Handbuch für Sicherheit > Benutzer und Gruppen > Benutzer verwalten
  

Benutzer verwalten

Sie können Benutzer in der nativen Sicherheitsdomäne erstellen, bearbeiten und löschen. Die Eigenschaften von Benutzerkonten in der LDAP-Sicherheitsdomäne können Sie jedoch nicht löschen oder bearbeiten. Sie können auch die Benutzerzuweisungen für LDAP-Gruppen nicht ändern.
Sie können Rollen und Berechtigungen zu einem Benutzerkonto in der nativen oder in einer LDAP-Sicherheitsdomäne zuweisen. Die einem Benutzer zugewiesenen Rollen und Berechtigungen legen die Aufgaben fest, die der Benutzer innerhalb der Informatica-Domäne durchführen kann.
Sie können ein Benutzerkonto auch entsperren.

Erstellen nativer Benutzer

Auf der Registerkarte Sicherheit können Sie native Benutzer hinzufügen, bearbeiten oder löschen.
    1Klicken Sie im Administrator-Tool auf die Registerkarte "Sicherheit".
    2Klicken Sie im Menü "Sicherheitsaktionen" auf "Benutzer erstellen".
    3Geben Sie folgende Details für den Benutzer ein:
    Eigenschaft
    Beschreibung
    Anmeldename
    Anmeldename für das Benutzerkonto. Der Anmeldename für ein Benutzerkonto muss innerhalb der Sicherheitsdomäne, zu der er gehört, eindeutig sein.
    Beim Namen wird nicht zwischen Groß- und Kleinschreibung unterschieden und er darf nicht mehr als 128 Zeichen umfassen. Er darf weder einen Tabulator noch ein Zeilenendezeichen noch folgende Sonderzeichen enthalten:
    , + " \ < > ; / * % ? &
    Der Name kann ein ASCII-Leerzeichen enthalten, jedoch nicht als erstes oder letztes Zeichen. Alle anderen Leerzeichen sind nicht zulässig.
    Passwort
    Passwort für das Benutzerkonto. Das Passwort kann zwischen 1 und 80 Zeichen umfassen.
    Passwort bestätigen
    Geben Sie das Passwort zur Bestätigung erneut ein. Sie müssen das Passwort noch einmal eingeben. Das Passwort darf nicht mit Kopieren und Einfügen eingegeben werden.
    Vollständiger Name
    Vollständiger Name für das Benutzerkonto. Der vollständige Name darf folgende Sonderzeichen nicht enthalten:
    < > “
    Beschreibung
    Beschreibung des Benutzerkontos. Die Beschreibung darf maximal 765 Zeichen umfassen und keines der folgenden Sonderzeichen enthalten:
    < > “
    E-Mail
    E-Mail-Adresse des Benutzers. Die E-Mail-Adresse darf keines der folgenden Sonderzeichen enthalten:
    < > “
    Geben Sie die E-Mail-Adresse im Format UserName@Domäne ein.
    Telefon
    Telefonnummer des Benutzers. Die Telefonnummer darf keines der folgenden Sonderzeichen enthalten:
    < > “
    4Klicken Sie auf "OK", um das Benutzerkonto zu speichern.
    Nachdem Sie ein Benutzerkonto erstellt haben, werden in der Detailübersicht die Eigenschaften des Benutzerkontos und die Gruppen, denen der Benutzer zugeordnet ist, angezeigt.

Allgemeine Eigenschaften der nativen Benutzer bearbeiten

Sie können den Anmeldename eines nativen Benutzers nicht ändern. Sie können das Passwort und andere Details eines nativen Benutzerkontos ändern.
    1Klicken Sie im Administrator Tool auf die Registerkarte Sicherheit.
    2Im Abschnitt Benutzer des Navigators wählen Sie ein natives Benutzerkonto aus und klicken auf Bearbeiten.
    3Um ein anderes Passwort festzulegen, wählen Sie Passwort ändern.
    Auf der Registerkarte Sicherheit werden die Einträge in den Feldern Passwort und Passwort bestätigen gelöscht.
    4Geben Sie ein neues Passwort ein und bestätigen Sie dieses.
    5Ändern Sie den kompletten Namen, die Beschreibung, E-Mail und Telefon wie erforderlich.
    6Klicken Sie auf OK, um die Änderungen zu speichern.

