35.1 役割とアクセス制御について

OpenText Identity Consoleは、特定の責任をユーザに割り当て、それらの責任を果たすために必要なツールとそれに付随する権利をユーザに提示する機能を提供します。

RACは、OpenText eDirectoryスキーマの拡張です。RACは、管理者がRAC環境設定におけるユーザの役割に基づいて管理タスクへのアクセスをユーザに与えるためのメカニズムであるいくつかのオブジェクトクラスと属性を定義します。これにより、実行する必要があるタスクにのみユーザがアクセスできます。

メモ:OpenText Identity Console RACは、OpenText eDirectoryのアクセス制御リスト(ACL)機能に基づいて権利を付与します。これらのACLを使用すると、トラスティに特定のオブジェクトまたはその従属オブジェクトの権利を付与できます。ACLは、特定のオブジェクトタイプに基づいて付与されるわけではありません。各OpenText Identity Consoleタスクで、適用可能なオブジェクトタイプと必要なACLが定義されます。ただし、これらのACLを使用すると、ユーザはOpenText eDirectory APIまたは他のツールを介して他のオブジェクトタイプでこれらの操作を実行できるようになります。

RAC機能は、組織内で特定の役割を作成するのにも役立ちます。役割には、新しいユーザの作成やパスワードの変更など、割り当てられたユーザがOpenText Identity Console内で実行できるタスクが含まれています。タスクは役割に事前に割り当てられています。ただし、タスクの置き換え、再割り当て、削除を行うことは可能です。

さらに、ユーザは特定のスコープ内の役割に関連付けられます。スコープは、そのユーザがタスクを実行するために必要な権利を持つ、ツリー内のコンテナです。役割では、役割、メンバー、スコープという3つの部分の関連付けが完了されている必要があります。

役割オブジェクトは、ユーザとタスクの間の関連付けを作成します。管理者は、ユーザをタスクの割り当てられている役割のメンバーにすることにより、そのユーザにタスクへのアクセス権を付与します。

役割へのユーザの割り当ては、次の方法で行うことができます。

  • ユーザとして直接割り当てる。

  • グループの割り当てを使用する。

    役割に割り当てられているグループまたはダイナミックグループのメンバーであれば、ユーザはその役割にアクセスできます。

  • コンテナの割り当てを使用する。

    ユーザオブジェクトは、その親コンテナが割り当てられたすべての役割にアクセスできます。これには、組織や組織単位などのコンテナも含まれます。

役割との関連付けは、それぞれ異なるスコープで何度も実行できます。

35.1.1 OpenText eDirectoryの役割とアクセス制御オブジェクト

次の表は、RACオブジェクトの一覧です。OpenText Identity Consoleでは、RACのインストール時にこれらのオブジェクトを含むようにOpenText eDirectoryスキーマを拡張します。

オブジェクト

説明

RAC環境設定

すべての役割オブジェクトおよびモジュールオブジェクトを格納するコンテナオブジェクト。

RAC環境設定オブジェクトは、すべてのRACオブジェクトの最上位コンテナです。ツリーにはRAC環境設定オブジェクトをいくつでも格納できます。これらのオブジェクトの所有者は、環境設定を管理する権利を持つユーザです。

RAC環境設定オブジェクトは次のコンテナのいずれかに作成できます。

  • ドメイン。

  • 場所。

  • 国。

  • 組織。

  • 部門。

RAC役割

役割の定義には、RAC役割オブジェクトの作成や役割が実行できるタスクの指定が含まれます。

RAC役割は、RAC環境設定コンテナ内でのみ作成できるコンテナオブジェクトです。

役割のメンバーになることができるのは、ユーザ、グループ、組織、または部門です。役割のメンバーは、ツリー内の特定のスコープで役割に関連付けられます。RACタスクオブジェクトはRAC役割オブジェクトに割り当てられます。

RACタスク

ユーザやグループの作成など、特定の機能を保持するリーフオブジェクト。

RACタスクオブジェクトは、RACモジュールコンテナ内にのみ格納されます。

RACスコープ

リーフオブジェクトは、ユーザオブジェクトごとに割り当てずにACL割り当てを実行するために使用されます。RACスコープオブジェクトは、役割が実行されるツリー内のコンテキストを表し、RAC役割オブジェクトに関連付けられています。このオブジェクトはグループクラスから権利を継承します。ユーザオブジェクトはRACスコープオブジェクトに割り当てられます。これらのオブジェクトは、関連付けられるツリーのスコープを参照します。

オブジェクトは必要に応じて動的に作成され、不要になれば自動的に削除されます。これらはRAC役割コンテナ内にのみ格納されます。

RACスコープは、組織および部門にすることができます。

警告:RACスコープオブジェクトの環境設定は変更しないでください。変更すると、重大な結果が生じ、システムが破損する可能性があります。

RACモジュール

RACタスクオブジェクトを格納するコンテナオブジェクトを表します。RACモジュールオブジェクトには、証明書管理、認証管理、ユーザ管理などのタスクを定義する製品の名前を表すモジュール名属性があります。

RACモジュールオブジェクトは、RAC環境設定コンテナ内でのみ作成できます。