Daten mit LDAP importieren

Prozess

Informationen

• Nachfolgend wird die Möglichkeit beschrieben, Personen-, Benutzer- und Ressourcen-Daten mittels LDAP-Technologie aus einem Active Directory (AD) in PLANTA zu importieren. Über die AD-Gruppen steuert der Import außerdem, welchen Personenkreisen die Benutzer angehören und damit, welche Rechte und Menüpunkte sie erhalten.

• Dies stellt eine alternative Vorgehensweise zur manuellen Eingabe der Daten in Modulen des Panels Benutzer, Rollen, Ressourcen oder zum Import der Mitarbeiterdaten aus einer csv-Datei dar.

• Die nachfolgende Beschreibung setzt die Kenntnis der PLANTA-Stammdaten und der Rechtesteuerung über Personenkreise voraus. Die ersten beiden Punkte der Vorgehensweise werden in der Regel von einem IT-Administrator durchgeführt.

Voraussetzungen

• Um den LDAP-Import nutzen zu können, muss PLANTA secure lizenziert sein.

Vorgehensweise

1. Daten in AD vorbereiten.

   • Die Benutzer, die mit PLANTA Project arbeiten sollen, den entsprechenden AD-Gruppen zuordnen. Die Standard-Personenkreise für Mitarbeiter, Multiprojektleiter, Portfoliomanager und Abteilungsleiter sind im Lieferumfang bereits den AD-Gruppen CN=PLANTAProject_* zugeordnet.

2. Im Manager des PLANTA-Servers die notwendigen Anpassungen über die LDAP-Umgebungsvariablen vornehmen. Über den LDAP-Filter im Server wird über die Gruppen definiert, welche Mitarbeiter aus dem AD importiert werden sollen.

3. In PLANTA Project die Parameter vorkonfigurieren, die für die zu importierenden Personen gesetzt werden sollen. Hierzu

   • in PLANTA Project das Modul Personen im Panel Benutzer, Rollen, Ressourcen öffnen und in die Modulvariante LDAP-Import wechseln.

   • Über die Schaltfläche Konfiguration das Modul LDAP-Import: Konfiguration öffnen.

     • Im Bereich Standardeinstellungen die Werte für die zu importierenden Personen definieren.

     • Im Bereich Personenkreise für jeden Personenkreis, der über das AD gesteuert werden soll, folgende Felder pflegen:

       • LDAP Gruppe: AD-Gruppe (DN), deren Mitglieder der LDAP-Import diesem Personenkreis zuordnet.

       • Menüpunkte-Arbeitsgebiet und Menüpunkte-Priorität: Menüpunkte, die die Benutzer über diesen Personenkreis erhalten.

       • Startup-Makro und Startup-Makro-Priorität: Startup-Modul, das der Import neu angelegten Benutzern zuweist.

     • Welche Module, Menüpunkte und systemweiten Rechte ein Personenkreis vergibt, wird in den Modulen der Rechtesteuerung definiert.

     • Für Installationen im alten Design werden zusätzlich die Zuordnungen AD-Gruppe → Personenkreis (Alt) → Rolle im Modul Konfiguration (Alt) gepflegt. Das Modul ist nur im Customizer erreichbar, also nur für Benutzer mit Customizer-Rechten. Personenkreise (Alt) sind Zwischenelemente, mit deren Hilfe die AD-Gruppen mit PLANTA-Rollen gemappt werden. Über sie werden auch Objektberechtigung und Customizer-Rechte bestimmt (siehe Abschnitt "Parameter").

     • Details siehe die Beschreibung des Moduls LDAP-Import: Konfiguration.

4. Import durchführen.

   • Hierzu in der Modulvariante LDAP-Import im Modul Personen die Schaltfläche Importieren betätigen.

   • Im Anschluss an die Übernahme der Personendaten

     • gleicht der Import die Personenkreise mit LDAP Gruppe mit den AD-Gruppen der Benutzer ab: Benutzer erhalten alle Personenkreise, deren AD-Gruppe sie angehören, und verlieren Personenkreise, deren AD-Gruppe sie nicht mehr angehören. Jede Zuordnung und jeder Entzug wird protokolliert.

     • setzt der Import bei neu angelegten Benutzern und bei Benutzern, die erstmals mit dem AD verknüpft werden, das Startup-Modul. Maßgeblich ist das Startup-Makro des Personenkreises mit der höchsten Startup-Makro-Priorität; dabei zählen auch manuell zugeordnete Personenkreise. Hat keiner der Personenkreise ein Startup-Makro, erhält der Benutzer im neuen Design kein Startup-Modul und im alten Design Startup aller Rollenmodule (009A1W).

   • Läuft der Import erfolgreich durch, werden alle importierten Personen in der Modulvariante LDAP-Import des Moduls Personen angezeigt und können bearbeitet werden, siehe Punkt 5.

   • Kann ein einzelner Datensatz nicht verarbeitet werden, wird nur dieser übersprungen und protokolliert; alle anderen Benutzer werden weiterhin importiert. Tritt ein kritischer Fehler auf, erscheint die Meldung: "Während des Übertrags ist ein kritischer Fehler aufgetreten. Der Übertrag wird abgebrochen."

5. Daten nachbereiten und vervollständigen.

   • Da nicht alle Parameter durch den Import abgedeckt werden, weil sie z.B. nicht im Active Directory existieren oder für viele Benutzer unterschiedlich definiert werden sollen, müssen solche Parameter nach dem Import für alle importierten Personen manuell gesetzt werden. Hierzu siehe den Abschnitt "Nachbereitung".

