您可以使用排除规则或查询来控制 Google Cloud Directory Sync (GCDS) 可以查看和更新哪些内容。
排除规则和查询之间的区别
- 使用排除规则,您可以在同步时省略 LDAP 目录数据和/或 Google 帐号数据。举例来说,如果您使用排除规则来省略某个用户、个人资料或群组,那么 GCDS 的行为就像同步过程中不存在该用户、个人资料或群组一样。
- 要防止 GCDS 删除或暂停用户,您可以使用包含 Google 帐号数据的查询来从同步中排除 Google 用户。如果您有大量用户,那么查询效率要高于 GCDS 加载所有用户,然后使用排除规则来过滤您不想同步的用户。
规则和查询的适用情形
数据类型 | 请考虑使用… | 如果不行,请使用… |
---|---|---|
LDAP 目录服务器中不希望在自己的 Google 帐号中存在的实体 | LDAP 搜索规则 | LDAP 排除规则 |
您 Google 帐号中不希望暂停或删除的用户 | 用户搜索查询 | 如果查询语法不支持您所需的过滤条件类型,请使用 Google 排除规则。 |
应保留在 Google 帐号中但 LDAP 目录服务器中不存在的用户以外的实体(例如群组、组织部门或日历资源) | Google 排除规则 |
添加 Google 用户搜索查询
- 在配置管理器中,点击 Google 网域配置 排除规则。
- 对于用户搜索查询,请按照搜索用户中的搜索指南添加规则。
使用排除规则
添加、删除或更改规则的优先级如需添加规则,请执行以下操作:
- 在“Exclusion Rules”(排除规则)标签页上,点击 Add Exclusion Rule(添加排除规则)。
- 完成以下选项的设置:
- Type(类型):从下拉菜单中指定要排除的数据类型。
- Match type(匹配类型):指定过滤器使用的规则类型。根据需要,从菜单中选择相应选项:
- Exact match(完全匹配):数据必须与规则完全匹配才能被排除。
- Substring match(子字符串匹配):数据中必须包含规则的文本,即规则的文本是数据的一个子字符串,这样数据才能被排除。
- Regular expression(正则表达式):数据必须匹配指定的正则表达式才能被排除。
- 排除规则 - 为规则输入匹配字符串或正则表达式。
- 点击确定。
系统会按照规则在表格中的顺序来应用这些规则。要更改顺序,请执行以下操作:
- 在 Exclusion Rules(排除规则)标签页上,点击相应规则。
- 点击向上或向下箭头以提高或降低优先级。
如需删除规则,请执行以下操作:
- 在 Exclusion Rules(排除规则)标签页上,点击相应规则。
- 点击 X。
如果您的 LDAP 目录服务器中有数据与您的搜索规则相匹配,但这些数据不应添加到 Google 网域中,则可以使用 LDAP 排除规则。这样在同步时就可以将这些数据排除在外。
组织部门
排除规则的用途 | 您的 LDAP 服务器中有组织部门与您的搜索规则相匹配,但您不希望将这些组织部门添加到 Google 网域中。 |
排除类型 | 组织部门 DN
根据要排除的组织部门的标识名 (DN) 来执行排除规则。 |
示例 | 由于两个办公室合并,某些组织部门已不再使用。不再使用的组织部门的 DN 中均包含“stpaul”字样。
|
用户
排除规则的用途 | 您的 LDAP 目录服务器中有用户与您的搜索规则相匹配,但您不希望相应用户被添加到 Google 网域中。 |
排除类型 | 指定要排除的 LDAP 数据。
|
示例 | 为已选择退出 Google 网域的每位用户分别添加一条规则,以在同步时将这些用户排除在外。第一条规则:
第二条规则:
|
群组
排除规则的用途 | 您的 LDAP 服务器中有条目与邮寄名单规则相匹配,但您不希望在 Google 网域中也将这些条目作为邮寄名单。 |
排除类型 | 指定要排除的 LDAP 数据。
|
示例 | 由于两个临近的办公室合并,某些邮寄名单已不再使用。不再使用的列表的地址中均包含“stpaul”字样。
|
用户个人资料
排除规则的用途 | 您的 LDAP 服务器中有一些用户个人资料信息是您不希望同步到 Google 网域的。 |
示例 | 有些打印机被列为 LDAP 用户,并且与指定的 LDAP 查询相匹配。所有打印机的名称中均包含“printer”一词,因此您可以创建查找此子字符串的规则。
