2.3 One Identity Native DB Connector

22 марта 2021 г.

16:11

Настройка подключения к PostgeSQL

DSN

PostgreSQL35W

Driver={PostgreSQL UNICODE};Database=test001;Server=[REDACTED_HOST];Port=5432;Uid=[REDACTED_USER];Pwd=;

Эту строку прописываем сюда

Либо указываем System DSN которую прописали в Панели управления ODBC

System Filter для Scope 1IM

CanonicalName = 'GreenPlum' and UID_DPRNameSpace = (select UID_DPRNameSpace from DPRNameSpace where Ident_DPRNameSpace = 'GreenPlum')

Mapping Rules

Направление синхронизации

Taken from mapping - это значит, что будет браться направление из свойства самого маппинга, а не из конкретного шага маппинга (конкретного маппинга атрибутов)

Ignore mapping direction restrictions on adding

При создании новых объектов игнорируется заданное направление, то есть если задан маппинг имени пользователя только в 1IM при этом флажке значение будет отправлено в таргет систем.

Например, при создании пользователя AD указано напраление GUID только в 1IM. Если этот флаг установлен - данные будут отправляться в AD, что нам не нужно. Нужно убирать этот флаг для свойств, которые генерятся на стороне управляемой системы.

Force mapping against direction of synchronization

Это означает, что если у нас есть workflow провизионнинга и в нем не указана отправка данных GUID в управляемую систему - то с этим флагом, после провизионнинга - данные GUID из таргет системы будут отправлены в 1IM. (после того, как там сформируется GUID)

Detecting rogue modifications

Будет определять изменения в таргет системе, котороые были совершены без ведома 1IM и писать их в лог.

Correct rogue modifications

Будет корректровать изменения в таргет системе на основе данных из 1IM

Членство в группах

Identity Manager 8.0 - Target System Synchronization Reference Guide (oneidentity.com)

Для того, чтобы в 1IM корректно отображалось членство аккаунтов в группах - надо настроить связь M:N (многие ко многим).

Создаем поле в маппинге кастомной таблицы VRT_Members

Скрипт чтения

Dim Members As String = \$grolist\$

Dim strResult As String = Members.Replace("{","")

Dim arrResult As String()

strResult = strResult.Replace("}","")

arrResult = Split(strResult,",")

Return arrResult

Скрипт записи

Dim VRT_Members As String() = value

Dim str As String = ""

Dim trimChars As Char() = {CChar(",")}

if ( VRT_Members IsNot Nothing AndAlso VRT_Members.Length > 0 ) then

For Each VRT_Member As String in VRT_Members

str = str & "," & VRT_Member

Next

str = "{" & str.TrimStart(trimChars) & "}"

\$grolist\$ := str

Else

\$grolist\$ := Nothing

End If

Затем, в таблице UNSGroupB создаем поле M:N (VRT_Member)

Делаем маппинг VRT_Member - VRT_Members

---

В общем, надо после сопоставления атрибутов VRT_Member - VRT_Member сделать процесс на Update UNS_GroupB ADHoc и в поле ForceSyncOf для шага ProjectorComponent - AdHocProjection указать виртуальное поле VRT_Member (на стороне UNS_GroupB которое меняется)

I have added the virtual attribute to the ForceSyncOf parameter of the "Update Account" step of the "ADS_ADSAccount_Update/(De-)activate" process.

That seems to do the trick.

From \<https://www.oneidentity.com/community/identity-manager/f/forum/26629/virtual-mapping-attribute-object-reference-not-provisioned-in-adhoc>

Identity Manager 8.1.4 - Target System Synchronization Reference Guide (oneidentity.com)

---

Чтобы работало добавление и удаление для поля, а не перезатирание при Update группы, надо для поля M:N (VRT_Members) поставить галку

"Enable relative complement handling (requred for member rules)"

НО! маппить в таком случае надо в целевой системе с полем типа SystemObjectData (свойство из целевой системы, у которого стоят галки

IsMultiValue и IsReference

Описание в доке OneIM Synchronization Technology (Multi-reference mapping rule, Enable relative complement handling)

---

Если не надо каждый раз перезатирать членство, то нужно поставить галки Enable merging

В таком случае, операции по добавлению в группу будут отображаться в таблице DPRMemberShipAction.