Zuweisen von nativen Benutzern zu nativen Gruppen

Weisen Sie native Benutzer einer nativen Gruppe in der Registerkarte Sicherheit zu.
    1Klicken Sie im Administrator Tool auf die Registerkarte Sicherheit.
    2Wählen Sie im Abschnitt „Benutzer“ des Navigators ein natives Benutzerkonto aus und klicken Sie auf Bearbeiten.
    3Klicken Sie auf die Registerkarte Gruppen.
    4Um einen nativen Benutzer einer Gruppe zuzuweisen, wählen Sie einen Gruppennamen in der Spalte „Alle Gruppen“ aus und klicken auf Hinzufügen.
    Wenn in der Spalte Alle Gruppen keine verschachtelten Gruppen angezeigt werden, erweitern Sie jede Gruppe. Dann werden alle verschachtelten Gruppen angezeigt.
    Sie können einen nativen Benutzer mehreren Gruppen zuweisen. Mit der Strg- oder der Umschalttaste können Sie mehrere Gruppen auf einmal auswählen.
    5Um einen nativen Benutzer aus einer Gruppe zu entfernen, wählen Sie eine Gruppe in der Spalte „Zugewiesene Gruppen“ aus und klicken auf Entfernen.
    6Klicken Sie auf OK, um die Gruppenzuordnungen zu speichern.

Zuweisen von LDAP-Benutzern zu nativen Gruppen

Sie können LDAP-Benutzerkonten nativen Gruppen zuweisen. Die Zuweisung von LDAP-Benutzerkonten zu LDAP-Gruppen kann nicht geändert werden.
    1Klicken Sie im Administrator Tool auf die Registerkarte Sicherheit.
    2Wählen Sie im Abschnitt „Gruppen“ des Navigators eine native Gruppe aus, und klicken Sie auf Bearbeiten.
    3Klicken Sie auf die Registerkarte Benutzer.
    4Um einen LDAP-Benutzer einer Gruppe zuzuweisen, wählen Sie einen LDAP-Benutzer in der Spalte „Alle Benutzer“ aus, und klicken Sie dann auf Hinzufügen.
    5Um einen LDAP-Benutzer aus einer Gruppe zu entfernen, wählen Sie einen LDAP-Benutzer in der Spalte „Zugewiesene Benutzer“ aus, und klicken Sie dann auf Entfernen.
    6Klicken Sie auf OK, um die Benutzerzuweisungen zu speichern.

Aktivieren und Deaktivieren von Benutzerkonten

Benutzer mit aktiven Konten können sich bei Anwendungs-Clients anmelden und Aufgaben basierend auf ihren Berechtigungen ausführen. Wenn Sie Benutzer vorübergehend vom Zugriff auf Anwendungs-Clients ausschließen möchten, können Sie deren Konten deaktivieren. Sie können Benutzerkonten in der nativen oder einer LDAP-Sicherheitsdomäne aktivieren und deaktivieren. Bei deaktiviertem Benutzerkonto kann sich der Benutzer nicht bei den Anwendungs-Clients anmelden.
Um ein Benutzerkonto zu deaktivieren, wählen Sie ein Benutzerkonto im Abschnitt Benutzer des Navigators und klicken Sie auf Deaktivieren. Wählen Sie ein deaktiviertes Benutzerkonto aus, wird auf der Registerkarte Sicherheit eine Meldung eingeblendet, die anzeigt, dass das Benutzerkonto deaktiviert ist. Ist ein Benutzerkonto deaktiviert, ist die Schaltfläche Aktivieren verfügbar. Klicken Sie auf Aktivieren, um das Benutzerkonto zu aktivieren.
Das Standard-Administratorkonto können Sie nicht deaktivieren.
HINWEIS: Wenn der Service Manager ein Benutzerkonto aus dem LDAP-Verzeichnisdienst importiert, wird das LDAP-Attribut, das besagt, dass ein Benutzerkonto aktiviert oder deaktiviert ist, nicht mit importiert. Der Service Manager importiert alle Benutzerkonten als aktivierte Benutzerkonten. Falls Sie nicht möchten, dass der Benutzer auf Anwendungs-Clients zugreift, müssen Sie das LDAP-Benutzerkonto im Administrator-Tool deaktivieren. Bei der späteren Synchronisierung mit dem LDAP-Server behält das Benutzerkonto den aktivierten oder deaktivierten Statussatz im Administrator-Tool bei.

