34.1 Role-based Entitlement (Direito com base em função)

Uma política de RBE é um objeto de grupo dinâmico do OpenText Identity Console com recursos adicionais adicionados para permitir que você conceda RBEs em sistemas conectados. Quando você cria uma política de RBE, você define a participação na política e os direitos que devem ser concedidos aos membros da política de RBE. Cada política de RBE está associada a apenas um objeto Conjunto de Drivers atribuído a um servidor específico. Como um driver do OpenText Identity Manager, cada política de direitos pode gerenciar apenas objetos que estão em uma réplica master ou de leitura/gravação no servidor ao qual ela é atribuída.

As seguintes seções explicam em detalhes sobre o direito com base em função:

34.1.1 Resumo

Esta página resume uma exibição de alto nível dos critérios de participação e dos direitos para a política de direitos.

Participação:

Os critérios especificados para a participação dinâmica são exibidos na sintaxe de um filtro LDAP. A Identidade de Pesquisa indica quais direitos do objeto são usados na consulta para participação dinâmica, e o Escopo e o DN de Base indicam qual parte da árvore está incluída na consulta.

Você pode visualizar as inclusões e exclusões de participação estática marcando a caixa de seleção.

A lista combinada de todos os membros não é exibida na página Resumo porque a lista pode ser longa. Para ver uma lista combinada de todos os membros dinâmicos e estáticos da política de direitos, use a guia Membership > View Membership (Participação > Visualizar Participação).

Direitos:

Os direitos sobre sistemas conectados que são concedidos aos membros da política de direitos. Tenha em mente que há consistência imprecisa entre os direitos com base em função e os sistemas conectados. Isso significa que o status de um direito em um sistema conectado não é exibido na interface da política de direitos. Se você conceder um direito a uma política de direitos e, posteriormente, esse direito não estiver mais disponível no sistema conectado, o direito ainda estará listado na política de direitos até você o remover manualmente da lista.

Conflict Resolution (Resolução de Conflitos):

Para RBEs que têm valores, este método será usado para determinar quais valores serão concedidos a um usuário se duas ou mais políticas de RBE concederem valores diferentes a esse usuário. Um exemplo de direito que tem valores é a participação em listas de distribuição de e-mails, em que os valores são os nomes das listas de distribuição.

O método de resolução de conflitos é definido separadamente para cada direito individual em cada objeto driver. Se um direito for usado em múltiplas políticas de RBE, o método de resolução de conflitos será o mesmo em todas as políticas de RBE. Para alterar o método de resolução de conflitos para um direito, altere a configuração para esse direito nas declarações sobre o driver em questão.

Unrecognized (Não reconhecido): A política de RBE não foi concluída no assistente ou a configuração foi digitada incorretamente nas declarações sobre o driver.
Merge (Fundir): A configuração padrão é Merge (Fundir) (union nas declarações sobre o driver). Isso significa que um usuário recebe todos os valores para este direito de todas as políticas de RBE das quais é membro.

Ao usar a configuração padrão Merge (Fundir), a ordem de prioridade da lista de políticas não é importante para este direito específico.

Por exemplo, um usuário passa a participar de listas de distribuição de e-mails para o GroupWise® Driver A por duas políticas de RBE diferentes, a política Gerentes e a política Membros da Equipe. Na Política 1, o usuário passa a participar da lista de distribuição de e-mails intitulada Gerentes e, na Política 2, o usuário passa a participar da lista de distribuição de e-mails Membros da Equipe. Com uma configuração Merge (Fundir), o usuário passa a participar de ambas as listas de distribuição de e-mails.
Priority (Prioridade): Esta configuração significa que, se várias políticas de RBE concederem a um usuário valores diferentes para o mesmo direito do mesmo objeto driver, o usuário receberá apenas os valores especificados na política de RBE que é a mais alta na lista.

Ao utilizar a configuração Priority (Prioridade), a ordem de prioridade da lista de políticas é importante para este direito específico.

Por exemplo, um usuário passa a participar de listas de distribuição de e-mails para o GroupWise Driver A por duas políticas de RBE diferentes, a política Gerentes e a política Membros da Equipe. Na política Gerentes, o usuário passa a participar da lista de distribuição de e-mails Gerentes e, na política de Membros da Equipe, o usuário passa a participar da lista de distribuição de e-mails de Membros da Equipe. A política Gerentes está listada mais alto na lista de políticas do que a política Membros da Equipe. Com uma configuração de Prioridade, o usuário passa a participar apenas da lista de distribuição de e-mails dos gerentes.

O uso da prioridade para resolução de conflitos poderá ser útil se, por exemplo, um atributo no sistema conectado permitir apenas um valor. Se duas políticas de RBE diferentes concederem um valor para esse atributo ao mesmo usuário, o usuário receberá o valor que é concedido pela política de RBE alta na lista.

NOTA:Não está prevista nenhuma configuração de resolução de conflitos para direitos que não têm valores, como uma conta. Direitos que não têm valores são sempre concedidos aos membros da política de RBE, independentemente da prioridade das políticas na lista.

