LDAP 用户存储管理 › 用户、组和组织管理对象说明 › 管理敏感属性 › 属性级别的加密 › 如何删除属性级别的加密

如何删除属性级别的加密

如果您的 CA Identity Manager 目录中具有加密的属性，并且该属性在存储时值为明文，则您可以删除 AttributeLevelEncrypt 数据分类。

在删除该数据分类后，CA Identity Manager 会停止加密新的属性值。 在您保存与该属性关联的对象时，现有的值会被解密。

注意：要解密属性值，您用来保存对象的任务必须包含该属性。 例如，要解密现有用户的密码，您应使用包含密码字段的任务保存用户对象，例如“修改用户”任务。

要强制 CA Identity Manager 检测和解密保留在属性的用户存储中的任何加密值，您可以指定另一数据分类：PreviouslyEncrypted。 在您保存对象时，明文值会被保存到用户存储。 

注意：添加 PreviouslyEncrypted 数据分类会为每一对象加载增加额外的处理任务。 为防止性能问题，请考虑在添加 PreviouslyEncrypted 数据分类时，加载和保存与该属性关联的每一对象，然后删除该数据分类。 这一方法会将所有存储的加密值自动转换为存储的明文。

遵循这些步骤:

1. 导出适当的 CA Identity Manager 目录的目录设置。
2. 在 directory.xml 文件中，从您想要解密的属性删除数据分类 AttributeLevelEncrypt。
3. 如果您要强制 CA Identity Manager 删除先前加密的值，请添加 PreviouslyEncrypted 数据分类属性。

   例如：

   <ImsManagedObjectAttr physicalname="salary" displayname="Salary" description="salary" valuetype="String" required="false" multivalued="false" maxlength="0" searchable="false">
   <DataClassification name="PreviouslyEncrypted"/>
   

4. 要强制 CA Identity Manager 立即解密所有值，请使用批量加载程序修改所有对象。

   注意：有关批量加载程序的详细信息，请参阅《管理指南》。