---

Did you tried to use the events ASSIGN and REMOVE instead of INSERT and DELETE? For M:N tables these are the ones to go. In addition, what type of connector are you using? 

From \<https://www.oneidentity.com/community/identity-manager/f/forum/29657/adhocprojection-works-for-insert-but-not-for-delete>

---

Если членство хранится не в группе, а в пользователе (он член групп) то это сложнее - предлагают обратиться в ТП

How does AccountInGroup Ad-Hoc Provisioning work? => how to update multi-valued attrib on account not group - Forum - Identity Manager Community - One Identity Community

---

Can forcesyncof functionality inserts an account at target if not found?

From \<https://www.oneidentity.com/community/identity-manager/f/forum/32031/can-forcesyncof-functionality-inserts-an-account-at-target-if-not-found>

---

Для AdHoc преобразование событий Assign/Remove в Insert/Delete

If you move to ASSIGN/REMOVE events then that would also have to align correctly. If needed, there is an example with the Azure Connector pre-script where it transforms ASSIGN/REMOVE to INSERT/DELETE before calling Get_AdHocData(), so that the Provisioning process operation would have 'Insert' in it.

Dim evt as String = EventName

If evt.Equals("Assign", StringComparison.OrdinalIgnoreCase) _

OrElse evt.Equals("HandleOutStanding", StringComparison.OrdinalIgnoreCase) then

evt = "Insert"

ElseIf evt.Equals("Remove", StringComparison.OrdinalIgnoreCase) then

evt = "Delete"

End If

Imports System.Collections.Generic

Dim data As IDictionary(Of String,string) = DPR_GetAdHocData( _

\$FK(UID_AADUser).FK(UID_AADOrganization).XObjectKey\$, _

"AzureAD","",evt)

Sync Project - inserting objects works but not the update - Forum - Identity Manager Community - One Identity Community

---

Трабла с событием Assign ADSAccountBInADSGroupB - не запускается ADHoc Provisionning на это событие

Надо во 1х заменить Assign на Insert. чтобы передавался в проект синхронизации (В PreScript)

Dim evt as String = EventName

If evt.Equals("Assign", StringComparison.OrdinalIgnoreCase) _

OrElse evt.Equals("HandleOutStanding", StringComparison.OrdinalIgnoreCase) then

evt = "Insert"

End If

data = DPR_GetAdHocData(\$FK(UID_UNSGroupB).FK(UID_UNSRootB).XObjectKey\$,"DB","",evt)

Во вторых - убрать Condition из шага процесса AdHoc Provisioning, так как он в values("NeedExecute") пишет False почему то

---

Сначала создает Single Object Operation - указываем событие и потом, в pre-script AdHoc процесса, который на событии таблицы - указываем это событие в

DPR_GetAdHocData

data = DPR_GetAdHocData(\$FK(UID_UNSAccountB).FK(UID_UNSRootB).XObjectKey\$,"DB","","Delete")

From \<https://support.oneidentity.com/technical-documents/identity-manager/8.1.1/target-system-synchronization-reference-guide/40#TOPIC-1246704>

---

При провижининге игнорит отправку AccountName UNSAccountB в usename Postgres

Для правила CN \<- usename надо убрать галку Ignore mapping direction restriction on adding

---

Не работает Force mapping against direction of synchronization - не обновляется ObjectGuid после провижиннинга

Сделал событие Read на UNSAccountB и UNSGroupB.

Там запилил процесс ProjectorComponent - UpdateProjection

Затем, в событии Insert добавил вызов события Read после создания пользователя / группы (HandleObjectComponent - FireGenEvent)

Маппинги

Трабла с проверкой проекта (verify project)

Поставил в Workflow

Трабла с тем, что не заполнялся ObjectGUID у UNSAccountB после создания и вызова события Read.

Решилась путем настройки паузы между созданием и чтением атрибута = 2 мин.

Фильтр UNSAccountBInUNSGroupB

UID_UNSAccountB IN (select UID_UNSAccountB from UNSAccountB JOIN UNSRootB ON UNSAccountB.UID_UNSRootB = UNSRootB.UID_UNSRootB where UNSRootB.Ident_UNSRoot = 'GreenPlum2')

Для групп в группах

UID_UNSGroupBChild IN (select UID_UNSGroupB from UNSGroupB JOIN UNSRootB ON UNSGroupB.UID_UNSRootB = UNSRootB.UID_UNSRootB where UNSRootB.Ident_UNSRoot = 'GreenPlum1')

UID_UNSGroupBChild IN (select UID_UNSGroupB from UNSGroupB JOIN UNSRootB ON UNSGroupB.UID_UNSRootB = UNSRootB.UID_UNSRootB where UNSRootB.Ident_UNSRoot = '\$UNSRootB_Name\$')

Фильтр UNSRootB

CanonicalName = '\$UNSRootB_Name\$' and UID_DPRNameSpace = (select UID_DPRNameSpace from DPRNameSpace where Ident_DPRNameSpace = '\$Ident_DPRNameSpace\$')

В \$ - переменные

---

Экспорт проекта синхронизации

Start the Synchronization Editor with option "-d" using a command line:

E.g.: C:\Program Files\One Identity\One Identity Manager\SynchronizationEditor.exe -d

When the Synchronization Editor opens there will be additional save and export options:

From \<https://support.oneidentity.com/identity-manager/kb/187752/how-to-export-the-synchronization-project-shell-from-the-synchronization-editor>

---

Перенос проекта синхронизации (экспорт/импорт)

1. Сделать бекап!

2. Установить драйвер ODBC (psqlodbc_13_00_0000) на админскую станцию и на JobServer!

3. [Сделать экспорт проекта синхронизации](onenote:#One%20Identity%20Native%20DB%20Connector&section-id=[REDACTED_USER]

4. Сделать экспорт Custom Processes

5. Проверить, что есть необходимый компонент для проекта синхронизации (Native Database Connector, например)

6. Импортировать проект синхронизации

7. Настроить подключение к БД (Target System -> Edit Connection)

8. В Manager Создать Target System Type (указать таблицы для синхронизации и group merging behavior - если необходимо) и сами Custom Target Systems

9. Добавить Base Object в проект синхронизации и указать JobServer (у него должен быть указан тип под этот коннектор!)

10. Добавить триггеры для операций (Insert/Update/Delete) AdHoc (в дизайнере - Single Object Operations)

11. Импортировать Custom Processes чтобы связать операции с UNS таблицами и вызов Workflow

1. Сделать Acc Definitions!

---

Трабла с тем, что при назначении Acc Definition не создается UNSAccountB и ругается на политику паролей

Причина в том, что для дефолтной политики не был указан дефолтный пароль и при сработке скрипта onSaving брался этот null пароль и он не подпадал под эту же политику.

Создал отдельную политику паролей для этого UNSRootB

---

Удаление учетной записи без ожидание периода Deferred

Не запускается Update AdHoc

Надо из условия шага убрать

Value = Cbool(values("NeedExecute"))

Не обновлялся ObjectGUID после создания пользователя или группы

Странная штука, стандартный метод отрабатывает не всегда

Пришлось делать ожидание в процессе ADHoc и затем чтение объекта для обновления ObjectGUID

В процессе чтения из БД важно установить ProjectorComponent - UpdateProjectionSingle

-----

И эта штука не всегда работает(((

В общем, пока остановился на том, что после создания пользователя - обновляю ему ObjectGUID рандомным числом

В Pre-Script процесса

Dim rndObjectGUID As Integer = CInt(Int((50000 * Rnd())))

values("rndObjectGUID") = rndObjectGUID

Запускается процесс обновления пользователя и подгружает правильный ObjectGUID

Преобразование даты в строку с последующим фильтром строки

Read script пуст, так как только provisioning работает в custom target system

И ещё фишка- при обновлении пользователя в скрипте коннектора

If column = "valuntil" Then

sql.AppendFormat("ALTER ROLE {0} VALID UNTIL {1};", """" & record.GetValue("usename", "") & """", "'" & record.GetValue("valuntil", "") & "'")

sql.AppendLine()

End If

Дату надо заключать в аппострофы, а не в кавычки!!!

Откат изменений из целевой системы

В SyncEditor для изменений в целевой системе делаем MarkAsOutstanding

Таким образом, изменившиеся учетки будут попадать в

Если нажмем на Publish для учетки, то сработает событие HandleOutstanding (HANDLEOUTSTANDING - UNSAccountB), которое будем ловить отдельным процессом

Чтобы работал Publish надо поставить галку Can be Published!

Pre-Script

If Not CBool(Connection.Variables("FULLSYNC")) AndAlso _

\$FK(UID_UNSRootB).NamespaceManagedBy:String\$.Equals("VISYNC",StringComparison.OrdinalIgnoreCase) Then

Imports System.Collections.Generic

Dim data As IDictionary(Of String,string) = Nothing

values("AdHocDataFound") = False                

values("NeedExecute") = False

values("SystemType") = "DB"

Dim dbDataFound As Boolean = true

' try to get DB data:

' the second parameter has to correspond to the SystemType field of the DPRSchema.

'

Try

data = DPR_GetAdHocData(\$FK(UID_UNSRootB).XObjectKey\$,"DB","","Update")

'values("SyncType") = "DB"

Catch ex As Exception

dbDataFound = false

End Try

If Not data is Nothing

values("AdHocDataFound") = True

values("NeedExecute") = DPR_NeedExecuteWorkflow(data("ProjectionConfigUID").ToString(),entity)

values("ObjectKey") = New DbObjectKey(base.Tablename,\$UID_UNSAccountB\$).ToXmlString()

values("UID_DPRSystemVariableSet") = data("VariableSetUID")

values("UID_DPRProjectionConfiguration") = data("ProjectionConfigUID")

values("UID_QBMServer") = data("ExecutionServerUID")

values("cn") = \$cn\$

End if

'VID_Write2Log("C:\temp\GreenPlum.txt", \$AccountName\$ & " will created in GreenPlum " & "AdHocDataFound=" & CStr(values("AdHocDataFound")).toString() )

End If

Condition

Value = Not CBool(Connection.Variables("FULLSYNC")) AndAlso _

\$FK(UID_UNSRootB).NamespaceManagedBy:String\$.Equals("VISYNC",StringComparison.OrdinalIgnoreCase) AndAlso _

Cbool(values("AdHocDataFound"))

--

Затем, запускаем процесс Update user GreenPlum

В ForceSyncOf указываем поля для принудительного обновления в написании, как в ObjectBrowser!

Failover

Failover mechanism for Active Directory connector - Forum - Identity Manager Community - One Identity Community

You could convert the CP_ADServer variable into a scripted variable in the sync project (for a FullSync my comments from above apply. No synchronization optimization allowed then).

In the script, you could determine a DC of your domain and do some other checks as well (ping, login, whatsoever).

The sample script is just taking the first domain controller it gets from the collection: Further enhancements would be to check the DC classes, ping time, etc.

Fullscreen

References System.DirectoryServices.dll

Imports System.DirectoryServices.ActiveDirectory

Dim RootDN as String = VariableSet.Item("CP_ADRootdn")

Dim DomainName As String = RootDN.Replace(",dc=",".").Replace("dc=","")

Dim DomainCon As New DirectoryContext(DirectoryContextType.Domain, DomainName)

Dim DCs As DomainControllerCollection = Domain.GetDomain(DomainCon).DomainControllers

Return DCs.Item(0).Name

'For Each DC As DirectoryServices.ActiveDirectory.DomainController In DCs

' Return DC.Name

'Next

From \<https://www.oneidentity.com/community/identity-manager/f/forum/31749/failover-mechanism-for-active-directory-connector>

-----

Работает указание серверов, через запятую!

----

Для процессов AdHoc, чтобы узнать, что находится в data

В PreScript

data = DPR_GetAdHocData(\$FK(UID_UNSGroupB).FK(UID_UNSRootB).XObjectKey\$,"DB","",evt)

Итого параметры подключения определяются на основании вот такого запроса

select * from DPRRootObjConnectionInfo where (ObjectKeyRoot = '\<Key>\<T>UNSRootB\</T>\<P>82b349c1-8d67-4b65-b26a-bdc9d15233bc\</P>\</Key>') and (UID_DPRSystemConnection IN ( Select UID_DPRSystemConnection FROM DPRSystemConnection WHERE UID_DPRSchema IN ( Select UID_DPRSchema FROM DPRSchema WHERE SystemType = N'Posh') And isnull(Name, N'') \<> N'MainConnection'))

---

Для процессов AdHoc вывести данные data в лог

VID_Write2Log("C:\..",xObjectKey)

VID_Write2Log("C:\..",ex.ErrorString) (в Catch)

--

for each item as KeyValuePair(of String, String) in data

VID_Write2Log("C:\..",item.key & " -> " & item.Value)

Next

--

VID_Write2Log("C:\..",dbDataFound.tostring())

---

Не отрабатывает процесс на удаление членства пользователя в группе по событию Remove таблицы UNSAccountBInUNSGroupB

Странная ситуация - если ловить только REMOVE - то PreScript отрабатывает на машине, на которой произошло непосредственно событие (На машине, где установлен Manager.) и в целевой системе изменение членства не отражается.

Если ловить Delete - то отрабатывает нормально все.

Как вариант, можно на REMOVE не вызывать ADHoc проекта синхронизации, а, например, через скрипт делать изменения в БД.

Похожая трабла

https://www.oneidentity.com/community/identity-manager/f/forum/29657/adhocprojection-works-for-insert-but-not-for-delete

---

В Object Browser при обращении к view членства (группа - пользователь) выходит ошибка "1 object(s) should be reloaded but … "

Для view, которые должны однозначно определяться по нескольким колонкам надо создавать Column group - это и будет уникальным ключем!

Identity Manager 8.0.1 - Native Database Connector User Guide for Connecting Oracle Databases (oneidentity.com)

---

Postgres/Greenplum скрипт коннектора

Dim succProcessed As IList(Of CommitRecord) = New List(Of CommitRecord)()

Dim sql As New StringBuilder()

Dim strGroupName As String

Dim strMemberName As String

Dim strUseNameOld As String

Dim strGroNameOld As String

Dim strUseName As String

Dim transaction As IDbTransaction = Nothing

Try

' Create transaction

transaction = connection.BeginTransaction()

' Create database command

Using cmd As IDbCommand = connection.CreateCommand()

' Assign transaction to SQL command

cmd.Transaction = transaction

' Loop through list of changed records

For Each record As CommitRecord In records

' Switch by operation type (INSERT, UPDATE or DELETE)

Select Case operation

Case MultiPassCommitStrategyOperation.ProcessInserts

Select Case tableName.ToLowerInvariant()

Case "pg_user"

' Prepare SQL Statement

' TODO format the value

sql.AppendFormat("CREATE USER {0};", record.GetValue("usename", ""))

' TODO format the value

sql.AppendLine()

Exit Select

Case "pg_group"

sql.AppendFormat("CREATE ROLE {0};", record.GetValue("groname", ""))

' TODO format the value

sql.AppendLine()

Exit Select

Case "pg_auth_members_users"

'Log.Debug([String].Format("Select from pg_group"))

sql.AppendFormat("SELECT groname FROM pg_group WHERE grosysid = {0};", record.GetValue(Of Int64)("roleid"))

' Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strGroupName = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("SELECT usename FROM pg_user WHERE usesysid = {0};", record.GetValue(Of Int64)("member"))

' Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strMemberName = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("GRANT {0} TO {1};", strGroupName, strMemberName)

' TODO format the value

sql.AppendLine()

Exit Select        

Case "pg_auth_members_groups"

Log.Debug([String].Format("Select from pg_group"))

sql.AppendFormat("SELECT groname FROM pg_group WHERE grosysid = {0};", record.GetValue(Of Int64)("roleid"))

' Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strGroupName = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("SELECT groname FROM pg_group WHERE grosysid = {0};", record.GetValue(Of Int64)("member"))

' Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strMemberName = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("GRANT {0} TO {1};", strGroupName, strMemberName)

' TODO format the value

sql.AppendLine()

Exit Select        

End Select

Exit Select

Case MultiPassCommitStrategyOperation.ProcessUpdates

Select Case tableName.ToLowerInvariant()        

Case "pg_user"

For Each column As String In record.TouchedColumns

If column = "usename" Then

sql.AppendFormat("SELECT usename FROM pg_user WHERE usesysid = {0};", record.GetValue(Of Int64)("usesysid"))

' Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strUseNameOld = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("ALTER ROLE {0} RENAME TO {1};", strUseNameOld, record.GetValue("usename", ""))

' TODO format the value

sql.AppendLine()

End If

Next

Exit Select

Case "pg_group"

For Each column As String In record.TouchedColumns

If column = "groname" Then

sql.AppendFormat("SELECT groname FROM pg_group WHERE grosysid = {0};", record.GetValue(Of Int64)("grosysid"))

'Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strGroNameOld = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("ALTER ROLE {0} RENAME TO {1};", strGroNameOld, record.GetValue("groname", ""))

' TODO format the value

sql.AppendLine()

End If

Next

Exit Select

End Select

Exit Select

Case MultiPassCommitStrategyOperation.ProcessDeletes

Select Case tableName.ToLowerInvariant()

Case "pg_user"

'sql.AppendFormat("delete pg_user where PKColumn = {0}", record.GetValue(Of [String])("PKColumn"))

sql.AppendFormat("DROP ROLE {0};", record.GetValue(Of [String])("usename"))

'TODO: Use correct datatype for your primary key column

Exit Select

Case "pg_group"

sql.AppendFormat("DROP ROLE {0};", record.GetValue(Of [String])("groname"))

Exit Select

Case "pg_auth_members_users"

sql.AppendFormat("SELECT groname FROM pg_group WHERE grosysid = {0};", record.GetValue(Of Int64)("roleid"))

' Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strGroupName = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("SELECT usename FROM pg_user WHERE usesysid = {0};", record.GetValue(Of Int64)("member"))

' Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strMemberName = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("REVOKE {0} FROM {1};", strGroupName, strMemberName)

' TODO format the value

sql.AppendLine()

Exit Select

Case "pg_auth_members_groups"

sql.AppendFormat("SELECT groname FROM pg_group WHERE grosysid = {0};", record.GetValue(Of Int64)("roleid"))

' Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strGroupName = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("SELECT groname FROM pg_group WHERE grosysid = {0};", record.GetValue(Of Int64)("member"))

' Execute SQL Command

cmd.CommandText = sql.ToString()

Using dbReader = cmd.ExecuteReader()

While dbReader.Read()

' Get string value of first result column

strMemberName = If(Not dbReader.IsDBNull(0), dbReader.GetString(0), String.Empty)

End While

End Using

sql.Clear()

sql.AppendFormat("REVOKE {0} FROM {1};", strGroupName, strMemberName)

' TODO format the value

sql.AppendLine()

Exit Select

End Select

Exit Select

End Select

' Execute SQL command if something is to do

If Not String.IsNullOrEmpty(sql.ToString()) Then

' Execute SQL Command

cmd.CommandText = sql.ToString()

cmd.ExecuteNonQuery()

' Add record to list of succesfull provisioned objects

succProcessed.Add(record)

End If

Next

' Commit transaction

transaction.Commit()

End Using

Catch

If transaction IsNot Nothing Then

transaction.Rollback()

End If

Throw

End Try

Return succProcessed