אתם יכולים להשתמש בכללי חיפוש ב-LDAP כדי לסנכרן נתונים משרת מדריך ה-LDAP לחשבון Google של הארגון באמצעות Google Cloud Directory Sync (GCDS). כשמוסיפים כלל חיפוש, הנתונים שתואמים לכלל החיפוש מסונכרנים בסנכרון הבא. נתונים שלא תואמים לכלל החיפוש יוסרו.
חשוב: Google לא מספקת תמיכה או ניפוי באגים לשאילתות LDAP.
תחביר בסיסי של שאילתות LDAP
אפשר ליצור כל שאילתת חיפוש מותאמת אישית ב-LDAP, כל עוד היא תואמת ל-RFC 2254.
| אופרטור | תו | תשתמש |
|---|---|---|
| שווה ל- | = | יוצר מסנן שדורש שלשדה יהיה ערך נתון. |
| הכול | * | מייצג שדה שיכול להיות שווה לכל דבר מלבד NULL. |
| סוגריים עגולים | ( ) | מפריד בין מסננים כדי לאפשר לאופרטורים לוגיים אחרים לפעול. |
| וגם | & | מחבר בין מסננים. כל התנאים בסדרה חייבים להתקיים. |
| או | | | מחבר בין מסננים. לפחות תנאי אחד בסדרה חייב להתקיים. |
| Not | ! | החרגה של כל האובייקטים שתואמים למסנן. |
הוספה של כלל חיפוש ב-LDAP
אפשר להשתמש בשלבים האלה לכל סוג של כלל חיפוש.
- באשף ההגדרות, עוברים אל חשבונות משתמשים
כללי חיפוש. - לוחצים על הוספת כלל חיפוש.
- בתפריט, בוחרים באחת מהאפשרויות כדי לבחור את היקף כלל החיפוש:
- עץ משנה – כלל החיפוש חל על אובייקט ה-Base DN ועל כל אובייקטי הצאצא שלו.
- רמה אחת – כלל החיפוש חל על הצאצאים הישירים של אובייקט ה-Base DN, אבל לא כולל את ה-Base DN עצמו.
- אובייקט – כלל החיפוש חל רק על אובייקט ה-DN הבסיסי.
בשדה כלל, מזינים את כלל החיפוש באמצעות תחביר של שאילתת חיפוש ב-LDAP.
בהמשך מפורטות דוגמאות.
בשדה Base DN, בוחרים אפשרות:
- מזינים את ה-DN הבסיסי.
- כדי להשתמש ב-DN הבסיסי שצוין בדף LDAP Connection, משאירים את השדה ריק.
לוחצים על בדיקת שאילתת LDAP כדי לבדוק את תוצאות השאילתה.
אתם יכולים לראות את מספר האובייקטים שנמצאו ואת 5 התוצאות הראשונות. התוצאות לא כוללות משתמשים שאין להם כתובת אימייל.
לוחצים על אישור.
(אופציונלי) כדי להוסיף עוד כלל חיפוש, חוזרים על השלבים.
החרגת נתונים מכלל חיפוש
כללי החרגה
אתם יכולים להשתמש בכללי החרגה כדי להחריג נתונים בשרת הגילוי של LDAP שאתם לא רוצים לסנכרן עם חשבון Google של הארגון. לדוגמה, אתם יכולים להשתמש בכלל חיפוש ב-LDAP כדי לציין שצריך לסנכרן את כל כתובות האימייל. לאחר מכן, משתמשים בכלל החרגה כדי להתעלם מכל כתובות האימייל שמתחילות במחרוזת מסוימת.
שאילתות החיפוש של המשתמשים
באמצעות שאילתת חיפוש של משתמשים, GCDS מזהה את המשתמשים בחשבון Google שתואמים לתוצאות השאילתה. אם משתמש Google לא תואם לתוצאות, GCDS מבצע את הסנכרון כאילו המשתמש לא קיים.
אם אתם משתמשים בשאילתת חיפוש של משתמשים, ודאו שכללי החיפוש ב-LDAP לא מחזירים משתמשים שקיימים ב-Google אבל לא נכללים בתוצאות השאילתה. אחרת, GCDS תנסה ליצור את המשתמשים בכל סנכרון.
לדוגמה, yuri@altostrat.com קיים בחשבון Google וגם מוחזר בכלל החיפוש ב-LDAP. אם משתמשים ב-email:m* בתור שאילתת החיפוש של המשתמשים, מערכת GCDS מנסה ליצור את yuri@altostrat.com בכל סנכרון כי yuri@altostrat.com לא מתחיל באות m.
מידע נוסף זמין במאמר בנושא השמטת נתונים באמצעות כללי החרגה ושאילתות.
דוגמאות לשאילתות LDAP ולכללי חיפוש
הדוגמאות הבאות הן כלליות ויכול להיות שהן לא רלוונטיות לסביבה שלכם. מעברי שורה נועדו רק לעיצוב הדף.
