34.1 Droits basés sur les rôles

Une stratégie RBE est un objet Groupe dynamique d'OpenText Identity Console doté de fonctions supplémentaires qui permettent d'accorder des droits RBE sur les systèmes connectés. Lorsque vous créez une stratégie RBE, vous devez définir les membres de la stratégie et les droits à leur accorder. Chaque stratégie RBE est associée à un seul objet Ensemble de pilotes assigné à un serveur donné. À l'instar d'un pilote OpenText Identity Manager, chaque stratégie de droits ne peut gérer que les objets d'une réplique maître ou lecture/écriture sur le serveur auquel elle est assignée.

Les sections ci-après expliquent en détail les droits basés sur les rôles :

34.1.1 Résumé

Cette page affiche une vue de haut niveau des critères d'adhésion et des droits pour la stratégie de droits.

Adhésion :

Les critères spécifiés pour les membres dynamiques sont affichés avec la syntaxe d'un filtre LDAP. Le champ Rechercher une identité indique l'objet dont les droits sont utilisés pour la requête de membres dynamiques, et les champs DN de base et Étendue indiquent la portion de l'arborescence sur laquelle porte la requête.

Vous pouvez afficher les inclusions et exclusions de membres statiques en cochant la case.

La liste globale des membres n'est pas affichée sur la page Résumé car elle risquerait d'être trop longue. Pour voir une liste combinée de tous les membres de la stratégie de droit, qu'ils soient dynamiques ou statiques, utilisez l'onglet Membre > Afficher les membres.

Droits :

Droits sur les systèmes connectés accordés aux membres de la stratégie de droit. N'oubliez pas que les droits basés sur les rôles ne sont pas étroitement liés aux systèmes connectés. Autrement dit, l'état d'un droit sur un système connecté ne s'affiche pas dans l'interface stratégie de droit. Si vous accordez un droit à une stratégie de droit et si, par la suite, ce droit n'est plus disponible sur le système connecté, il continue de figurer dans la stratégie de droit jusqu'à ce que vous le supprimiez manuellement.

Résolution des conflits :

Pour les droits RBE associés à des valeurs, les méthodes de résolution des conflits permettent de déterminer les valeurs attribuées à un utilisateur si plusieurs stratégies RBE lui accordent des valeurs différentes. L'appartenance à une liste de distribution de courrier électronique est un exemple de droit associé à des valeurs (ici, le nom des listes de distribution).

La méthode de résolution des conflits est définie séparément pour chaque droit sur chaque objet Pilote. Si un droit est utilisé dans plusieurs stratégies RBE, la méthode utilisée est la même pour toutes les stratégies RBE. Pour changer la méthode de résolution des conflits associée à un droit, modifiez le paramètre correspondant à ce droit dans le manifeste du pilote.

Non reconnu : la stratégie RBE n'a pas été terminée dans l'assistant, ou le paramètre a été entré de façon incorrecte dans le manifeste du pilote.
Fusionner : le paramètre par défaut est Fusionner (union dans le manifeste du pilote). L'utilisateur obtient, pour le droit concerné, toutes les valeurs découlant de toutes les stratégies RBE dont il est membre.

Lorsque ce paramètre par défaut est utilisé, l'ordre de priorité des stratégies n'a pas d'importance pour le droit concerné.

Par exemple, un utilisateur peut se voir accorder le droit d'être membre de listes de distribution de courrier électronique pour le pilote GroupWise® A par deux stratégies RBE différentes, la stratégie Gestionnaires et la stratégie Membres de l'équipe. Avec la première stratégie, l'utilisateur devient membre de la liste de distribution de courrier électronique Gestionnaires ; avec la seconde, il devient membre de la liste de distribution Membres de l'équipe. Si le paramètre est défini sur Fusionner, l'utilisateur devient membre des deux listes de distribution de courrier électronique.
Priorité : ce paramètre indique que, si plusieurs stratégies RBE accordent à un utilisateur des valeurs différentes pour le même droit à partir du même objet Pilote, l'utilisateur ne se voit accorder que les valeurs spécifiées dans la stratégie RBE la plus élevée de la liste.