     • Die Parameter können in den entsprechenden Standard-Modulen des Panels Benutzer, Rollen, Ressourcen bearbeitet werden.

   • Um die Personen zu kennzeichnen, für die die Nachbearbeitung erledigt wurde, die Checkbox Geprüft aktivieren. Die gekennzeichneten Personen werden nach dem Aktualisieren der Modulansicht nicht mehr in der Liste der importierten und noch zu bearbeitenden Personen aufgeführt.

Hinweise

• PLANTA empfiehlt, den LDAP-Import als einen Batch-Job einzurichten, der regelmäßig in gewissen Abständen läuft, um neue Personen automatisch nach PLANTA zu importieren oder die Aktualität der bestehenden Daten zu gewährleisten, z.B. bei Namensänderung etc.

• Bei einem erneuten Import werden nur die Parameter, die aus dem Active Directory kommen, also die im Abschnitt "Active Directory" aufgelisteten, upgedatet. Das Flag Geprüft wird dabei nicht zurückgesetzt, da die manuell bei der Nachbereitung des Imports definierten Parameter vom Update nicht betroffen sind. Das Startup-Modul bestehender Benutzer ändert der Import nicht; ein vom Benutzer selbst gewähltes Startup-Modul bleibt also erhalten.

• Änderungen der AD-Gruppenzugehörigkeit wirken nach dem nächsten LDAP-Import bei der nächsten Anmeldung des Benutzers.

• Wird eine Person importiert, die schon als Ressource und nur als Ressource in PLANTA Project vorhanden ist (gleiches Kürzel), kann die/der entsprechende Person/Benutzer/Stakeholder in PLANTA Project nicht angelegt werden und der Import wirft einen Fehler. Alle anderen Daten werden importiert (angelegt oder upgedatet).

• Ändert sich der Benutzername eines AD-Kontos (z. B. durch eine geänderte E-Mail-Adresse, aus der der Benutzername abgeleitet wird), ändert der LDAP-Import das Kürzel der zugeordneten Person mit der Funktion Personen-ID ändern auf den neuen Benutzernamen und aktualisiert die Person wie gewohnt. Dabei werden auch die Personenkreis- und Portfolio-Zuordnungen auf das neue Kürzel umgestellt. Ist der neue Benutzername in PLANTA bereits vergeben, existiert die zugeordnete Person nicht mehr oder ist eine Terminierung aktiv, wird nur dieser Datensatz übersprungen und als Fehler protokolliert.

• Werden für eine Person im Active Directory die PLANTA-Gruppen gelöscht, weil die Person z.B. innerhalb des Unternehmens die Abteilung wechselt und nicht mehr mit PLANTA Project arbeitet, oder wird der Account der Person gesperrt, weil die Person das Unternehmen verlässt, wird nach dem LDAP-Import für die entsprechende Person in PLANTA Project ein Austrittsdatum gesetzt und automatisch auf alle Eigenschaften (Stakeholder, Benutzer, Ressource) übertragen.

  • Ein gesperrter AD-Account, zu dem noch kein Benutzer in PLANTA Project existiert, wird nicht importiert.

  • Enthält ein Verzeichniseintrag das Attribut userAccountControl nicht (z. B. bei Nicht-AD-Verzeichnissen), wird der Account als aktiv (nicht gesperrt) behandelt.

• Folgende Werte werden für die aus dem AD importierten Personen ausschließlich durch die Angaben im AD bestimmt und können in PLANTA manuell nicht geändert werden:

  • Name, Vorname und die E-Mail-Adressen von Person, Benutzer und Stakeholder

  • die den Benutzern zugeordneten Rollen sowie die Parameter Customizer-Rechte, Objektberechtigung, Mit PLANTA pulse synchronisieren / Mit Jira synchronisieren

  • die Eintritts- und Austritts-Daten

  • die Zuordnung zu Personenkreisen mit LDAP Gruppe, z. B. im Modul Personenkreise Benutzern zuweisen. Personenkreise ohne LDAP Gruppe bleiben manuell pflegbar.

  Beim Versuch einer Änderung erscheint die Meldung "Änderungen an Werten, für die das Active Directory führend ist, nicht erlaubt." Änderungen sind im Active Directory vorzunehmen. Werden in der Zuordnung der Schnittstelle weitere AD-Attribute auf PLANTA-Felder abgebildet, müssen diese Felder per Customizing gesperrt werden, z. B. mit einem checkInput, der ppms.user_creation.person_is_ldap_locked() abfragt.

• Individuelle Änderungen an den Personenkreisen, z. B. eine geänderte LDAP Gruppe, bleiben bei einem Update erhalten.

Technik

Information

• Für den LDAP-Import existiert eine Standardschnittstelle (613df20b-075f-df4e-8031-e13b21411d9e). Diese beinhaltet ein Quell-, ein Pool- und ein Zielmodul und die Mappings, sowie die Validatoren, die dafür sorgen, dass bei einem Update von bestehenden Daten nur die Daten aus dem AD upgedatet werden.

• Die Schnittstelle kann auch direkt im PLANTA link verwendet werden, wenn z.B. nicht direkt in die echten Tabellen importiert werden soll, sondern zu Testzwecken erst in den Pool (z.B. um die Daten zu prüfen).

Parameter

Active Directory

Folgende Felder werden mit den Daten aus Active Directory gefüllt bzw. aktualisiert:

Konfiguration

Folgende Felder werden im PLANTA-Konfigurationsmodul (LDAP-Import: Konfiguration) vor dem Import konfiguriert:

Nachbereitung

Folgende Felder müssen nach dem Import zusätzlich manuell für alle Personen gesetzt werden: