34.1 Uwierzytelnienie oparte na roli

Założenie RBE to obiekt grupy dynamicznej OpenText Identity Console z dodatkowymi funkcjami pozwalającymi na przyznawanie uwierzytelnień opartych na rolach w połączonych systemach. Podczas tworzenia założenia RBE definiuje się członkostwo dla założenia, a także uwierzytelnienia, które powinny zostać przyznane członkom założenia RBE. Każde założenie RBE jest skojarzone z pojedynczym obiektem zestawu programów obsługi przypisanym do konkretnego serwera. Podobnie jak program obsługi OpenText Identity Manager, każde założenie dotyczące uwierzytelnienia może zarządzać tylko obiektami znajdującymi się w replice głównej lub replice do odczytu/zapisu na serwerze, do którego jest przypisane.

W poniższych sekcjach wyjaśniono szczegółowo uwierzytelnienie oparte na roli:

34.1.1 Podsumowanie

Ta strona przedstawia ogólny widok kryteriów członkostwa i uwierzytelnień w ramach założenia dotyczącego uwierzytelnienia.

Członkostwo:

Kryteria określone dla członkostwa dynamicznego są wyświetlane w składni filtru LDAP. Informacje w polu Tożsamość wyszukiwania wskazują, które prawa obiektu są używane podczas odpytywania o członkostwo dynamiczne, a informacje w polach Podstawowa nazwa wyróżniająca i Zakres wskazują, która część drzewa jest uwzględniona w zapytaniu.

Uwzględnienia w członkostwie statycznym i wykluczenia z niego można wyświetlić, zaznaczając pole wyboru.

Połączona lista wszystkich członków nie jest wyświetlana na stronie Podsumowanie, ponieważ lista ta może być długa. Aby wyświetlić połączoną listę wszystkich członków założenia dotyczącego uwierzytelnienia, zarówno dynamicznych, jak i statycznych, użyj karty Członkostwo > Wyświetl członkostwo.

Uwierzytelnienia:

Uwierzytelnienia w połączonych systemach przyznane członkom założenia dotyczącego uwierzytelnienia. Należy pamiętać, że uwierzytelnienia oparte na rolach są luźno spójne z połączonymi systemami. Oznacza to, że stan uwierzytelnienia w połączonym systemie nie jest wyświetlany w interfejsie Uwierzytelnienie oparte na roli. Jeśli przyznasz uwierzytelnienie założeniu dotyczącemu uwierzytelnienia, a później to uwierzytelnienie nie jest już dostępne w połączonym systemie, uwierzytelnienie nadal widnieje w założeniu dotyczącym uwierzytelnienia, dopóki nie usuniesz go ręcznie z listy.

Rozwiązywanie konfliktów:

W przypadku założeń RBE mających wartości te metody są używane do określania, które wartości są przyznawane użytkownikowi, jeśli co najmniej dwa założenia RBE przyznają temu użytkownikowi różne wartości. Przykładem uwierzytelnienia, które ma wartości, jest członkostwo w listach dystrybucyjnych poczty e-mail, gdzie wartości to nazwy list dystrybucyjnych.

Metoda rozwiązywania konfliktów jest ustawiana osobno dla każdego indywidualnego uwierzytelnienia w każdym obiekcie programu obsługi. Jeśli uwierzytelnienie jest używane w wielu założeniach RBE, metoda rozwiązywania konfliktów jest taka sama we wszystkich założeniach RBE. Aby zmienić metodę rozwiązywania konfliktów dla uwierzytelnienia, należy zmienić ustawienie tego uwierzytelnienia w manifeście programu obsługi dla programu obsługi.

Nierozpoznane: uwierzytelnienie RBE nie zostało ukończone w kreatorze lub ustawienie zostało niepoprawnie wpisane w manifeście programu obsługi.
Scalenie: ustawienie domyślne to Scalenie (union w manifeście programu obsługi). Oznacza to, że użytkownikowi zostają przyznane wszystkie wartości tego uwierzytelnienia ze wszystkich założeń RBE, których jest członkiem.

W przypadku korzystania z domyślnego ustawienia Scalenie kolejność priorytetów listy założeń nie ma znaczenia dla tego konkretnego uwierzytelnienia.