Lorsque le paramètre Priorité est utilisé, l'ordre de priorité des stratégies est important pour le droit concerné.

Par exemple, un utilisateur peut se voir accorder le droit d'être membre de listes de distribution de courrier électronique pour le pilote GroupWise A par deux stratégies RBE différentes, la stratégie Gestionnaires et la stratégie Membres de l'équipe. Avec la stratégie Gestionnaires, l'utilisateur devient membre de la liste de distribution de courrier électronique Gestionnaires ; avec la stratégie Membres de l'équipe, il devient membre de la liste de distribution Membres de l'équipe. La stratégie Gestionnaires apparaît dans la liste de stratégies avant la stratégie Membres de l'équipe. Si le paramètre est défini sur Fusionner, l'utilisateur devient membre de la liste de distribution de courrier électronique Gestionnaires uniquement.

Le paramètre de résolution des conflits Priorité peut s'avérer utile si, par exemple, un attribut autorise seulement une valeur sur le système connecté. Si deux stratégies RBE différentes accordent chacune une valeur à l'utilisateur, celui-ci obtiendra la valeur accordée par la stratégie RBE qui figure en premier dans la liste.

REMARQUE :aucun paramètre de résolution des conflits n'est fourni pour les droits qui ne sont pas associés à des valeurs, par exemple les comptes. Les droits de ce type sont toujours accordés aux membres de la stratégie RBE, quelle que soit la priorité des stratégies dans la liste.

34.1.2 Membres dynamiques

Filtre d'adhésion

Vous pouvez définir les critères d'adhésion, comme l'emplacement dans l'arborescence et les attributs de l'objet correspondant. Par exemple, l'adhésion à la stratégie peut dépendre de la présence de l'utilisateur dans le conteneur actif ou de la présence dans l'intitulé de la fonction du mot Responsable. Les utilisateurs qui répondent aux critères définis deviennent automatiquement membres de la stratégie RBE. Vous n'avez pas à les ajouter un par un. L'adhésion dynamique revient à définir un objet Groupe dynamique.

Si un objet est modifié et ne répond plus aux critères, les droits de l'utilisateur sont automatiquement révoqués lorsque ce dernier est réévalué.

Définir les paramètres de recherche

Indiquez l'emplacement des utilisateurs que la stratégie de droit doit gérer. Choisissez le conteneur où se trouvent les utilisateurs (DN de base) et indiquez sur quel niveau la recherche doit porter (Étendue de la recherche). Pour que la stratégie de droit puisse gérer les utilisateurs du conteneur spécifié, les utilisateurs doivent se trouver dans une réplique en lecture/écriture ou une réplique maîtresse sur le serveur.

Les options d'étendue de la recherche sont les suivantes :

Ce conteneur et les sous-conteneurs : les utilisateurs qui se trouvent sous ce conteneur dans l'arborescence sont des membres de la stratégie de droits s'ils respectent les critères spécifiés pour l'adhésion dynamique. Les utilisateurs présents dans les sous-conteneurs peuvent également être membres s'ils répondent aux critères.
Uniquement ce conteneur : les utilisateurs qui appartiennent à ce conteneur ne sont membres de la stratégie de droits que s'ils respectent les critères spécifiés pour l'adhésion dynamique. Les utilisateurs présents dans les sous-conteneurs de ce conteneur ne peuvent pas être membres, même s'ils répondent à ces critères.

Définir les critères de filtrage

Indiquez les caractéristiques qui déterminent quels utilisateurs sont membres de la stratégie de droit.

Sur la page Résumé d'une stratégie de droit, les critères applicables aux membres dynamiques apparaissent avec la syntaxe d'un filtre LDAP.

Par défaut, la définition dynamique des membres inclut dans l'étendue de la recherche tous les objets de la classe Utilisateur (ainsi que les objets des classes dérivées) comme membres de la stratégie de droit.

