Monosign dizinleri ve kullanıcı kaynakları
Neler değişti
Her içerik güncellemesi sürümlenir. Bir sürümü seçerek öncekiyle karşılaştırın.
Sürüm 2 → 3
Güncelleme3 ders güncellendi
İçerik güncellemesi. Kayıtlı öğrenciler bilgilendirildi.
Monosign'da iki bileşen dizinlerle konuşur ve ikisi ters yönde çalışır. Yanlış olanı seçmek en sık yapılan tasarım hatasıdır.
| Gereksinim | Bileşen |
| --- | --- |
| Kullanıcıları ve grupları bir dizinden Monosign'a **almak** ve dizin parolasıyla oturum açtırmak | **Kullanıcı kaynağı** (Directory → `Sources`) |
| Yalnızca LDAP konuşan bir sistemin Monosign kimliklerine **karşı** kimlik doğrulaması | **LDAP gateway** |
Kullanıcı kaynağı içeri alır. LDAP gateway dışarı sunar. Gateway bir uygulama adına Active Directory'yi okumaz, kaynak da LDAP bind isteklerine yanıt vermez.
::diagram dir-source-vs-gateway
::shot dir-sources-list
### Kaynak oluşturmak
`Add New`, `User Provider` (`Active Directory or LDAP` ya da başka bir sağlayıcı) ve bir `Title` ister. Kaydettikten sonra sağlayıcı salt okunur metin olarak görünür. Yanlış sağlayıcıyla oluşturulmuş bir kaynak düzeltilemez: yeni bir kaynak oluşturur, eskisini kaldırırsınız. Bu değişimi etkilenen kullanıcılarla kararlaştırılmış bir zaman aralığına planlayın; eski kaynak kaldırıldığında onun üzerinden oturum açamazlar ve yeni kaynağın ilk senkronizasyonu bitmeden onu kullanamazlar.
### `Remove` ne yapar
Kaynağı kaldırmak geçici silmedir. Kaynak `Removed` durumuyla ve geçmişiyle saklanır, tüm kullanıcıları `Removed` yapılır ve grupları kaldırılır. Kaynağın kullanıcıları oturum açma yolunu kaybeder ve sayfa bunu geri alma imkânı sunmaz.
### Ayarları kaydetmek
Sağlayıcı ayar sayfası bütün olarak kaydedilir; her kayıt saklanan tüm ayarların yerini alır.
- Bind parolası gibi şifreli alanlar sayfayı açtığınızda boş görünür. Boş bırakmak saklanan gizli değeri **korur**; bir şey yazmak onu değiştirir.
- Kaydederken boş olan diğer her alan **temizlenir**. Filtre gibi isteğe bağlı bir alan boş görünüyor ama eskiden değer taşıyorsa, kaydetmeden önce yeniden girin.
### Zamanlama
`Enable Auto Sync` zamanlanmış senkronizasyonu açar. `Full Sync Cron` varsayılan olarak gece yarısı, `Sync Cron` her dakikadır. `Full Sync Completed` seçeneğini kapatmak bir sonraki çalışmayı tam senkronizasyon olmaya zorlar. Sayfalardan bir çalışmayı başlatamaz, durduramaz veya iptal edemezsiniz.
> İpucu: Her değişiklikten sonra ayar sayfasında `Test` çalıştırın. Bağlantı adımlarını tek tek yürütür; yanlış bir sunucu veya kimlik bilgisi bir sonraki zamanlanmış senkronizasyondan önce ortaya çıkar.
Tek bir konnektör, `Active Directory / LDAP User Provider`, Microsoft Active Directory'ye ve desteklenen diğer LDAP dizinlerine hizmet eder. Bu türden bir kaynak dört iş yapar:
- Kullanıcıları, grupları ve profilleri **senkronize eder**. Başka grupların üyesi olan gruplar bu ilişkiyi Monosign'da da korur.
- Kullanıcıları yazdıkları parolayla dizine karşı **doğrular**.
- Kaynak izin veriyorsa (`Allow Password Change`) dizinde **parola değiştirir**.
- **Hesap kilidi açma** isteklerini dizinde yerine getirir.
"AD'den içeri al, kişiler AD parolasını Monosign üzerinden değiştirsin ve hesabının kilidini açsın" gibi bir gereksinimin yanıtı bu yüzden kullanıcı kaynağıdır, başka bir şey değil.
### Bağlantı ayarları
- **`Domain IP or Host`**: virgül veya noktalı virgülle ayrılmış bir ya da daha fazla sunucu. `Find` kalan ayarları sunucudan keşfeder.
- **`Use Secure Connection`**: LDAPS'i açar ve portu 389'dan 636'ya taşır.
- **`Domain UserName` ve `Domain Password`**: gündelik bind hesabı. `Use Privileged User`, parola sıfırlama gibi daha fazla yetki isteyen işlemler için ikinci bir hesap ekler.