Na przykład użytkownikowi przyznawane jest członkostwo w listach dystrybucyjnych poczty e-mail dla programu obsługi GroupWise® A na podstawie dwóch różnych założeń RBE — założenia Menedżerowie i założenia Członkowie zespołu. W założeniu 1 użytkownik otrzymuje członkostwo w liście dystrybucyjnej poczty e-mail Menedżerowie, a w założeniu 2 — członkostwo w liście dystrybucyjnej poczty e-mail Członkowie zespołu. W przypadku ustawienia Scalenie użytkownik otrzymuje członkostwo w obu listach dystrybucyjnych poczty e-mail.
Priorytet: to ustawienie oznacza, że jeśli wiele założeń RBE przyznaje użytkownikowi różne wartości dla tego samego uwierzytelnienia z tego samego obiektu programu obsługi, użytkownik otrzymuje tylko te wartości, które są określone w założeniu RBE znajdującym się najwyżej na liście.

W przypadku korzystania z ustawienia Priorytet kolejność priorytetów listy założeń ma znaczenie dla tego konkretnego uwierzytelnienia.

Na przykład użytkownikowi przyznawane jest członkostwo w listach dystrybucyjnych poczty e-mail dla programu obsługi GroupWise A na podstawie dwóch różnych założeń RBE — założenia Menedżerowie i założenia Członkowie zespołu. W założeniu Menedżerowie użytkownik otrzymuje członkostwo w liście dystrybucyjnej poczty e-mail Menedżerowie, a w założeniu Członkowie zespołu — członkostwo w liście dystrybucyjnej poczty e-mail Członkowie zespołu. Założenie Menedżerowie znajduje się wyżej na liście założeń niż założenie Członkowie zespołu. W przypadku ustawienia Priorytet użytkownik otrzymuje członkostwo tylko w liście dystrybucyjnej poczty e-mail Menedżerowie.

Używanie priorytetu do rozwiązywania konfliktów może być przydatne na przykład wtedy, gdy atrybut w połączonym systemie dopuszcza tylko jedną wartość. Jeśli dwa różne założenia RBE przyznają wartość tego atrybutu temu samemu użytkownikowi, użytkownik otrzyma wartość przyznaną przez założenie RBE, które jest najwyżej na liście.

UWAGA:Ustawienie rozwiązywania konfliktów nie jest dostępne dla uwierzytelnień, które nie mają wartości, takich jak konto. Uwierzytelnienia bez wartości są zawsze przyznawane członkom założeń RBE, niezależnie od priorytetu założeń na liście.

34.1.2 Członkowie dynamiczni

Filtr członkostwa

Możliwe jest zdefiniowanie kryteriów członkostwa, takich jak położenie w drzewie i atrybuty obiektu. Na przykład członkostwo może zależeć od tego, czy użytkownik znajduje się w aktywnym kontenerze lub czy nazwa stanowiska zawiera słowo Menedżer. Użytkownicy spełniający kryteria stają się automatycznie członkami założenia RBE, bez konieczności dodawania każdego użytkownika do założenia. Członkostwo dynamiczne jest takie samo jak obiekt grupy dynamicznej.

Jeśli obiekt zmieni się tak, że nie spełnia już kryteriów członkostwa dynamicznego, uwierzytelnienia zostają automatycznie unieważnione przy następnej ponownej ocenie użytkownika.

Ustawianie parametrów wyszukiwania

Określ lokalizację użytkowników, którymi ma zarządzać założenie dotyczące uwierzytelnienia. Wybierz kontener, w którym znajdują się użytkownicy (Podstawowa nazwa wyróżniająca) oraz jak daleko od tego kontenera w dół ma przebiegać wyszukiwanie (Zakres wyszukiwania). Aby założenie dotyczące uwierzytelnienia mogło zarządzać użytkownikami w określonych kontenerach, użytkownicy muszą znajdować się w replice do odczytu/zapisu lub replice głównej na serwerze.

Dla ustawienia Zakres wyszukiwania dostępne są następujące opcje:

Ten kontener i kontenery podrzędne: użytkownicy poniżej tego kontenera w drzewie są członkami założenia dotyczącego uwierzytelnienia, jeśli spełniają kryteria określone dla członkostwa dynamicznego. Użytkownicy wewnątrz kontenerów podrzędnych również są członkami, jeśli spełniają kryteria.
Tylko ten kontener: użytkownicy wewnątrz tego kontenera są członkami założenia dotyczącego uwierzytelnienia, tylko jeśli spełniają kryteria określone dla członkostwa dynamicznego. Użytkownicy wewnątrz kontenerów podrzędnych poniżej tego kontenera nie są członkami, nawet jeśli spełniają kryteria.

Definiowanie kryteriów filtru

Podaj cechy określające, którzy użytkownicy są członkami założenia dotyczącego uwierzytelnienia.

Na stronie Podsumowanie dla założenia dotyczącego uwierzytelnienia kryteria określone dla członkostwa dynamicznego są wyświetlane w składni filtru LDAP.

Domyślnie członkostwo dynamiczne jest ustawione na uwzględnianie wszystkich obiektów klasy Użytkownik (i obiektów klas pochodnych od klasy Użytkownik) w zakresie wyszukiwania jako członków założenia dotyczącego uwierzytelnienia.

UWAGA:Jeśli utworzysz nową klasę obiektu pochodną od klasy Użytkownik, istniejące założenie dotyczące uwierzytelnienia nie będzie znało tej klasy, dopóki nie zmodyfikujesz założenia dotyczącego uwierzytelnienia. Zapobiega to niezamierzonemu przyznawaniu uwierzytelnień użytkownikom nowej klasy. Wprowadzenie jakiejkolwiek modyfikacji do założenia dotyczącego uwierzytelnienia powoduje zaktualizowanie listy klas pochodnych od użytkownika dla tego założenia.

Tworzenie członkostwa dynamicznego

Na karcie Członkowie dynamiczni wykonaj następujące czynności:

Kliknij kartę Członkowie dynamiczni.
Użyj filtrów Tożsamość wyszukiwania, Rozpocznij wyszukiwania w i Zakres wyszukiwania zgodnie z wymaganiami.
Kliknij konkretną opcję Utwórz grupę, aby utworzyć nowy warunek lub wiersz, a następnie podaj wymagane kryteria wyszukiwania lub warunek.

Zakres wyszukiwania: zakres wyszukiwania wskazuje zestaw wpisów na poziomie lub poniżej podstawowej nazwy wyróżniającej wyszukiwania, które mogą być uznane za potencjalne dopasowanie dla operacji wyszukiwania.

Kryteria wyszukiwania: wyszukiwanie można ograniczyć, aby ułatwić zlokalizowanie określonego rekordu lub grupy rekordów z dużej liczby rekordów.

Podstawowa nazwa wyróżniająca: podstawowa nazwa wyróżniająca to punkt, od którego serwer będzie szukać użytkowników.

Grupa LDAP: jest to hierarchiczna organizacja użytkowników, grup i jednostek organizacyjnych, które są kontenerami dla użytkowników i grup.

UWAGA:Użytkownik może tworzyć jedną lub wiele grup z warunkami. Warunki składają się z atrybutów, operatorów i wartości. Domyślnie wypełniany jest warunek Klasa obiektu > jest równe > Użytkownik.

34.1.3 Członkowie statyczni

Członkowie statyczni to klasa członków, którzy są deklarowani przy użyciu statycznych słów kluczowych. Członek statyczny ma pewnie ograniczone dostępy.

Na karcie Członkowie statyczni można wykonywać następujące operacje:

Uwzględnij członków:

Dodaj statycznie członków, którzy nie są uwzględnieni przez filtr członkostwa dynamicznego.

Wyklucz członków:

Wyklucz członków, którzy spełniają kryteria filtru, ale nie powinni być uwzględnieni w założeniu dotyczącym uwierzytelnienia.

34.1.4 Uwierzytelnienia

Uwierzytelnienie RBE umożliwia przyznanie uwierzytelnień w połączonych systemach oraz praw w programie OpenText Identity Manager. Uwierzytelnienia mogą być następujące:

Konta w połączonych systemach.
Członkostwo w listach dystrybucyjnych poczty e-mail w połączonych systemach.
Członkostwo w grupie w połączonych systemach.
Atrybuty odpowiednich obiektów w połączonych systemach, wypełnione wartościami, które podasz.

UWAGA:Funkcjonalność Uwierzytelnienia jest częścią programu OpenText Identity Manager, dlatego zanim będzie można przyznawać uwierzytelnienia w połączonych systemach, należy zainstalować i skonfigurować programy obsługi OpenText Identity Manager do obsługi funkcji Uwierzytelnienia.

Tworzenie uwierzytelnienia

Na karcie Uwierzytelnienia wykonaj następujące czynności:

Kliknij kartę Uwierzytelnienie.
Kliknij przycisk , aby dodać programy obsługi i zapewnić uwierzytelnienia w połączonych systemach.

Pojawi się ekran Dodaj program obsługi.
Wybierz program obsługi z menu rozwijanego.
Kliknij przycisk Dodaj.

Pojawi się ekran Dodaj uwierzytelnienia.
Z menu rozwijanego wybierz grupę uwierzytelnień, którą chcesz dodać.
Wybierz typ zapytania:
- Buforowane: gdy zapytania zostały wcześniej uruchomione.
- Zapytanie zewnętrzne: gdy zapytania są nowe.
Pojawi się ekran Dodaj uwierzytelnienie grupowe.
Wybierz uwierzytelnienie grupowe z menu rozwijanego, a następnie kliknij przycisk Wybierz.