REMARQUE :si vous créez une classe d'objet dérivée de Utilisateur, une stratégie de droits existante n'a connaissance de cette classe que si vous modifiez cette stratégie. Cela évite que des droits ne soient accordés par mégarde aux utilisateurs d'une nouvelle classe. Lorsqu'une modification est apportée à la stratégie de droit, la liste des classes dérivées de la classe Utilisateur pour cette stratégie est mise à jour.

Création d'une adhésion dynamique

Sous l'onglet Membres dynamiques, procédez comme suit :

Cliquez sur l'onglet Membres dynamiques.
Utilisez les filtres Identité de recherche, Commencer la recherche à et Étendue de la recherche selon vos besoins.
Cliquez sur l'option Créer un groupe correspondante pour créer une condition ou une ligne, puis fournissez les critères de recherche ou les conditions requis.

Étendue de la recherche : l'étendue de la recherche indique l'ensemble d'entrées au niveau ou au-dessous du DN de base de recherche qui peuvent être considérés comme des correspondances potentielles pour une opération de recherche.

Critères de recherche : vous pouvez limiter une recherche pour vous aider à localiser un enregistrement ou un groupe d'enregistrements spécifiques parmi un nombre important d'enregistrements.

DN de base : un DN de base est le point à partir duquel un serveur recherche des utilisateurs.

Groupe LDAP : organisation hiérarchique d'utilisateurs, de groupes et d'unités organisationnelles qui sont des conteneurs pour les utilisateurs et les groupes.

REMARQUE :l'utilisateur peut créer un ou plusieurs groupes avec des conditions. Les conditions sont constituées d'attributs, d'opérateurs et de valeurs. Par défaut, la condition Classe d'objet > est égal > Utilisateur est spécifiée.

34.1.3 Membres statiques

Les membres statiques sont une classe de membres déclarés à l'aide de mots-clés statiques. Un membre statique dispose de certains accès limités.

Sous l'onglet Membres statiques, vous pouvez effectuer les opérations suivantes :

Inclure des membres :

Ajoutez de manière statique les membres qui ne sont pas inclus par le filtre d'adhésion dynamique.

Exclure des membres :

Excluez les membres qui satisfont aux critères du filtre mais qui ne doivent pas être inclus dans la stratégie de droits.

34.1.4 Droits

Grâce aux droits RBE, vous pouvez accorder des droits sur les systèmes connectés et des droits dans OpenText Identity Manager. Il peut s'agir de l'un des droits suivants :

Comptes sur les systèmes connectés.
Appartenance aux listes de distribution de courrier électronique sur les systèmes connectés.
Appartenance à un groupe sur les systèmes connectés.
Attributs des objets correspondants sur les systèmes connectés, selon les valeurs que vous spécifiez.

REMARQUE :la fonctionnalité Droits faisant partie d'OpenText Identity Manager, vous devez installer et configurer les pilotes OpenText Identity Manager pour qu'ils prennent en charge cette fonctionnalité avant de pouvoir accorder des droits sur les systèmes connectés.

Créer un droit

Sous l'onglet Droits, procédez comme suit :

Cliquez sur l'onglet Droit.
Cliquez sur pour ajouter des pilotes et fournir des droits sur les systèmes connectés.

L'écran Add Driver (Ajouter un pilote) s'affiche.
Sélectionnez le pilote de votre choix dans le menu déroulant.
Cliquez sur Ajouter.

L'écran Add Entitlements (Ajouter des droits) s'affiche.
Dans le menu déroulant, sélectionnez le groupe de droits à ajouter.
Sélectionnez le type de requête :
- Cached (En cache) : lorsque les requêtes ont déjà été exécutées.
- External Query (Requête externe) : lorsque les requêtes sont nouvelles.
L'écran Add Group Entitlement (Ajouter un droit de groupe) s'affiche.
Sélectionnez un droit de groupe dans le menu déroulant, puis cliquez sur Sélectionner.

34.1.5 Droits sur d'autres objets

Utilisez cette page pour donner à l'ayant droit d'une stratégie des droits sur un objet OpenText eDirectory. Chaque membre de la stratégie de droit devient alors un ayant droit de l'objet.

