Cerebrum og ePhorte

1   Intro

ePhorte er elektronisk arkivsystem ved UiO, basert på Noark-standarden. Cerebrum sender data til ePhorte gjennom en egen webservice for ePhorte, som igjen bruker Ephorte Integration Service (EIS).

Integrasjonen har gjennomgått flere utviklingsiterasjoner, i tidsrommet 2007 til 2009. Begge disse versjonene brukte en egen Java-klient for å kommunisere med ePhorte (Formodentlig fordi Python da ikke hadde et godt nok rammeverk.)

I 2015 er det laget en ny versjon av ePhorte web service, og denne kommuniserer med en Python-klient. De delene av ePhorte-syncen som trenger Java er dermed skrevet om.

Figur for dataflyten som er relatert til ePhorte:

2   Hva overføres?

• Persondata
  • e-post
  • navn: fornavn, efternavn, fullt navn. Mellomnavn finnes, men overføres ikke
  • mobilnummer
  • jobbtelefon
  • brukernavn: «Initials» har brukernavn, mens «UserId» holder feide-id (med @uio.no tilføyet)
  • gateadresse
• Roller
  • jobbtittel/rolletittel
  • rolle-id/rolletype
  • organisasjonsenhet
  • arkivdel
  • journalenhet
  • standardrolle? (boolesk)
• Tilganger
  • tilgangskode
  • organisasjonsenhet
  • tilgang overalt? (boolesk)

Organisasjonsstrukturen overføres ikke, den oppdateres manuelt i ePhorte, da ePhorte ikke støtter dette.

Persondata hentes fra SAP.

3   Datamodeller

Cerebrum trenger mod_ephorte versjon 1.2 for å lagre nødvendige opplysninger. Deretter er konstanter lagret i Cerebrum.modules.no.uio.Ephorte.EphorteConstants.

Med unntak av konstanter inneholder mod_ephorte kun to relasjoner: ephorte_role og ephorte_permission.

4   Scripts/businesslogikk

5   Roller

ePhorte-roller i Cerebrum har følgende data som blir synkronisert:

role_type

Følgende rolletyper er definert i ePhorte:

• AR1, Arkivansvarlig
• AR2, Arkivar
• AR3, eSak
• LD, Leder/saksfordeler
• LD LES, Leserolle Leder
• SY, Systemansvarlig
• SB, Saksbehandler
• MAL, Malansvarlig
• SUB, Superbruker

standard_role

Kan ha to verdier, 'T' og 'F', som står for True og False.

adm_enhet

stedet rollen er knyttet til, gitt som stedkode.

arkivdel

Følgende arkivdeler er definert:

• SAK UIO, Saksarkiv ved Universitetet i Oslo
• STUD UIO, Studentarkiv ved Universitetet i Oslo
• EIEND UIO, Eiendomsarkiv ved Universitetet i Oslo
• AVTALE UIO, Avtalearkiv ved Universitetet i Oslo
• SAK SO, Saksarkiv ved Samordna Opptak
• SAK NIKK, Saksarkiv ved NIKK
• PERS UIO, Personalarkiv ved Universitetet i Oslo
• KHM FORN, KHM (Kulturhistorisk museum) - Fornminnneforvaltning
• SAK FSAT, sakarkivet ved FSAT
• CRISTIN, Current Research System in Norway
• FELLESKLAG, Felles klagenemnd
• FS, Felles studentsystem
• KHM OBJEKT, Gjenstander og objekter ved Kulturhistorisk museum
• KLAGE SO, Klager på opptak ved Samordna opptak
• KLAGENEM, Klagenemnder Samordna opptak
• NASJONKLAG, Nasjonal klagenemnd
• NI, Nasjonal institusjon for menneskerettigheter
• NORDEM, The Norwegian Resource Bank for Democracy and Human Rights
• OMBUDSTUD, Studentombud
• ROMANI, Tater- / Romaniutvalget
• UIO ENERGI, UiO Energi

eSak kan be om å få opprettet nye arkivdeler ved behov.