שאילתות LDAP בסיסיות
- כל האובייקטים (עלול לגרום לבעיות בטעינה)
objectClass=*
- כל אובייקטי המשתמשים שמוגדרים כ "אדם"
(&(objectClass=user)(objectCategory=person))
- רק רשימות תפוצה
(objectCategory=group)
- רק תיקיות ציבוריות
(objectCategory=publicfolder)
- כל אובייקטי המשתמשים, חוץ מאלה עם כתובות אימייל ראשיות שמתחילות ב-"test"
(&(&(objectClass=user)(objectCategory=person))(!(mail=test*)))
- כל אובייקטי המשתמשים, חוץ מאלה עם כתובות אימייל ראשיות שמסתיימות ב-"test"
(&(&(objectClass=user)(objectCategory=person))(!(mail=*test)))
- כל אובייקטי המשתמשים, חוץ מאלה שכתובות האימייל הראשיות שלהם מכילות את המילה "test"
&(&(objectClass=user)(objectCategory=person))(!(mail=*test*)))
שאילתות LDAP ספציפיות
- כל האובייקטים של המשתמשים וכתובות האימייל החלופיות שמוגדרים כ "אדם" והם חלק מקבוצה או מרשימת תפוצה
(|(&(objectClass=user)(objectCategory=person))(objectCategory=group))
- כל אובייקטי המשתמשים שמוגדרים כ"אדם", כל אובייקטי הקבוצות וכל אנשי הקשר, חוץ מאלה שמוגדר להם ערך כלשהו כ-extensionAttribute9
(&(|(|(&(objectClass=user)(objectCategory=person))(objectCategory=group))(objectClass=contact))(!(extensionAttribute9=*)))
- כל המשתמשים שחברים בקבוצה שמזוהה על ידי ה-DN "CN=Group,OU=Users,DC=Domain,DC=com"
(&(objectClass=user)(objectCategory=person)(memberof=CN=Group,OU=Users,DC=Domain,DC=com))
- החזרת כל המשתמשים
- ב-Active Directory: (&(objectCategory=person)(objectClass=user))
- ב-OpenLDAP: (objectClass=inetOrgPerson)
- ב-HCL Domino: (objectClass=dominoPerson)
- כל האובייקטים עם כתובת האימייל שמוגדרת כ "אדם" או כ "קבוצה" (בספריית Domino LDAP)
(&(|(objectClass=dominoPerson)(objectClass=dominoGroup)(objectClass=dominoServerMailInDatabase))(mail=*))
- כל המשתמשים הפעילים (לא מושבתים) שיש להם כתובות אימייל ב-Active Directory
(&(objectCategory=person)(objectClass=user)(mail=*)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
- כל המשתמשים שחברים ב-Group_1 או ב-Group_2, כפי שמוגדר ב-DN של הקבוצה
(&(objectClass=user)(objectCategory=person)(|(memberof=CN=Group_1,cn=Users,DC=Domain,DC=com)(memberof=CN=Group_2,cn=Users,DC=Domain,DC=com)))
- כל המשתמשים שהערך של extensionAttribute1 שלהם הוא "הנדסה" או "מכירות"
(&(objectCategory=user)(|(extensionAttribute1=Engineering)(extensionAttribute1=Sales)))
- אחזור רקורסיבי של חברי הקבוצה שמשויכים לקבוצה שצוינה ב-Active Directory
(&(objectCategory=person)(objectClass=user)(memberOf:1.2.840.113556.1.4.1941:=CN=MyGroup,CN=Users,DC=domain,DC=com))
- שאילתה על חברות בקבוצה עם ObjectGUID ב-Active Directory. הערך ההקסדצימלי של המאפיין ObjectGUID של קבוצה הוא 4e542fe785b1bb274e542fe785b1bb27
(&(objectCategory=person)(objectClass=user)(memberOf=GUID=4e542fe785b1bb274e542fe785b1bb27))
אופטימיזציה של כללי החיפוש
כדי לשפר את ביצועי הסנכרון, אפשר לבצע אופטימיזציה של כללי החיפוש.
| דוגמה 1: הצגת משתמשים חוזרים עם כתובת אימייל | תרחיש לדוגמה |
|---|---|
| כלל חיפוש משתמשים: (&(objectClass=user)(objectCategory=person)(mail=*)) | במקום להשתמש בכלל בסיסי כדי להחזיר את כל המשתמשים, כדאי להשתמש בשאילתה mail= כדי לשפר את הכלל.
הסנכרון מתבצע בצורה יעילה יותר כי שרת ה-LDAP ו-GCDS לא צריכים לעבד רשומות שבכל מקרה יימחקו. |
| דוגמה 2: החזרת משתמשים עם כתובת אימייל שתואמת למחרוזת | תרחיש לדוגמה |
|---|---|
| כלל חיפוש משתמשים: (&(objectClass=user)(objectCategory=person)(mail=*)(!(mail=sales*))) | במקום להשתמש בכלל בסיסי ובכלל החרגה כדי להחזיר את כל המשתמשים עם כתובת אימייל שלא כוללת את המילה sales, השתמשו בכלל אופטימלי עם מחרוזת תואמת.
שרת ה-LDAP ו-GCDS לא צריכים לעבד רשומות שבכל מקרה יימחקו. בנוסף, לא צריך להגדיר כלל החרגה או להביא בחשבון את רמת העדיפות. |
נושא קשור
Google, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.