34.1.5 Rights to other Objects (Prawa do innych obiektów)

Ta strona umożliwia nadanie praw dysponenta założenia dotyczącego uwierzytelnienia do obiektu OpenText eDirectory. Każdy członek założenia dotyczącego uwierzytelnienia staje się dysponentem obiektu.

Oprócz przypisywania praw do wszystkich atrybutów można kliknąć przycisk Dodaj właściwość, aby przypisać prawa do określonych właściwości.

Pole wyboru Dziedziczenie określa, czy prawa są przenoszone w dół drzewa. Na przykład jeśli przypisujesz prawa do obiektu kontenera i chcesz, aby założenie dotyczące uwierzytelnienia miało takie same prawa do obiektów i kontenerów podrzędnych znajdujących się poniżej tego kontenera, zaznacz pole wyboru Dziedziczenie.

Prawa do obiektów w OpenText eDirectory są przyznawane członkom założenia dotyczącego uwierzytelnienia po dokonaniu zmian na tej stronie. Natomiast uwierzytelnienia w połączonych systemach są przyznawane każdemu członkowi założenia dotyczącego uwierzytelnienia następnym razem, gdy atrybut używany do członkostwa dynamicznego jest modyfikowany dla tego użytkownika lub gdy użytkownik jest przenoszony lub zmienia nazwę. (Podobnie jest w przypadku unieważnienia praw i uwierzytelnień). Aby wymusić aktualizację, użyj zadania Ponownie oceń członkostwo.

Tworzenie praw do innych obiektów

Aby utworzyć prawa:

Kliknij kartę Prawa do innych obiektów

Na tej stronie możesz dodać nowy obiekt i wyszukać te obiekty, które mają być dysponentem tego założenia dotyczącego uwierzytelnienia.
1. Kliknij przycisk , aby dodać obiekt.
  
  Pojawi się strona PRZEGLĄDARKA KONTEKSTOWA. Strona zawiera listę Obiekty.
2. Rozwiń listę Obiekty, a następnie zgodnie z wymaganiami wybierz grupy lub indywidualnych użytkowników i przypisz im prawa.
3. Aby dodać więcej właściwości, wybierz przycisk .
  
  Pojawi się strona WYBIERZ WŁAŚCIWOŚCI. Ta strona zawiera listę właściwości, które może mieć obiekt.
4. Kliknij przycisk Gotowe.
(Opcjonalnie) Przy użyciu strzałek W górę i W dół nadaj priorytet założeniom RBE.

Nadawanie priorytetu założeniom służy rozwiązywaniu konfliktów uwierzytelnień pomiędzy wieloma założeniami. Najwyżej położone założenie ma najwyższy priorytet. Więcej informacji można znaleźć w sekcji: Nadawanie priorytetu założeniom RBE

34.1.6 Nadawanie priorytetu założeniom RBE

Podczas tworzenia założeń RBE może się zdarzyć, że założenia mające wpływ na danego użytkownika są ze sobą w konflikcie.

Kolejność założeń RBE na liście odpowiada ich priorytetowi. Kolejność na liście można zmieniać za pomocą przycisków strzałek w górę i w dół.

To ustawienie może być na przykład przydatne, jeśli atrybut w połączonym systemie dopuszcza tylko jedną wartość. Jeśli dwa różne założenia RBE przyznają wartość tego atrybutu temu samemu użytkownikowi, użytkownik otrzyma wartość przyznaną przez założenie RBE, które jest najwyżej na liście. Innym przykładem może być skonfigurowanie środowiska tak, aby używało uwierzytelnień do umieszczania użytkowników w strukturze hierarchicznej w innym systemie. W takiej sytuacji chcesz, aby użytkownik był umieszczony w jednym lub drugim miejscu, a nie w dwóch miejscach jednocześnie.
Pamiętaj, że ustawienie jest niezależne dla każdego uwierzytelnienia oferowanego przez każdy program obsługi.
Z reguły założenia administratora lub menedżera należy umieszczać wyżej na liście niż założenia użytkowników końcowych lub poszczególnych współtwórców. Grupy o węższym członkostwie należy umieszczać wyżej niż grupy o szerszym.

Aby nadać priorytet założeniom RBE:

Wybierz założenie dotyczące uwierzytelnienia, któremu chcesz zwiększyć lub zmniejszyć priorytet.
Przy użyciu strzałek W górę lub W dół nadaj priorytet założeniom RBE.
Kliknij przycisk Zapisz .

Podsumowanie szczegółów członkostwa w założeniu jest wyświetlane na karcie Podsumowanie.
Uruchom ponownie program obsługi.

UWAGA:Ponowne uruchomienie programu obsługi jest niezbędne, aby zmiany zaczęły obowiązywać.