34.1 Derecho basado en funciones

Una directiva de derechos basados en funciones es un objeto Grupo dinámico de OpenText Identity Console con funciones adicionales que permiten otorgar derechos basados en funciones en los sistemas conectados. Al crear una directiva de derechos basados en funciones, puede definir la pertenencia de la directiva y los derechos que deben otorgarse a los miembros de la directiva de derechos basados en funciones. Cada directiva de derechos basados en funciones está asociada a un único objeto Conjunto de controladores asignado a un servidor específico. Al igual que un controlador de OpenText Identity Manager, cada directiva de derechos solo puede gestionar objetos que se encuentran en una réplica principal o de lectura/escritura en el servidor al que se ha asignado.

En las secciones siguientes, se describen detalladamente los derechos basados en funciones:

34.1.1 Resumen

Esta página proporciona información general de los criterios de pertenencia y los derechos de la directiva de derechos.

Pertenencia:

Los criterios especificados para la pertenencia dinámica se muestran con la sintaxis de un filtro LDAP. Identidad de búsqueda indica los derechos del objeto que se utilizan al consultar la pertenencia dinámica, y DN base y Ámbito indican la parte del árbol que se incluye en la consulta.

Para ver las inclusiones y las exclusiones de la pertenencia estática, marque la casilla de verificación.

La lista combinada de todos los miembros no se muestra en la página Resumen porque puede ser larga. Para ver una lista combinada de todos los miembros de la directiva de derechos, tanto dinámicos como estáticos, utilice la pestaña Pertenencia > Ver pertenencia.

Derechos:

Los derechos en los sistemas conectados que se otorgan a los miembros de la directiva de derechos. Tenga en cuenta que los derechos basados en funciones son poco coherentes con los sistemas conectados. Esto significa que el estado de un derecho en un sistema conectado no se muestra en la interfaz de la directiva de derechos. Si otorga un derecho a una directiva de derechos y, más tarde, ese derecho ya no está disponible en el sistema conectado, el derecho seguirá figurando en la directiva de derechos hasta que lo elimine manualmente de la lista.

Resolución de conflictos:

En los derechos basados en funciones que tienen valores, estos métodos se utilizan para determinar los valores otorgados a un usuario si dos o más directivas de derechos basados en funciones conceden diferentes valores a ese usuario. Un ejemplo de derecho que tiene valores es la pertenencia a listas de distribución de correo electrónico, donde los valores son los nombres de las listas de distribución.

El método de resolución de conflictos se define por separado para cada derecho individual en cada objeto Controlador. Si se utiliza un derecho en varias directivas de derechos basados en funciones, el método de resolución de conflictos es el mismo en todas esas directivas. Para cambiar el método de resolución de conflictos de un derecho, cambie el valor de ese derecho en el inventario de controladores de ese controlador.

  • No reconocido: la directiva de derechos basados en funciones no se ha completado en el asistente o la configuración se ha escrito incorrectamente en el inventario de controladores.

  • Fusionar: la opción por defecto es Fusionar (union en el inventario de controladores). Esto significa que a un usuario se le conceden todos los valores de este derecho desde todas las directivas de derechos basados en funciones de las que sea miembro.

    Cuando se utiliza la opción por defecto Fusionar, el orden de prioridad de la lista de directivas no es importante para este derecho específico.

    Por ejemplo, a un usuario se le otorga la pertenencia a las listas de distribución de correo electrónico del controlador A de GroupWise® mediante dos directivas de derechos basados en funciones diferentes, la directiva de gestores y la directiva de miembros del equipo. En la directiva 1, al usuario se le otorga la pertenencia a la lista de distribución de correo electrónico de los gestores y, en la directiva 2, al usuario se le otorga la pertenencia a la lista de distribución de correo electrónico de los miembros del equipo. Con la opción Fusionar, se otorga al usuario la pertenencia a ambas listas de distribución de correo electrónico.

  • Prioridad: con esta opción, si varias directivas de derechos basados en funciones otorgan a un usuario diferentes valores para el mismo derecho del mismo objeto Controlador, al usuario solo se le conceden los valores especificados en la directiva que esté más alta en la lista.

    Cuando se utiliza la opción Prioridad, el orden de prioridad de la lista de directivas es importante para este derecho específico.

    Por ejemplo, a un usuario se le otorga la pertenencia a las listas de distribución de correo electrónico del controlador A de GroupWise mediante dos directivas de derechos basados en funciones diferentes, la directiva de gestores y la directiva de miembros del equipo. En la directiva de gestores, al usuario se le concede la pertenencia a la lista de distribución de correo electrónico de los gestores y, en la directiva de miembros del equipo, al usuario se le otorga la pertenencia a la lista de distribución de correo electrónico de los miembros del equipo. La directiva de gestores aparece más arriba en la lista de directivas que la de miembros del equipo. Con la opción Prioridad, el usuario solo puede ser miembro de la lista de distribución de correo electrónico de los gestores.

    El uso de la prioridad para la resolución de conflictos puede resultar útil, por ejemplo, si un atributo en un sistema conectado solo permite un valor. Si dos directivas de derechos basados en funciones diferentes conceden un valor para ese atributo al mismo usuario, este recibe el valor otorgado por la directiva que esté más alta en la lista.

NOTA:No se proporciona una opción de resolución de conflictos para los derechos que no tienen valores, como una cuenta. Los derechos que no tienen valores se conceden siempre a los miembros de la directiva de derechos basados en funciones, independientemente de la prioridad de las directivas en la lista.

34.1.2 Componentes dinámicos

Los criterios especificados para la pertenencia dinámica se muestran con la sintaxis de un filtro LDAP. Identidad de búsqueda indica los derechos del objeto que se utilizan al consultar la pertenencia dinámica, y DN base y Ámbito indican la parte del árbol que se incluye en la consulta.

Filtro de pertenencia

Puede definir criterios de pertenencia como, por ejemplo, la ubicación en el árbol y los atributos del objeto. Por ejemplo, la pertenencia puede depender de si el usuario se encuentra en el contenedor Activo o de si el cargo incluye la palabra Gestor. Los usuarios que cumplen los criterios son automáticamente miembros de la directiva de derechos basados en funciones, sin necesidad de añadir específicamente a cada usuario a la directiva. La pertenencia dinámica funciona de la misma manera que un objeto Grupo dinámico.

Si un objeto cambia y deja de cumplir los criterios de pertenencia dinámica, los derechos se revocarán automáticamente la próxima vez que reevalúe al usuario.

Definir parámetros de búsqueda

Especifique la ubicación de los usuarios que desea que gestione la directiva de derechos. Elija el contenedor que contiene los usuarios (DN base) y la profundidad de búsqueda desde ese contenedor (Ámbito de búsqueda). Para que la directiva de derechos gestione usuarios en los contenedores especificados, los usuarios deben encontrarse en una réplica principal o de lectura/escritura en el servidor.

Se proporcionan las siguientes opciones para Ámbito de búsqueda:

  • Este contenedor y subcontenedores: los usuarios situados bajo este contenedor del árbol serán miembros de la directiva de derechos si cumplen los criterios especificados para la pertenencia dinámica. Los usuarios incluidos en los subcontenedores también serán miembros si cumplen los criterios.

  • Solo este contenedor: los usuarios incluidos en este contenedor solo son miembros si cumplen los criterios especificados para la pertenencia dinámica. Los usuarios que se encuentran en subcontenedores bajo este contenedor no serán miembros, aunque cumplan los criterios.

Definir criterios de filtro

Especifique las características que determinan los usuarios que son miembros de la directiva de derechos.

En la página Resumen de una directiva de derechos, los criterios de pertenencia dinámica especificados se muestran con la sintaxis de un filtro LDAP.