Native Benutzer löschen

Um ein natives Benutzerkonto zu löschen, klicken Sie das Benutzerkonto im Abschnitt Benutzer des Navigators an und wählen Sie Benutzer löschen. Bestätigen Sie, dass Sie das Benutzerkonto löschen möchten.
Das Standardadministratorkonto können Sie nicht löschen. Wenn Sie sich am Administrator Tool anmelden, können Sie Ihr Benutzerkonto nicht löschen.

Benutzer des PowerCenters löschen

Wenn Sie einen Benutzer löschen, der Objekte im PowerCenter Repository besitzt, entfernen Sie die Eigentumsrechte, die der Benutzer in Bezug auf Ordner, Verbindungsobjekte, Bereitstellungsgruppen, Beschriftungen oder Abfragen hat. Nach dem Löschen des Benutzers, wird der Standardadministrator zum Eigentümer aller Objekte, die dem entfernten Benutzer gehört haben.
Wenn Sie die Historie eines versionierten Objekts anzeigen, das zuvor von einem gelöschten Benutzer besessen wurde, erscheint der Name des gelöschten Benutzers vor dem Wort "gelöscht".

Benutzer aus Metadata Manager löschen

Wenn Sie einen Benutzer löschen, der eigene Tastenkombinationen und Ordner besitzt, verschiebt der Metadata Manager den persönlichen Ordner des Benutzers in einen Ordner namens "Gelöschte Benutzer", die zum Standardadministrator gehören. Der persönliche Ordner eines gelöschten Benutzers enthält alle Tastenkombinationen und Ordner, die vom betreffenden Benutzer erstellt wurden. Alle gemeinsamen Ordner bleiben gemeinsam, nachdem ein Benutzer gelöscht wurde.
Wenn der Ordner "Gelöschter Benutzer" bereits einen Ordner mit demselben Benutzernamen enthält, nennt der Metadata Manager den zusätzlichen Ordner "Kopien (n) von <Benutzername>."

LDAP-Benutzer

LDAP-Benutzer lassen sich im Administrator Tool nicht hinzufügen, bearbeiten oder löschen. Sie müssen die LDAP-Benutzerkonten im LDAP-Verzeichnisdienst verwalten.

Entsperren eines Benutzerkontos

Der Domänenadministrator kann ein Benutzerkonto entsperren, das für eine Domäne gesperrt ist. Wenn der Benutzer ein nativer Benutzer ist, kann der Administrator den Benutzer auffordern, sein Passwort zurückzusetzen, bevor dieser sich erneut an der Domäne anmeldet.
Der Benutzer muss über eine in der Domäne konfigurierte gültige E-Mail-Adresse verfügen, um eine Benachrichtigung zu erhalten, wenn sein Benutzerpasswort zurückgesetzt wird.
Wenn der Benutzer für den LDAP-Authentifizierungsserver gesperrt wird, muss der LDAP-Administrator das Benutzerkonto im LDAP-Server entsperren.
    1Klicken Sie im Administrator-Tool auf die Registerkarte Sicherheit.
    2Klicken Sie auf Kontoverwaltung.
    Die Seite „Kontoverwaltung“ zeigt die folgenden Listen gesperrter Benutzer an:
    Gesperrte native Benutzer
    Enthält Benutzerkonten in der nativen Sicherheitsdomäne, die gesperrt sind.
    Gesperrte LDAP-Benutzer
    Enthält Benutzerkonten in LDAP-Sicherheitsdomänen, die gesperrt sind.
    3Wählen Sie die Benutzer aus, die entsperrt werden sollen.
    4Wählen Sie Benutzername entsperren und Passwort zurücksetzen aus, um ein neues Passwort für den Benutzer zu generieren, nachdem Sie das Konto entsperrt haben.
    Der Benutzer erhält das neue Passwort per E-Mail.
    5Klicken Sie auf die Schaltfläche Ausgewählte Benutzer entsperren.

Vergrößern des Systemspeichers für eine Vielzahl von Benutzern

Die Bearbeitungszeit für einen Neustart der Informatica-Domäne, die LDAP-Benutzersynchronisierung und einige infacmd und infasetup Befehle steigt proportional zur Anzahl der Benutzer in der Informatica-Domäne.
Die Anzahl der Benutzer wirkt sich auf die Bearbeitungszeit folgender Befehle aus:
Möglicherweise müssen Sie bei einer Vielzahl von Benutzern in der Domäne den von Informatica-Dienste, infasetup und infacmd verwendeten Systemspeicher vergrößern. Konfigurieren Sie zum Vergrößern der maximalen Heap-Größe folgende Umgebungsvariablen und geben Sie den Wert in Megabyte an:
Beispiel: Um 2048 MB Systemspeicher unter UNIX für die Umgebungsvariable INFA_JAVA_OPTS zu konfigurieren, müssen Sie folgenden Befehl verwenden:
setenv INFA_JAVA_OPTS "-Xmx2048m"
Unter Windows konfigurieren Sie die Variablen als Systemvariablen.
Die folgende Tabelle listet die Minimalanforderungen für die maximalen Heap-Größeneinstellungen auf, basierend auf der Anzahl der Benutzer und Dienste in der Domäne:
Anzahl der Domänenbenutzernamen
Maximale Heap-Größe
(1-5 Dienste)
Maximale Heap-Größe
(6-10 Dienste)
Bis zu 1.000
512 MB (Standard)
1024 MB
5,000
2048 MB
3072 MB
10,000
3072 MB
5120 MB
20,000
5120 MB
6144 MB
30,000
5120 MB
6144 MB
HINWEIS: Die Einstellungen für die maximale Heap-Größe in der Tabelle basieren auf der Anzahl der Anwendungsdienste in der Domäne.
Damit die Änderungen wirksam werden, starten Sie den Knoten bitte nach dem Konfigurieren dieser Umgebungsvariablen neu.

Anzeigen von Benutzeraktivität

Verwenden Sie die Registerkarte „Protokolle“ des Administrator Tools, um die Benutzeraktivitätsprotokolle anzuzeigen. Zeigen Sie Benutzeraktivitätsprotokolle an, um Anmeldeversuche aus Informatica-Clientanwendungen zu überprüfen. Sie können die Protokolle auch anzeigen, um festzustellen, wann ein Benutzer Dienste, Knoten, Benutzer, Gruppen oder Rollen erstellt, aktualisiert oder entfernt hat.
Weitere Informationen zu Benutzeraktivitätsprotokollen und der Registerkarte „Protokolle“ des Administrator Tools finden Sie im Informatica Administrator-Handbuch.
Sie können auch den Befehl „infacmd isp getUserActivityLog“ verwenden, um Daten des Benutzeraktivitätsprotokolls anzuzeigen. Der Befehl „infacmd isp getUserActivityLog“ verwendet die folgende Syntax:
infacmd isp getUserActivityLog -dn domain_name -un user_name -pd password
Der Befehl „infacmd isp getUserActivityLog“ erfordert die Administratorrolle oder Mitgliedschaft in der Administratorgruppe. Weitere Informationen über den Befehl „infacmd isp getUserActivityLog“ finden Sie in der Informatica-Befehlsreferenz.
Die Benutzeraktivitätsprotokolle enthalten erfolgreiche und fehlgeschlagene Anmeldeversuche von Informatica-Clients. Wenn der Client benutzerdefinierte Eigenschaften für Anmeldeabfragen festlegt, enthalten die Protokolldaten die benutzerdefinierten Eigenschaften.
HINWEIS: Die Benutzeraktivitätsprotokolle enthalten keine Benutzeranmeldeversuche in einer Domäne, die zur Verwendung von Kerberos-Authentifizierung konfiguriert ist.
Die Benutzeraktivitätsdaten umfassen die folgenden Eigenschaften für alle Anmeldeversuche eines Informatica-Clients:
Sie können Protokollereignisse basierend auf den folgenden optionalen Filtern anzeigen:
Sie können die Protokollereignisse in der Eingabeaufforderung anzeigen oder die Ereignisse in einem der folgenden Formate in eine Datei schreiben:
Wenn Sie ein Protokoll im binären Format drucken, können Sie den Befehl „infacmd isp convertUserActivityLog“ verwenden, um eine Konvertierung in das Text- oder XML-Format durchzuführen. Weitere Informationen zur Verwendung des Befehls „infacmd isp convertUserActivityLog“ finden Sie in der Informatica-Befehlsreferenz.