|
共享的联系人
排除规则的用途 | 您的 LDAP 目录服务器中有联系人与您的搜索规则相匹配,但您不希望相应联系人被添加到 Google 网域中。 |
示例 | LDAP 服务器中大约列出了 500 个测试用户,但这些用户仅供内部测试之用。所有测试用户都遵循相同的名称格式:internal-testX,其中 X 表示数字,并且所有测试用户都位于同一网域中。
|
日历资源
排除规则的用途 | 您的 LDAP 服务器中有内容与您的日历资源搜索规则相匹配,但您不希望将这些内容作为日历资源添加到 Google 网域中。 |
排除类型 | 指定要排除的 LDAP 数据。
如果您希望同时排除资源 ID 和资源显示名,请创建两个排除规则。 |
示例 | 有些打印机被列为 LDAP 资源,并且与指定的 LDAP 查询相匹配。所有打印机的名称中均包含“printer”一词。
|
您的 Google 帐号中可能有实体(例如用户或群组)不在您的 LDAP 网域中,但您想在 Google 帐号中保留这些实体。这种情况下,请使用 Google 网域排除规则,在同步时保留这些 Google 实体:
- 点击 Google Domain Configuration(Google 网域配置)标签页。
- 在“Exclusion Rules”(排除规则)标签页上,点击 Add Exclusion Rule(添加排除规则)。
- 在 Type(类型)下方的列表中,根据需要,选择相应选项:
- Organization Complete Path(组织完整路径):排除组织及其用户
- 要排除用户的 User Email Address(用户电子邮件地址)
- Alias Email Address(别名电子邮件地址):排除用户别名
- Group Email Address(群组电子邮件地址):排除群组
- Group Member Email Address(群组成员电子邮件地址):排除群组成员
- User Profile Primary Sync Key(用户个人资料的主同步密钥):根据同步密钥排除用户个人资料
- Shared Contact Primary Sync Key(共享联系人的主同步密钥):根据同步密钥排除共享的联系人
- Calendar Resource ID(日历资源 ID):根据 ID 排除资源
- Calendar Resource Display Name(日历资源显示名):根据名称进行排除
- Calendar Resource Type(日历资源类型):根据类别进行排除
- 对于匹配类型,请选择:
- Exact Match(完全匹配),匹配完全一致的关键字
- Substring Match(字符串匹配),匹配部分关键字
- Regular Expression(正则表达式),使用正则表达式匹配关键字
- 点击 OK(确定)。
如果您不想在 Google 帐号中更新 Google 网域和 LDAP 网域内的部分实体,可以使用两条排除规则:
- 一条 Google 网域排除规则,用于将此类实体从 Google 帐号中排除。
- 从 LDAP 网域中排除实体的 LDAP 网域排除规则。
这样,当您运行同步时,这些实体就不会同步,而是在 Google 帐号中保持不变。
例如,您可能需要在 Google 帐号中保持一项用户属性(例如组织部门)不变,但该属性在 Google 帐号中的值与在 LDAP 网域中的值不同。这种情况下,就可以使用两条排除规则来确保这类属性在同步过程中保持不变。有关详情,请参阅在同步期间保留不同的用户属性。
排除规则示例
LDAP 用户排除规则在本例中,有些打印机被列为 LDAP 用户,并且与 LDAP 查询相匹配。不过,您想要确保这些打印机不被识别为 Google 用户。所有打印机在 LDAP 目录名称中均包含“printer”一词,因此您可以创建查找该子字符串的规则。
- Type(类型):Primary address(主地址)
- Match type(匹配类型):Substring Match(子字符串匹配)
- Exclusion Rule(排除规则):printer
有些会议室变为了办公室。因此,您想要确保它们不会被作为日历资源导入。这种情况下,可以为每个会议室分别添加一条规则。
第一条规则:
- Type(类型):Calendar Resource Display Name(日历资源显示名)
- Match type(匹配类型):Substring Match(子字符串匹配)或 Exact Match(完全匹配)
- Exclusion Rule(排除规则):ConferenceRoom-BlueSkyMontana
第二条规则:
- Type(类型):Calendar Resource Display Name(日历资源显示名)
- Match type(匹配类型):Substring Match(子字符串匹配)或 Exact Match(完全匹配)
- Exclusion Rule(排除规则):ConferenceRoom-BigPlains
LDAP 服务器中大约列出了 500 个测试用的邮寄名单,但它们仅用于内部负载测试。所有测试用户都位于同一网域中,并使用相同的名称格式:internal-testX,其中 X 为数字。
- Type(类型):Group Address(群组地址)
- Match type(匹配类型):Regular Expression(正则表达式)
- Exclusion Rule(排除规则):internal-test[0-9]*@example.com
如果某位用户未在您的 LDAP 目录服务器中列出,GCDS 会从您的 Google 用户列表和 Google 网上论坛中删除该用户。对于不在 LDAP 目录中的用户帐号和群组,请使用排除规则,让这类用户和群组保留在您的 Google Workspace 或 Cloud Identity 帐号中。默认情况下,系统会排除 Google 管理员帐号,因此您无需为这类帐号创建排除规则。
方法 1:使用组织部门保留用户
将用户帐号移至专门的组织部门,并在配置管理器的 Google 网域配置设置中为该组织部门创建排除规则。
- Type(类型):Organization Complete Path(组织完整路径)
- Match type(匹配类型):Exact Match(完全匹配)
- Exclusion Rule(排除规则):/OUPath/MyExcludedOU
方法 2:使用电子邮件地址
在配置管理器的 Google 网域配置设置中创建电子邮件地址匹配排除规则。
- Type(类型):User Email Address(用户电子邮件地址)或 Group address(群组地址)
- Match type(匹配类型):Exact Match(完全匹配)
- Exclusion Rule(排除规则):<用户名>@example.com
方法 3:排除所有其他组织
如果您希望将 LDAP 用户同步到某个顶级组织部门及其下级组织,则需要排除所有其他顶级组织部门。以下正则表达式会排除非 MyIncludedOU 开头的所有顶级组织部门。使用正则表达式时,请勿在开头添加斜杠。
- Type(类型):Organization Complete Path(组织完整路径)
- Match type(匹配类型):Regular Expression(正则表达式)
- Exclusion Rule(排除规则):^((?!MyIncludedOU).)*$
方法 4:用户个人资料的主同步密钥
您可以使用此方法来指定要从同步范围中排除的用户电子邮件地址、群组电子邮件地址或成员电子邮件地址。排除的成员电子邮件地址不会从 Google 网域中的群组移除。
- Type(类型):User profile primary sync key(用户个人资料主要同步密钥)
- Match type(匹配类型):Exact Match(完全匹配)
- 排除规则 - luka@solarmora.com
在本例中,您可以指定要从同步范围中排除的用户个人资料。
- Type(类型):Sync Key(同步密钥)
- Match type(匹配类型):Exact Match(完全匹配)
- 排除规则 - luka@solarmora.com
如果您希望将用户或群组的 LDAP 电子邮件地址中的域名替换为此域名,请勿在排除规则中添加域名 @solarmora.com。请使用 luka,而不是 luka@solarmora.com。
相关主题
“Google”、Google Workspace 以及相关标志和徽标是 Google LLC 的商标。其他所有公司名和产品名是其各自相关公司的商标。