Por defecto, la pertenencia dinámica se configura para incluir todos los objetos Clase de usuario (y los objetos de clases derivados de la clase de usuario) en el ámbito de búsqueda como miembros de la directiva de derechos.

NOTA:Si crea una nueva clase de objeto que se deriva del usuario, una directiva de derechos existente no la reconocerá hasta que realice una modificación en la directiva de derechos. Esto evita que los usuarios de una nueva clase reciban derechos accidentalmente. Cuando se realiza una modificación en la directiva de derechos, se actualiza la lista de clases derivadas de usuario para esa directiva.

Creación de pertenencia dinámica

En la pestaña Miembros dinámicos, realice lo siguiente:

  1. Haga clic en la pestaña Miembros dinámicos.

  2. Utilice los filtros Identidad de búsqueda, Empezar a buscar en y Ámbito de búsqueda según sus necesidades.

  3. Haga clic en la opción Crear grupo específica para crear una nueva condición o una fila y, a continuación, proporcione la condición o los criterios de búsqueda necesarios.

    Ámbito de búsqueda: el ámbito de búsqueda indica el conjunto de entradas en el DN base de búsqueda (o debajo de él) que pueden considerarse posibles coincidencias en una operación de búsqueda.

    Criterios de búsqueda: puede limitar una búsqueda para ayudarle a localizar un registro específico o un grupo de registros de un gran número de registros.

    DN base: un DN base es el punto desde el que un servidor buscará usuarios.

    Grupo LDAP: se trata de una organización jerárquica de usuarios, grupos y unidades administrativas que son contenedores de usuarios y grupos.

NOTA:El usuario puede crear uno o varios grupos con condiciones. Las condiciones están formadas por atributos, operadores y valores. Por defecto, se utiliza Clase de objeto > es igual a > Usuario.

34.1.3 Componentes estáticos

Los componentes estáticos son una clase de componentes que se declaran mediante palabras clave estáticas. Un componente estático presenta determinados accesos limitados.

En la pestaña Componentes estáticos, se pueden realizar las siguientes operaciones:

Componentes incluidos:

Añada componentes de forma estática que se hayan incluido mediante el filtro de pertenencia dinámica.

Componentes excluidos:

Excluya los componentes que cumplan los criterios del filtro, pero que no se deben incluir en la directiva de derechos.

34.1.4 Derechos

Los derechos basados en funciones permiten conceder derechos en los sistemas conectados y derechos en OpenText Identity Manager. Los derechos pueden ser cualquiera de los siguientes:

  • Cuentas en sistemas conectados.

  • Pertenencia a listas de distribución de correo electrónico en sistemas conectados.

  • Pertenencia a grupo en sistemas conectados.

  • Atributos de los objetos correspondientes en los sistemas conectados, rellenados con los valores que especifique.

NOTA:La funcionalidad Derechos forma parte de OpenText Identity Manager, por lo que debe tener instalados y configurados los controladores de OpenText Identity Manager para admitir los derechos antes de poder otorgarlos en los sistemas conectados.

Crear derecho

En la pestaña Derechos, realice lo siguiente:

  1. Haga clic en la pestaña Derecho.

  2. Haga clic en para añadir controladores y proporcionar derechos en los sistemas conectados.

    Aparece la pantalla Añadir controlador.

  3. Seleccione el controlador en el menú desplegable.

  4. Haga clic en Añadir.

    Aparece la pantalla Añadir derechos.

  5. En el menú desplegable, seleccione un grupo de derechos que desee añadir.

  6. Seleccione el tipo de consulta:

    • En caché: si las consultas se han ejecutado anteriormente.

    • Consulta externa: si las consultas son nuevas.

    Aparece la pantalla Añadir derecho de grupo.

  7. Seleccione el derecho de grupo en el menú desplegable y, a continuación, haga clic en Seleccionar.

34.1.5 "Rights to other Objects" (Derechos a otros objetos)

Utilice esta página para otorgar derechos de un Trustee de directiva de derechos a un objeto de OpenText eDirectory. Cada miembro de la directiva de derechos se convierte en un Trustee del objeto.