Benutzeraktivitätscodes

Benutzeraktivitätsprotokolle enthalten Codes, die jede erfolgreiche oder fehlgeschlagene Aktivität angeben.
Zu den gültigen Aktivitätscodes gehören:

Filter für Benutzeraktivitätsprotokolle

Verwenden Sie einen oder mehrere Filter, um Protokollereignisse für bestimmte Benutzer, Datumsangaben oder Ereignisse abzurufen.
Verwenden Sie einen oder mehrere der folgenden Parameter für den infacmd isp getUserActivityLog-Befehl, um Protokollereignisse zu filtern:
Benutzer und Sicherheitsdomänen
Optional. Die Liste der Benutzer, für die Sie Protokollereignisse erhalten möchten. Trennen Sie mehrere Benutzer mit einem Leerzeichen. Verwenden Sie das Platzhaltersymbol (*), um Protokolle für mehrere Benutzer in einer einzelnen Sicherheitsdomäne oder in allen Sicherheitsdomänen anzuzeigen. Beispiel: Die folgenden Zeichenfolgen sind gültige Werte für diese Option:
user:Native
"user:*"
"user*"
"*_users_*"
"*:Native"
Fügen Sie dem getUserActivityLog-Befehl den folgenden Parameter hinzu, um Protokollereignisse basierend auf dem Benutzer oder der Sicherheitsdomäne zu filtern:
-usrs <UserName>:<SecurityDomain>
Beispiel: Fügen Sie den folgenden Parameter hinzu, um Benutzeraktivität für einen Benutzer namens User1 auf allen Sicherheitsdomänen abzurufen:
-usrs "User1:*"
Datum und Uhrzeit
Optional. Der Datumsbereich, für den Sie Protokollereignisse anzeigen möchten.
Wenn Sie ein Enddatum eingeben, das vor dem Startdatum liegt, gibt der Befehl keine Protokollereignisse zurück.
Geben Sie das Datum und die Uhrzeit in einem der folgenden Formate ein:
Fügen Sie dem getUserActivityLog-Befehl den folgenden Parameter hinzu, um das Protokoll nach Start- und Enddatum zu filtern:
-sd <start_date> -ed <end_date>
Beispiel: Fügen Sie den folgenden Parameter hinzu, um Benutzeraktivität zwischen dem 1. Januar 2014 und dem 3. Februar 2014 abzurufen:
-sd 01/01/2014 -ed 02/03/2014
Aktivitätscode
Optional. Gibt Protokollereignisse auf Basis des Aktivitätscodes zurück.
Verwenden Sie das Platzhaltersymbol (*), um Protokollereignisse für mehrere Aktivitätscodes abzurufen. Gültige Aktivitätscodes:
Fügen Sie dem getUserActivityLog-Befehl den folgenden Parameter hinzu, um nach Aktivitätscode zu filtern:
-ac <activity_code>
Beispiel: Fügen Sie den folgenden Parameter hinzu, um erfolgreiche Protokollereignisse abzurufen:
-ac CCM_10437
Wenn Sie das Platzhaltersymbol verwenden, setzen Sie das Argument in Anführungszeichen.
Aktivitätstext
Optional. Gibt die Protokollereignisse auf Basis einer im Aktivitätstext gefundenen Zeichenfolge zurück.
Fügen Sie dem getUserActivityLog-Befehl den folgenden Parameter hinzu, um nach Aktivitätstext zu filtern:
-atxt <activity_text>
Verwenden Sie das Platzhaltersymbol (*), um Protokolle für mehrere Ereignisse abzurufen. Beispiel: Der folgende Parameter gibt alle Protokollereignisse zurück, die „Dienst wird aktiviert“ in ihrer Beschreibung enthalten:
-atxt "*Enabling service*"
Wenn Sie das Platzhaltersymbol verwenden, setzen Sie das Argument in Anführungszeichen.
Chronologische Reihenfolge
Optional. Druckt Protokollereignisse in umgekehrter chronologischer Reihenfolge. Wenn Sie diesen Parameter nicht angeben, zeigt der Befehl Protokollereignisse in chronologischer Reihenfolge an.
Fügen Sie dem getUserActivityLog-Befehl den folgenden Parameter hinzu, um das aktuelle Ergebnis zuerst zu drucken:
-ro true

