8.3 DRAの委任割り当て処理方法の例
次に、DRAによる要求処理時の委任モデルの評価方法で発生する一般的なシナリオについて、例を挙げて説明します。
8.3.2 例2: ActiveViewの重ね合わせ
権限は、管理対象ドメインまたはサブツリー内でアシスタント管理者が表示、変更、または作成できるオブジェクトプロパティを定義します。2つ以上のActiveViewが同じオブジェクトを含めることができます。この設定を「ActiveViewの重ね合わせ」と呼びます。
ActiveViewが重なり合うと、同じオブジェクトに対して異なる一連の権限を累積することができます。たとえば、1つのActiveViewでドメインにユーザアカウントが追加でき、別のActiveViewで同じドメインからユーザアカウントが削除できる場合、そのドメイン内のユーザアカウントを追加または削除できます。このようにして、特定のオブジェクトに対する権限が累積されます。
ActiveViewが重なり合ったり、これらのActiveViewに含まれるオブジェクトに対する権限が増したりすることを理解することが重要です。次の図に示すようなActiveViewの構成を検討します。
白いタブでは、ActiveViewを場所で識別します(ニューヨーク市とヒューストン)。黒いタブでは、ActiveViewを組織の機能で識別します(営業と拡販)。各ActiveViewに含まれるグループが各セルに表示されます。
NYC_SalesグループとHOU_Salesグループはどちらも営業のActiveViewに表示されています。営業ActiveViewへの権限を持っている場合、NYC_SalesグループとHOU_Salesグループのすべてのメンバーを管理できます。ニューヨーク市ActiveViewへの権限も持っている場合、これらの追加権限がNYC_Marketingグループに適用されます。この方法により、ActiveViewが重なり合うたびに権限が積み重なります。
ActiveViewの重ね合わせにより、強力で柔軟な委任モデルとなります。ただし、この機能は予期しない結果を生む可能性もあります。ActiveViewを慎重に計画し、各アシスタント管理者がユーザアカウント、グループ、OU、連絡先、またはリソースのそれぞれに対し本当に必要な権限のみ有している状態にしてください。
複数のActiveview内のグループ
この例では、NYC_Salesグループが複数のActiveViewに表示されます。NYC_Salesグループのメンバーは、そのグループ名がNYC_*というActiveViewルールと一致するため、ニューヨーク市ActiveViewに表示されています。このグループは、*_SalesというActiveViewルールと一致するため、営業ActiveViewにも含まれます。同じグループを複数のActiveViewに含めることで、同一のオブジェクトを別々に管理することを異なるアシスタント管理者に許可することができます。
複数のActiveViewでの権限使用
ニューヨーク市のActiveViewでModify General User Propertiesという権限を持つ「JSmith」というアシスタント管理者がいるとします。この最初の権限によってJSmithさんは、ユーザプロパティウィンドウの［全般］タブですべてのプロパティを編集することができます。JSmithさんは、営業ActiveViewでModify User Profile Propertiesという権限を持っています。2つ目の権限によってJSmithさんは、ユーザプロパティウィンドウの［プロファイル］タブですべてのプロパティを編集することができます。
次の図に、各グループでJSmithさんの持つ権限を示します。
JSmithさんには、次の権限があります。
-
NYC_* ActiveViewの全般プロパティ
-
*_Sales ActiveViewのプロファイルプロパティ
このような重なり合うActiveViewの権限委任により、JSmithさんはNYC_Salesグループの［全般］と［プロファイル］の各プロパティを変更できます。そのため、JSmithさんは、NYC_Salesグループを表示するすべてのActiveViewで付与された権限をすべて持っています。