Además de asignar derechos a todos los atributos, puede hacer clic en Añadir propiedad para asignar derechos a propiedades específicas.

La casilla de verificación Heredar determina si los derechos fluyen hacia abajo en el árbol. Por ejemplo, si va a asignar derechos a un objeto Contenedor y desea que la directiva de derechos tenga los mismos derechos sobre los objetos y los subcontenedores que se encuentran por debajo de ese contenedor, marque la casilla de verificación Heredar.

Los derechos de los objetos de OpenText eDirectory se otorgan a los miembros de la directiva de derechos después de que se completen los cambios en esta página. Por el contrario, los derechos de los sistemas conectados se otorgarán a cada miembro de la directiva de derechos la próxima vez que se modifique un atributo utilizado para la pertenencia dinámica de ese usuario, o bien se desplace un usuario o se cambie su nombre. (Lo mismo ocurre cuando se revocan derechos). Utilice la tarea Reevaluar pertenencia para forzar una actualización.

Crear derechos para otros objetos

Para crear derechos:

  1. Haga clic en la pestaña Derechos a otros objetos

    Aquí puede añadir un objeto nuevo y buscar los objetos para los que desea que esta directiva de derechos sea un Trustee.

    1. Para añadir un objeto, haga clic en el botón .

      Aparece la página NAVEGADOR DE CONTEXTO. La página consta de objetos.

    2. Expanda los objetos y seleccione grupos o usuarios individuales según sus necesidades y asígneles derechos.

    3. Para añadir más propiedades, haga clic en .

      Aparece la página SELECCIONAR PROPIEDADES. Esta página contiene la lista de propiedades que puede tener un objeto.

    4. Haga clic en Terminado.

  2. (Opcional) Con las flechas Arriba y Abajo , se organizan las directivas de derechos basados en funciones por orden de prioridad.

    La organización por orden de prioridad permite resolver conflictos entre varias directivas. La directiva más importante tiene la máxima prioridad. Para obtener más información, consulte Organizar las directivas de derechos basados en funciones por orden de prioridad.

34.1.6 Organizar las directivas de derechos basados en funciones por orden de prioridad

Al crear directivas de derechos basados en funciones, es posible que entren en conflicto las directivas que afectan a un determinado usuario.

El orden de las directivas de derechos basados en funciones de la lista representa la prioridad. Puede cambiar el orden de la lista mediante los botones de flecha arriba y flecha abajo.

  • Este parámetro puede ser útil si, por ejemplo, un atributo del sistema conectado solo permite un único valor. Si dos directivas de derechos basados en funciones diferentes conceden un valor para ese atributo al mismo usuario, este recibe el valor otorgado por la directiva que esté más alta en la lista. Otro ejemplo es que quizás haya configurado su entorno para que utilice derechos a fin de incluir usuarios en una estructura jerárquica de otro sistema. Le gustaría que el usuario se incluyera en una ubicación u otra, no en dos lugares al mismo tiempo.

  • Tenga en cuenta que el parámetro es independiente para cada derecho que ofrece cada controlador.

  • Como norma general, debería incluir las directivas de administradores o gestores en una posición más elevada en la lista que las directivas de usuarios finales o colaboradores individuales. Debe incluir los grupos con un número más reducido de miembros en una posición más elevada que los grupos con un número mayor de miembros.

Para organizar las directivas de derechos basados en funciones por orden de prioridad:

  1. Seleccione la directiva de derechos que desea subir o bajar en la lista.

  2. Utilice la flecha Arriba o Abajo para organizar las directivas de derechos basados en funciones por orden de prioridad.

  3. Haga clic en el botón Guardar .

    El resumen de los detalles de pertenencia de la directiva se muestra en la pestaña Resumen.

  4. Reinicie el controlador.

    NOTA:Debe reiniciar el controlador para que se apliquen los cambios.