Schreiben und Anzeigen von Protokollereignissen der Benutzeraktivität

Sie können Protokollereignisse der Benutzeraktivität in eine Datei schreiben oder in der Befehlszeile anzeigen, wenn Sie den infacmd isp getUserActivityLog-Befehl verwenden. Schreiben Sie Protokollereignisse der Benutzeraktivität in den Formaten, in denen Sie die exportierte Protokollereignisdatei verwenden möchten.

Schreiben und Anzeigen von Protokolldateien

Um die Protokollereignisse der Benutzeraktivität in einer Datei zu schreiben, führen Sie den Befehl mit dem Ausgabedateiparameter-lo aus:
-lo output_file_name
Wenn Sie kein Ausgabeformat angeben, schreibt der Befehl die Protokollereignisse in eine Textdatei. Beispiel: Führen Sie den folgenden Befehl aus, um Protokollereignisse in eine Datei namens log.txt zu schreiben:
infacmd isp getUserActivityLog -dn TestDomain -un Administrator -pd Administrator -lo log.txt
Um ein Ausgabeformat anzugeben, führen Sie den Befehl mit dem Formatparameter -fm aus:
-fm output_format_BIN_TEXT_XML
Gültige Formate umfassen:
Wenn Sie Text oder XML als Ausgabeformat angeben, aber keine Ausgabedatei festlegen, zeigt der Befehl das Text- oder XML-Protokoll in der Befehlszeile an.
Wenn Sie „Binär“ als Ausgabeformat festlegen, müssen Sie einen Ausgabedateinamen angeben.
Beispiel: Führen Sie den folgenden Befehl aus, um Protokollereignisse in eine Datei namens log.xml zu schreiben:
infacmd isp getUserActivityLog -dn TestDomain -un Administrator -pd Administrator -fm xml -lo log.xml

Konvertieren von Protokolldateien

Wenn Sie den getUserActivity-Befehl zum Schreiben von Protokollereignissen in eine Binärdatei verwenden, können Sie die Datei ins Text- oder XML-Format konvertieren.
Führen Sie den folgenden Befehl aus, um ein von Ihnen abgerufenes binäres Protokoll ins Text- oder HTML-Format zu konvertieren:
infacmd isp convertUserActivityLogFile -in BIN_input_file_name -fm output_format_TEXT_XML -lo output_file_name
Beispiel: Führen Sie den folgenden Befehl aus, um eine binäre Eingabedatei namens log.bin ins XML-Format zu konvertieren und in einer Datei namens convertedLog.xml auszugeben:
infacmd isp convertUserActivityLogFile -in log.bin -fm XML -lo convertedLog.xml
Um das Protokoll in der Befehlszeile anzuzeigen, lassen Sie den Ausgabedateinamen weg.
Wenn Sie das Format weglassen, verwendet der Befehl das Textformat.