Fra Cerebrums ståsted er en arkivdel og et arkiv det samme. fra eSAKs ståsted er det en forskjell. Se Arkivverkets arkivterminologi for utfyllende forklaring om begrepene.

journalenhet

Følgende journalenheter er definert:

• J-NIKK, Journalenhet for NIKK - Nordisk institutt for kvinne- og kjønnsforskning
• J-SO, Journalenhet for SO - Samordna Opptak
• J-UIO, Journalenhet for UiO - Universitetet i Oslo
• J-FSAT, Journalenhet for FSAT
• J-SMR, Journalenhet Norsk senter for menneskerettigheter
• J-OMB, Journalenhet for studentombud

rolletittel

brukes ikke, settes til tom streng ("")

stilling

brukes ikke, settes til tom streng

6   Tilgangskoder

ePhorte-tilgangskoder i Cerebrum har følgende data som blir synkronisert:

perm_type

Følgende tilgangskoder er definert i ePhorte. Av disse er noen utgått, men de må fortsatt være registrert i Cerebrum og ePhorte. De gjeldende tilgangskodene er:

• US, Unntatt etter offentlighetsloven ved SO
• UN, Unntatt etter offentlighetsloven ved NIKK
• PR, Rettssaker
• PV, Personalsaker
• PD, Disiplinærsaker personal
• PO, Personers økonomiske forhold
• AR, Under arbeid
• OF, Unntatt etter offentlighetsloven
• SV, Studentsaker
• SD, Disiplinærsaker studenter
• FO, Forskningssaker
• AI, Anskaffelser
• VS, Varsling studenter
• VA, Varsling ansatte
• OS, Studentombud

De utgåtte tilgangskodene er:

• UO, Unntatt etter offentlighetsloven
• P , Personalsaker
• P2, Personers økonomiske forhold
• P3, Disiplinærsaker personal
• P4, Rettssaker
• S , Studentsaker
• S2, Disiplinærsaker studenter
• UA, Under arbeid
• PA, Personalsaker AKAN

Ikke alle disse brukes av arkiv-personalet, men det er ikke vesentlig for synkroniseringen.

adm_enhet

stedet rollen er knyttet til, gitt som stedkode.

requestee

Den som har gitt tilgangskode til personen, angitt ved initials. Per 22.01.2015 blir ikke dette feltet lenger overført.

7   Registrering av ephorte-roller i Cerebrum

Roller i ePhorte kan tildeles på tre måter:

• Saksbehandler, tildeles automatisk basert på ansatt-tilknytning fra SAP.
• Systemadministrator, tildeles automatisk på bakgrunn av medlemskap i gruppen 'ephorte-admins' i Cerebrum.
• Manuell registrering av roller i Cerebrum (alle typer).

8   Synkronisering av roller

Rolledataene for hver person fra Cerebrum sammenlignes med rollene som finnes for den personen i ePhorte fra før. Roller identifieres med følgende tuppel:

(role_type, adm_enhet)

Hvis dette tuplet er likt for to roller, er rollene identiske.

Hvis en rolle fra Cerebrum ikke finnes i ePhorte skal denne opprettes. Hvis det for en person finnes en rolle i ePhorte som ikke er med i dumpen fra Cerebrum skal denne rollen slettes i ePhorte. En rolle markeres som slettet ved at dens tildato blir satt.

I den gamle integrasjonen mot ePhorte, ble roller definert med tuppelet:

(role_type, adm_enhet, arkivdel, journalenhet)

9   Synkronisering av tilgangskoder

Tilgangskodedataene for hver person fra Cerebrum sammenlignes med tilgangskodene som finnes for den personen i ePhorte fra før. Tilgangskoder identifieres med følgende tuppel:

(perm_type, adm_enhet)

Hvis dette tuplet er likt for to tilgangskoder, er tilgangskodene identiske.

Hvis en tilgangskode fra Cerebrum ikke finnes i ePhorte skal denne opprettes. Hvis det for en person finnes en tilgangskode i ePhorte som ikke er med i dumpen fra Cerebrum skal denne tilgangskoden slettes i ePhorte. En tilgangskode markeres som slettet ved at dens tildato blir satt.

10   Tilgang til ePhorte

Tilgang til bruk av ePhorte er begrenset. Det er to kriterier som må tilfredsstilles for at en person kan benytte ePhorte:

• Personen må ha FEIDE-tilgang
• Personen må minst en ephorte-rolle registrert i Cerebrum.

11   Oppsett av utviklingsmiljø

De delene som krever tilgang til eksterne ePhorte-systemer trenger en egen config-fil, samt passord for tilgang til tjenesten:

• cerebrum-config/etc/uio/sync_ephorte.cfg
• passord for username@wsdl-hostname

12   Tilganger

Ved utvikling er man helt avhengig av å kunne se på data i Cerebrum, selve ePhorte-applikasjonen og ePhortes database. Kjennskap til deler av ePhortes interne DB-skjema er nødvendig.