::shot dir-source-settings
### Etki alanını değil, etki alanı denetleyicilerini yazın
`Domain IP or Host` alanındaki bir etki alanı adı tek bir sunucu değildir. Her etki alanı denetleyicisi bu ada kayıtlıdır; bu yüzden her bağlantı farklı bir denetleyiciye düşebilir. Sağlıksız tek bir denetleyici, oturum açmaların bir kısmını görünür bir örüntü olmadan başarısız kılar ve yeniden deneme başarılı olur. Tek bir girdi ayrıca sunucu yük devrini kapatır; yük devri için en az iki, pratikte üç girdi gerekir. Etki alanı denetleyicilerini açıkça listeleyin.
::diagram dir-domain-controllers
### Sertifikalar
Güvenli bind'ler TLS hatasıyla başarısız olduğunda, örneğin etki alanı denetleyicileri sertifikalarını yeniledikten sonra, canlı ortamdaki çözüm sertifikayı veren CA'yı kurmak ya da sabitlenmiş `SSL Certificate Thumbprint` değerini güncellemektir. `Skip SSL Certificate Validation` değerini `Yes` yapmak, kaynaktaki her oturum açma için sertifika hatalarını susturur. Bunu yalnızca kısa bir teşhis için kullanın.
### Senkronizasyon boyutu
Her çalışmayı iki ayar sınırlar: `Limit` (varsayılan 500.000 nesne) ve `Page Size` (varsayılan 1.000). `Limit` değerinden büyük bir dizin **kısmen ve hiçbir hata vermeden** senkronize olur. Tam senkronizasyon temiz bitiyor ama dizindekinden az kullanıcı görünüyorsa önce `Limit` değerine bakın ve yükseltin.
> Not: Monosign profil özniteliklerini dizine geri yazmaz. Profil verisi yalnızca dizinden Monosign'a akar.
### Bir senkronizasyonun iki kaydı
Her kaynak iki görünüm sunar ve bunlar farklı sorulara yanıt verir.
| Görünüm | Ne olduğu | Sınırları |
| --- | --- | --- |
| `Sync log` | Çalışan senkronizasyonun canlı akışı | Yalnızca sayfa açıkken tutulur; kaynak başına en fazla 2.000 satır ve 20 çalışma |
| `Sync history (stored)` | Kalıcı kayıt | 60 gün saklanır |
Canlı `Sync log` veri merkezine özeldir. İki veri merkezli bir kurulumda, diğer taraftaki bir servis düğümünün yürüttüğü çalışma sayfanızda hiç görünmez, sonradan da görünmez; kaynağın durumu yine de `Finished` olur. Çalışma yerel olduğunda tam senkronizasyonlar da canlı günlüğe yazar. Satır bekliyor ama görmüyorsanız `Sync history (stored)` kaydını açın ya da senkronizasyonu yürüten veri merkezindeki Management'ı açın.
### Bir dizin grubunun üyeliğini değiştirmek
Bir dizin kaynağından gelen grup dizine aittir. Monosign'da bir kullanıcıyı böyle bir gruba atadığınızda:
1. Monosign yerel bir üyelik yazmaz. `Group membership queued for provisioning to the source directory.` iletisini görürsünüz.
2. Sağlama kuyruğu üyeliği dizine yazar; bu normalde yaklaşık 10 saniye içinde olur.
3. Üye, grubun `Assigned Objects` bölümünde ancak **bir sonraki içe doğru senkronizasyon** onu içeri aldıktan sonra görünür.
::diagram dir-directory-group-write
Yani dizinde üye görünürken `Assigned Objects` bölümünün hâlâ boş olması, 2. ve 3. adımlar arasında beklenen durumdur. Üç şeyi akılda tutun:
- `queued`, isteğin kaydedildiği anlamına gelir; dizinin onu kabul ettiği anlamına gelmez.
- Kaynağın `Provision` ve `Deprovision` onay kutularına bu yolda bakılmaz.
- Yalnızca var olan bir grubun üyeliği yazılır. Monosign grubu dizinde oluşturmaz.
Başarısız bir yazma yeniden denenir. 20. başarısızlıktan sonra satır `Maximum retry count (20) reached, no action taken!` ile kapatılır ve bir daha denenmez; dizin sağlığına kavuştuğunda atamanın yeniden yapılması gerekir.
### Birden fazla kaynakta bulunan kullanıcı adları
İkinci bir dizin bağladıktan sonra bazı kullanıcı adları ikisinde de bulunabilir. Directory → Users → `Duplicated Users`, birden fazla kaynakta bulunan her kullanıcı adını, kaynak başına bir sütun ve bir `Duplication` sayısıyla listeler. Yalnızca kullanıcı adının tam değeri karşılaştırılır; e-posta veya profil değerleri karşılaştırılmaz.
Sayfa salt okunur bir rapordur. Birleştirme, kaldırma ya da açma eylemi yoktur; her yinelenmeyi kullanıcı sayfalarında çözersiniz. Sonucun tamamını tek seferde yükler; çok büyük dizinlerde bu uzun sürebilir.
> İpucu: Yeni bir kaynağın ilk senkronizasyonunun hemen ardından, kullanıcılar oturum açmaya başlamadan önce `Duplicated Users` sayfasına bakın.
::shot dir-duplicated-users