34.1 役割ベースエンタイトルメント

RBEポリシーは、接続システムのRBEを付与するために追加される、付加機能を備えたOpenText Identity Consoleのダイナミックグループオブジェクトです。RBEポリシーを作成するときは、そのポリシーのメンバーシップおよびそのRBEポリシーのメンバーに付与するエンタイトルメントを定義します。各RBEポリシーは、特定のサーバに割り当てられている1つのドライバセットオブジェクトに関連付けられます。OpenText Identity Managerドライバと同様、各エンタイトルメントポリシーが管理できるのは、割り当てられたサーバ上のマスタレプリカまたは読み書き可能レプリカに存在するオブジェクトだけです。

次のセクションでは、役割ベースエンタイトルメントについて詳しく説明します。

34.1.1 概要

このページには、エンタイトルメントポリシーのメンバーシップ基準とエンタイトルメントの概要がまとめられています。

メンバーシップ:

ダイナミックメンバーシップに指定された条件が、LDAPフィルタの構文で表示されます。［識別情報の検索］では、ダイナミックメンバーシップのクエリを実行するときに使用されるオブジェクト権利が示されます。［ベースDN］と［スコープ］では、クエリにツリーのどの部分を含めるかが示されます。

チェックボックスを選択して、スタティックメンバーシップに含まれるものと、メンバーシップから除外されるものを確認できます。

すべてのメンバーを結合したリストは、長くなるので［概要］ページには表示されません。エンタイトルメントポリシー、ダイナミックとスタティックのすべてのメンバーを結合したリストを表示するには、［メンバーシップ］［メンバーシップの表示］タブの順に選択します。

エンタイトルメント:

エンタイトルメントポリシーのメンバーに付与された接続システムのエンタイトルメントです。役割ベースエンタイトルメントと接続システムとの一貫性は、緩やかに保たれていることに注意してください。つまり、接続システム上のエンタイトルメントのステータスは、エンタイトルメントポリシーのインタフェースには表示されないということです。エンタイトルメントポリシーにエンタイトルメントを付与すると、そのエンタイトルメントは接続システムでは利用できなくなりますが、リストから手動で削除するまではエンタイトルメントポリシー内にリストされたままになります。

衝突の解決:

これらの方法は、値を持つRBEの場合、2つ以上のRBEポリシーによって異なる値がユーザに付与されているときに、どの値をユーザに付与するかを決定するのに使用されます。値を持つエンタイトルメントの例としては、電子メール配布リストのメンバーシップがあります。この場合の値は、配布リストの名前になります。

衝突の解決方法は、各ドライバオブジェクトの個々のエンタイトルメントごとに設定されます。1つのエンタイトルメントが複数のRBEポリシーで使用される場合、衝突の解決方法は、すべてのRBEポリシーで同じになります。エンタイトルメントの衝突解決方法を変更するには、ドライバのドライバマニフェストで、そのエンタイトルメントの設定を変更します。

  • 未認識: RBEポリシーがウィザードで完了していないか、またはドライバマニフェストに設定が正しく入力されていません。

  • マージ: デフォルト設定は［マージ］(ドライバマニフェストでの「結合」)です)。このエンタイトルメントのすべての値を、ユーザがメンバーであるRBEポリシーから付与します。

    ［マージ］のデフォルト設定を使用している場合、この特別なエンタイトルメントにとってポリシーの優先順位は重要ではありません。

    たとえば、あるユーザに、ManagersポリシーとTeam Membersポリシーという2つのRBEポリシーによって、GroupWise®ドライバAの電子メール配布リストのメンバーシップが付与されているとします。ポリシー 1では、ユーザはManagers電子メール配布リストのメンバーシップを付与されており、ポリシー 2では、Team Members電子メール配布リストのメンバーシップを付与されています。 ［マージ］の設定により、このユーザは両方の電子メール配布リストでメンバーシップが付与されます。

  • 優先度: この設定は、同じドライバオブジェクトからの同じエンタイトルメントに対し、複数のRBEポリシーがユーザに異なる値を付与している場合、そのユーザにはリストの最上位のRBEポリシーで指定された値のみが付与されます。

    ［優先度］デフォルト設定を使用している場合、この特別なエンタイトルメントにとってポリシーのリストの優先順位は重要ではありません。

    たとえば、あるユーザに、ManagersポリシーとTeam Membersポリシーという2つのRBEポリシーによって、GroupWiseドライバAの電子メール配布リストのメンバーシップが付与されているとします。Managersポリシーでは、ユーザはManagers電子メール配布リストのメンバーシップを付与されており、Team Membersポリシーでは、Team Members電子メール配布リストのメンバーシップを付与されています。 Managersポリシーは、ポリシーのリストではTeam Membersポリシーよりも上位にリストされています。［優先度］の設定により、このユーザはManagers電子メール配布リストのメンバーシップのみが付与されます。

    衝突の解決に優先度を使用すると、接続システムの属性で1つの値しか指定できない場合などに便利です。異なるRBEポリシーによって同じユーザへの属性値が付与されている場合、ユーザはリスト内の最上位のRBEポリシーで付与されている値を受け取ります。

メモ:衝突の解決設定は、アカウントなどの値を持たないエンタイトルメントには使用できません。値を持たないエンタイトルメントは、リスト内のポリシーの優先度に関係なく、常にRBEポリシーのメンバーに対して付与されます。

34.1.2 ダイナミックメンバー

ダイナミックメンバーシップに指定された条件が、LDAPフィルタの構文で表示されます。［識別情報の検索］では、ダイナミックメンバーシップのクエリを実行するときに使用されるオブジェクト権利が示されます。［ベースDN］と［スコープ］では、クエリにツリーのどの部分を含めるかが示されます。

メンバーシップフィルタ

ツリー内の場所やオブジェクトの属性などのメンバーシップの条件を定義できます。たとえば、メンバーシップは、ユーザがActiveコンテナ内に存在するかどうか、または役職名にマネージャという言葉が含まれるかどうかによって異なります。条件に合致するユーザは自動的にRBEポリシーのメンバーになります。各ユーザを個別にポリシーに追加する必要はありません。ダイナミックメンバーシップは、ダイナミックグループオブジェクトと同様です。

オブジェクトが変更され、ダイナミックメンバーシップの条件に合致しなくなった場合には、エンタイトルメントは、次にユーザが再評価されるときに自動的に取り消されます。

検索パラメータの設定

エンタイトルメントポリシーを管理するユーザの場所を指定します。ユーザ(ベースDN)を保持するコンテナを選択し、そのコンテナから検索を実行する範囲(検索スコープ)を指定します。指定したコンテナ内のユーザを管理するエンタイトルメントポリシーの場合、ユーザはサーバ上の読み書き可能レプリカまたはマスタレプリカに存在する必要があります。

検索スコープには、次のオプションがあります。

  • このコンテナとそのサブコンテナ: ユーザがダイナミックメンバーシップの条件を満たしている場合、ツリーにおけるこのコンテナ内のユーザは、エンタイトルメントポリシーのメンバーになります。サブコンテナ内のユーザも、条件を満たしている場合はメンバーになります。

  • このコンテナのみ: ユーザがダイナミックメンバーシップの条件を満たしている場合、このコンテナ内のユーザのみが、エンタイトルメントポリシーのメンバーになります。ユーザが条件を満たしている場合でも、このコンテナのサブコンテナ内のユーザはメンバーにはなりません。

フィルタ条件の定義

エンタイトルメントポリシーのメンバーであるユーザを特定する特性を指定します。

エンタイトルメントポリシーの［概要］ページに、指定したダイナミックメンバーシップの条件がLDAPフィルタの構文で表示されます。

デフォルトでは、ダイナミックメンバーシップは、エンタイトルメントポリシーのメンバーの検索スコープ内で、すべてのユーザクラスオブジェクト(およびそのユーザクラスから派生したクラスオブジェクト)を含めるために設定されます。

メモ:ユーザから派生する新しいオブジェクトクラスを作成する場合、既存のエンタイトルメントポリシーは、そのエンタイトルメントポリシーに変更を加えるまでは、作成したクラスを認識しません。これにより、新しいユーザクラスにエンタイトルメントを無意識に付与してしまうことを避けられます。エンタイトルメントポリシーへ変更を行うと、そのポリシーのユーザから派生したクラスのリストが更新されます。

ダイナミックメンバーシップの作成

［ダイナミックメンバー］タブで、次の操作を実行します。

  1. ［ダイナミックメンバー］タブをクリックします。

  2. 要件に従って、[検索識別情報]フィルタ、[検索開始範囲]フィルタ、および[検索スコープ]フィルタを使用します。

  3. 特定の[グループの作成]をクリックして新しい条件または行を作成し、必要な検索条件または条件を指定します。

    検索スコープ: 検索スコープは、検索操作で一致する可能性がある検索ベースDNの、または検索ベースDNの下にあるエントリのセットを示します。

    検索条件: 検索を制限して、多数のレコードから特定のレコードまたはレコードのグループを検索できます。

    ベースDN: ベースDNは、サーバがユーザを検索するポイントです。

    LDAPグループ: ユーザ、グループ、および組織単位の階層構造であり、ユーザおよびグループのコンテナです。

メモ:ユーザは、条件を持つ単一または複数のグループを作成できます。条件は、属性、演算子、および値で構成されます。デフォルトでは、［オブジェクトクラス］>［は等しい］>［ユーザ］は入力されています。

34.1.3 スタティックメンバー

スタティックメンバーは、スタティックキーワードを使用して宣言されるメンバーのクラスです。スタティックメンバーには、特定の制限付きアクセスがあります。

[スタティックメンバー]タブでは、次の操作を実行できます。

メンバーを含める:

ダイナミックメンバーシップフィルタに含まれていないメンバーをスタティックに追加します。

メンバーを除外する:

フィルタの条件に合致していても、エンタイトルメントポリシーに含めるべきではないメンバーを除外します。

34.1.4 エンタイトルメント

RBE(役割ベースエンタイトルメント)では、接続システムのエンタイトルメントと、OpenText Identity Managerの権利を付与できます。 エンタイトルメントは、次のものを使用できます。

  • 接続システムのアカウント。

  • 接続システム上の電子メール配布リストのメンバーシップ。

  • 接続システム上のグループメンバーシップ。

  • 指定した値が入力されている、接続システムにおける対応オブジェクトの属性。

メモ:エンタイトルメントの機能はOpenText Identity Managerの一部であるため、エンタイトルメントをサポートするためにOpenText Identity Managerドライバのインストールと設定を行ってから、接続システムのエンタイトルメントを付与する必要があります。

エンタイトルメントの作成

［エンタイトルメント］タブで、次の操作を実行します。

  1. ［エンタイトルメント］タブをクリックします。

  2. クリックして［ドライバを追加］し、接続システムにエンタイトルメントを付与します。

    [ドライバの追加]画面が表示されます。

  3. ドロップダウンメニューからドライバを選択します。

  4. ［追加］をクリックします。

    ［エンタイトルメントの追加］画面が表示されます。

  5. ドロップダウンメニューから、［エンタイトルメントの選択］をクリックし、追加するグループを選択します。

  6. ［クエリタイプ］を選択します。

    • キャッシュ: クエリが以前に実行されている場合。

    • 外部クエリ: クエリが新しい場合。

    ［グループエンタイトルメントの追加］画面が表示されます。

  7. ドロップダウンメニューからグループエンタイトルメントを選択し、［選択］をクリックします。

34.1.5 Rights to other Objects(他のオブジェクトへの権利)

このページは、エンタイトルメントポリシーのトラスティ権をOpenText eDirectoryオブジェクトに割り当てるために使用します。エンタイトルメントポリシーの各メンバーは、オブジェクトのトラスティになります。

すべての属性への権利を割り当てるほかに、［プロパティの追加］をクリックして特定のプロパティへの権利を割り当てることができます。

［継承］チェックボックスでは、権利をツリーの下位に継承するかどうかを指定します。たとえば、コンテナオブジェクトに権利を割り当てる場合に、エンタイトルメントポリシーにこのオブジェクトおよび下位のサブコンテナへの同じ権利を持たせたい場合は、［継承］チェックボックスを選択します。

このページで変更を完了すると、OpenText eDirectory 内のオブジェクトに対する権利が、エンタイトルメントポリシーのメンバーに付与されます。反対に、次回、ユーザのダイナミックメンバーシップに使用される属性が変更されたとき、またはそのユーザが移動されたり名前変更されたりしたときには、接続システムのエンタイトルメントがエンタイトルメントポリシーの各メンバーに付与されます。(権利およびエンタイトルメントが取り消された場合も同様です)更新を強制的に実行するには、［メンバーシップの再評価］を使用します。

Rights to other Objects(他のオブジェクトへの権利)の作成

権利を作成するには、次の手順を実行します。

  1. ［Rights to other Objects(他のオブジェクトへの権利)］タブをクリックします

    ここでは、新しいオブジェクトを追加し、このエンタイトルメントポリシーをトラスティにするオブジェクトを参照できます。

    1. オブジェクトを追加するには、ボタンをクリックします。

      ［コンテキストブラウザ］ページが表示されます。 このページはオブジェクトで構成されます。

    2. オブジェクトを展開し、要件に従ってグループまたは個々のユーザを選択し、権利を割り当てます。

    3. さらにプロパティを追加するには、［］をクリックします。

      ［プロパティの選択］ページが表示されます。 このページには、オブジェクトに設定できるプロパティのリストが表示されます。

    4. ［完了］をクリックします。

  2. (オプション) RBEポリシーに優先順位を付ける場合は、［上］と［下 ］矢印を使用します。

    ポリシーに優先順位を付けることは、複数のポリシー間のエンタイトルメントの競合を解決するためです。最上位のポリシーの優先度が最も高くなります。詳細については、RBEポリシーの優先順位付けを参照してください。

34.1.6 RBEポリシーの優先順位付け

RBEポリシーを作成する場合、特定のユーザに影響を与えるポリシーが衝突する可能性があります。

リスト内のRBEポリシーの順序は、優先度を示します。リスト内の順序を変更するには、上矢印や下矢印ボタンを使用します。

  • この設定は、たとえば、接続システムの属性で1つの値しか指定できない場合に便利です。異なるRBEポリシーによって同じユーザへの属性値が付与されている場合、ユーザはリスト内の最上位のRBEポリシーで付与されている値を受け取ります。他の例では、エンタイトルメントを使用して別のシステムの階層構造にユーザを配置するよう環境を設定した場合などが考えられます。ユーザは任意の1ヶ所に配置でき、同時に2ヶ所に配置することはできません。

  • 設定は、ドライバごとに提供される各エンタイトルメントとは関係ありません。

  • ルールとして管理者またはマネージャのポリシーは、エンドユーザまたは各貢献者のポリシーより上位に配置する必要があります。広いメンバーシップを持つグループは、狭いメンバーシップを持つグループより上位に配置することをお勧めします。

RBEポリシーに優先順位を付けるには、次の手順を実行します。

  1. アップグレードまたはダウングレードするエンタイトルメントポリシーを選択します。

  2. RBEポリシーの優先順位を設定するには、［上］または［下 ］矢印を使用します。

  3. 保存ボタンをクリックします。

    ポリシーメンバーシップの詳細の概要が［概要］タブに表示されます。

  4. ドライバを再起動します。

    メモ:変更を有効にするには、ドライバを再起動する必要があります。