Vous pouvez assigner des droits à tous les attributs, mais également cliquer sur Ajouter une propriété pour assigner des droits à des propriétés spécifiques.

La case à cocher Hériter détermine si les droits sont répercutés aux niveaux inférieurs de l'arborescence. Si, par exemple, vous attribuez des droits à un objet Conteneur, et si vous souhaitez que la stratégie de droits attribue les mêmes droits aux objets et aux sous-conteneurs de ce conteneur, cochez cette case.

Les droits sur les objets OpenText eDirectory sont accordés aux membres de la stratégie de droit une fois que toutes les modifications ont été apportées sur cette page. En revanche, les droits dans les systèmes connectés sont accordés à chaque membre de la stratégie lorsqu'un attribut utilisé pour l'appartenance dynamique est modifié pour un utilisateur ou que l'utilisateur est déplacé ou renommé. La même chose s'applique lorsque des droits sont révoqués. La tâche de réévaluation de l'appartenance permet d'imposer une mise à jour.

Créer des droits sur d'autres objets

Pour créer des droits, procédez comme suit :

Cliquez sur l'onglet Rights to Other Objects (Droits sur d'autres objets).

Vous pouvez ajouter un nouvel objet et rechercher les objets dont cette stratégie de droits doit être un ayant droit.
1. Pour ajouter un objet, cliquez sur le bouton .
  
  La page PARCOUREUR DE CONTEXTE s'affiche. Elle se compose d'objets.
2. Développez les objets, sélectionnez des groupes ou des utilisateurs selon vos besoins, puis assignez-leur des droits.
3. Pour ajouter d'autres propriétés, cliquez sur .
  
  La page SÉLECTIONNER UNE PROPRIÉTÉ s'affiche. Elle contient la liste des propriétés qu'un objet peut comporter.
4. Cliquez sur Terminé.
(Facultatif) Définissez la priorité des stratégies RBE à l'aide des flèches haut et bas .

La définition de la priorité des stratégies consiste à résoudre les conflits de droits entre plusieurs stratégies. La stratégie la plus élevée a la priorité la plus élevée. Pour plus d'informations, reportez-vous à la section Définir la priorité des stratégies RBE.

34.1.6 Définir la priorité des stratégies RBE

Lorsque vous créez des stratégies RBE, il est possible que les stratégies concernant un utilisateur particulier soient en conflit.

Les stratégies RBE figurent dans la liste selon l'ordre de priorité. Vous pouvez changer l'ordre de la liste en utilisant les boutons fléchés vers le haut et vers le bas.

Ce paramètre peut s'avérer utile si, par exemple, un attribut sur le système connecté n'autorise qu'une seule valeur. Si deux stratégies RBE différentes accordent chacune une valeur pour cet attribut au même utilisateur, celui-ci reçoit·la valeur de stratégie RBE qui figure en premier dans la liste. Supposons également que vous ayez configuré votre environnement pour qu'il utilise les droits pour placer les utilisateurs dans une hiérarchie sur un autre système. Vous voulez que chaque utilisateur soit placé à un endroit et pas à deux endroits à la fois.
N'oubliez pas que ce paramètre peut être différent pour chaque droit offert par chaque pilote.
En règle générale, vous devez placer les stratégies de gestionnaire ou d'administrateur plus haut dans la liste que les stratégies d'utilisateurs finals ou de simples collaborateurs. Placez les groupes les plus étroits avant les groupes les plus larges.

Pour définir la priorité des stratégies RBE :

Sélectionnez la stratégie de droits à mettre à niveau ou à passer à une version antérieure.
Définissez la priorité des stratégies RBE à l'aide des flèches haut et bas .
Cliquez sur le bouton Enregistrer .

Le résumé des détails de l'adhésion à la stratégie s'affiche dans l'onglet Résumé.
Redémarrez le pilote.

REMARQUE :vous devez redémarrer le pilote pour que les modifications prennent effet.