I cerebrum kan man se på data v.h.a. bofh-kommandoene eller se å databasen. I ePhorte-applikasjonen er man nødt til å ha rollen systemadministrator for å kunne få de nødvendige tilganger. Dette får man ved å melde seg inn i gruppen ephorte-admins.

ePhorte-applikasjonen får man logget inn ved å gå til https://ephorte2test.uninett.no/uio/ eller https://ephorte2.uninett.no/uio/ for test- og prod-miljøet. Merk at ePhorte kun virker i IE, slik at man må logge inn på en Windows-terminal e.l.

Database-aksess må man be om av trofast-drift. Hvis du har en TROFAST-bruker og passord kan du logge deg inn på test-miljøet på følgende måte:

rdesktop ephorte2test.uninett.no

Det er innstallert Oracle SQL Developer, som ligger på skrivebordet.

For prod-miljøet må du gjøre følgende:

rdesktop eph-prod1.trofast.uio.no

Der er det installert en db-klient under C:binTOratora.exe. For begge ligger passord til db under cerebrum-uio:/cerebrum/etc/passwords/ephorte-conn-(test|prod).props

13   Bugs, mangler og ting som burde fikses

• populering av ephorte-spread og roller må kikkes på. Det ser ut til at det ikke spread alltid fjernes når det burde, noe som resulterer i at litt flere personer enn det som er riktig eksporteres til ephorte.

• Sletting av roller foregår ved å slette rollen i bofh med kommandoen "ephorte remove_role". Rollen blir da slettet i Cerebrum og ved neste synk så vil rollen slettes i ePhorte. Måten vi sletter på i ePhorte styres av vår ePhorte-modul som kobler seg til ePhortes web-service.

  Tidligere ble sletting av roller utført ved å slette databaseoppføringen rått og brutalt. I ePhorte ser man dette ved at rollen forsvinner fra listen over roller en person har. En ulempe med denne metoden er at vi ikke har noen historikk (som vi kjenner til) over hvilke roller en gitt person har hatt.

  For å kunne beholde noe historikk bestemte vi oss for å slette roller på en annen måte, nemlig ved å sette en tildato, slik at en slettet rolle er synlig i ePhorte ved at man har en periode (startdato og tildato) som denne rollen gjaldt.

  Desverre har det vist seg at denne metoden har noen uheldige konsekvenser:

  • Hvis man har slettet en rolle for en person og man senere forsøker å opprette samme rolle (samme person, rolletype og sted) så vil ikke det fungere siden ePhorte mener rollen finnes fra før.

    Dette kan fikses ved å sette tom verdi i tildato-feltet. Går det an å gjøre via syncen?

  • Hvis en person har flere roller, og den av de som er standardrolle blir slettet, så vil ikke personen kunne logge inn i ePhorte. Det er fordi standardrollen må være et gyldig valg ved innloggingen, noe den ikke er når tildato er i fortiden.

    Dette problemet kan løses ved å legge til en sperre i bofh slik at det ikke går an å slette en rolle som er standardrolle.

  • Det kan også være andre ting vi ikke har oppdaget.

• Fornavn kan ikke være lengre enn 30 tegn i ePhorte. Dette må vi klage på.

• Skal vi vise slettede roller (med tildato) i ephorte_list_roles?

• Det viser seg at det for mange personer er flere uavhengige brukere i ephorte. Finn hvor mange, hvordan dette har skjedd, og hva som kan gjøres med dette.

  ~@cerebellum > /cerebrum/bin/sync_ephorte.sh /tmp/ -p /cerebrum/etc/passwords/ephorte-conn-prod.props -d person -t Person | cut -d ";" -f 4 | grep "@UIO.NO" > /tmp/ephorte_prod_person_dump.dat ~@cerebellum > python src/uiocerebrum/hacks/find_ephorte_person_duplicates.py /tmp/ephorte_prod_person_dump.dat Fant 12147 brukere 69 personer har to eller flere brukere i ephorte: p_id 131509, brukere: ['margit', 'annmarn'] p_id 754562, brukere: ['mehwiss', 'mehwissi'] p_id 197568, brukere: ['torebul', 'torekb'] ...

• Det er mange personer med ephorte-spread som ikke (lenger) har ansatt-aff. Kan vi få til en automatisk opprydding av dette? Bruk cerebrum/contrib/no/uio/list_ephorte_info.py for å sjekke dette.