронизации профилей".

Novell eDirectory 8.7.3

У учетной записи синхронизации для подключения к Novell eDirectory должны быть указанные ниже разрешения.

• "Entry Rights" — права на просмотр для заданного дерева.

• "All Attributes Rights" — чтение, запись и сравнение для заданного дерева.

Sun Java System Directory Server 5.2

У учетной записи синхронизации для подключения к Sun Java System Directory Server должны быть следующие разрешения.

• Разрешения на чтение (Read), запись (Write), сравнение (Compare) и поиск (Search) в RootDSE.

• Для проведения добавочной синхронизации у учетной записи синхронизации также должны быть разрешения на чтение, сравнение и поиск в журнале изменений (cn=changelog). Если журнала изменений нет, его нужно создать перед синхронизацией.

IBM Tivoli 5.2

У учетной записи синхронизации для подключения к IBM Tivoli должны быть указанные ниже разрешения.

• Учетная запись синхронизации должна входить в группу администраторов.

Учетная запись фермы

Служба синхронизации профилей пользователей выполняется под учетной записью фермы. Учетная запись фермы требует определенных разрешений для настройки синхронизации профилей. Эти разрешения может предоставить сотрудник с правами администратора на сервере синхронизации.

• Учетная запись должна входить в группу администраторов на сервере синхронизации. После настройки службы синхронизации профилей пользователей это разрешение можно удалить.

• Учетная запись должна иметь возможность локально подключаться к серверу синхронизации.

  Примечание

  Учетная запись фермы отличается от учетной записи администратора фермы. Чтобы определить учетную запись фермы, в центре администрирования последовательно щелкните Настройка учетных записей служб и Учетная запись фермы.

Если профили пользователей будут синхронизироваться с бизнес-системой с помощью внешнего типа контента, учетная запись фермы должна также иметь разрешение на выполнение операций с внешним типом контента. Администратор фермы может использовать процедуру Установка разрешений для внешнего типа контента для предоставления учетной записи фермы разрешения "Выполнение" для каждого внешнего типа контента, с которым будет производиться синхронизация.

Дальнейшие действия

Чтобы реализовать план синхронизации профилей, следуйте инструкциям в статье Настройка синхронизации профилей (SharePoint Server 2010). После настройки синхронизации профилей и выполнения первой синхронизации сведений профилей реализуйте расписание синхронизации профилей, следуя процедурам, описанным в статье Schedule profile synchronization (SharePoint Server 2010).

Электронные таблицы

Загрузите электронные таблицы планирования реализации подключений, внешнего типа контента и профилей пользователей со страницы по адресу https://go.microsoft.com/fwlink/?linkid=202832&clcid=0x419.

See Also

Concepts

Обзор синхронизации профилей (SharePoint Server 2010)
Планирование профилей пользователей (SharePoint Server 2010)
Настройка синхронизации профилей (SharePoint Server 2010)
Предоставление доменным службам Active Directory разрешений для синхронизации профилей (SharePoint Server 2010)

Other Resources

Совместная работа на предприятии с использованием SharePoint Server 2010 (Центр ресурсов)
Социальные сети в SharePoint Server 2010 (Центр ресурсов)