34.1.2 Membros Dinâmicos

Filtro de participação

Você pode definir critérios para a participação, como localização na árvore e atributos do objeto. Por exemplo, a participação pode depender se o usuário está no container Ativo ou se o cargo inclui a palavra Gerente. Os usuários que atendem aos critérios especificados passam a fazer parte da política de RBE automaticamente, sem que você precise adicioná-los a ela. A participação dinâmica é o mesmo que um objeto Grupo Dinâmico.

Se um objeto mudar e deixar de atender aos critérios de participação dinâmica, os direitos serão automaticamente revogados na próxima vez que o usuário for reavaliado.

Definir parâmetros de pesquisa

Especifique a localização dos usuários que você deseja que a política de direitos gerencie. Escolha o container que contém os usuários (DN de Base) e o quanto você quer que a pesquisa se distancie do container (Escopo de Pesquisa). Para que a política de direitos gerencie os usuários nos containers especificados, os usuários precisam estar em uma réplica master ou de leitura/gravação no servidor.

As seguintes opções são fornecidas para Escopo de Pesquisa:

Este container e os respectivos subcontainers: Os usuários abaixo deste container na árvore serão membros da política de direitos se atenderem aos critérios especificados para a participação dinâmica. Os usuários dentro de subcontainers também serão membros se atenderem aos critérios.
Somente neste container: Os usuários dentro deste container serão membros da política de direitos somente se atenderem aos critérios especificados para a participação dinâmica. Os usuários dentro de subcontainers abaixo deste container não são membros, mesmo que atendam aos critérios.

Definir Critérios de Filtro

Especifique as características que determinam quais usuários são membros da política de direitos.

Na página Resumo para uma política de direitos, os critérios de participação dinâmica especificados são exibidos na sintaxe de um filtro LDAP.

Por padrão, a participação dinâmica está definida para incluir todos os objetos da classe Usuário (e objetos de classes derivadas da classe Usuário) dentro do escopo da pesquisa como membros da política de direitos.

NOTA:Se você criar uma nova classe de objeto derivada de Usuário, uma política de direitos existente não tomará conhecimento dessa classe até você fazer uma modificação na política de direitos. Isso impede a concessão acidental de direitos a usuários de uma nova classe. Quando qualquer modificação é feita na política de direitos, a lista de classes derivadas do usuário para essa política é atualizada.

Criando Participação Dinâmica

Na guia Membros Dinâmicos, execute o seguinte:

Clique na guia Membros Dinâmicos.
Use os filtros Identidade da Pesquisa, Iniciar a Pesquisa em e Escopo da Pesquisa conforme desejar.
Clique no Criar Grupo específico para criar uma nova condição ou uma linha e, em seguida, forneça os critérios ou condições de pesquisa necessários.

Escopo da Pesquisa: O Escopo da Pesquisa indica o conjunto de entradas no DN ou abaixo do DN de base que podem ser consideradas possíveis correspondências para uma operação de pesquisa.

Critérios de Pesquisa: Você pode limitar uma pesquisa para facilitar a localização de um registro específico ou um grupo de registros dentre um grande número de registros.

DN de Base: O DN de Base é o ponto de onde um servidor vai pesquisar usuários.

Grupo LDAP: é uma organização hierárquica de Usuários, Grupos e Unidades Organizacionais que são containers para usuários e grupos.

NOTA:O usuário pode criar grupos únicos ou múltiplos com condições. As condições consistem em atributos, operadores e valor. Por padrão, Object Class > is equal > User (Classe de Objeto > é igual a > Usuário) está preenchido.

34.1.3 Membros Estáticos

Membros Estáticos são a classe de membros declarados usando palavras-chave estáticas. Um membro estático tem certos acessos limitados.

Na guia Membros Estáticos, as seguintes operações podem ser realizadas:

Incluir Membros:

Adicione membros estaticamente que não estão incluídos pelo filtro de participação dinâmica.

Excluir Membros:

Exclua os membros que atendam aos critérios do filtro, mas não devem ser incluídos na política de direitos.

34.1.4 Direitos

O RBE permite que você conceda direitos em sistemas conectados e direitos no OpenText Identity Manager. Os direitos podem ser qualquer um dos seguintes:

Contas em sistemas conectados.
Participação em listas de distribuição de e-mails em sistemas conectados.
Participação em grupos em sistemas conectados.
Atributos para os objetos correspondentes em sistemas conectados, preenchidos com valores especificados por você.

NOTA:A funcionalidade Direitos faz parte do OpenText Identity Manager, portanto você precisa ter drivers do OpenText Identity Manager instalados e configurados para suportar direitos antes de poder conceder direitos em sistemas conectados.

Criar direito

Na guia Direitos, execute o seguinte:

Clique na guia Direitos.
Clique em para Add Drivers (Adicionar Drivers) e para fornecer direitos em sistemas conectados.

A tela Adicionar Driver é exibida.
Selecione o driver do menu suspenso.
Clique em Adicionar.

A tela Add Entitlements (Adicionar Direitos) é exibida.
No menu suspenso Select an Entitlement (Selecionar um direito), selecione o grupo que você deseja adicionar.
Selecione o Query Type (Tipo de Consulta):
- Cached (Em Cache): Quando as consultas foram executadas anteriormente.
- External Query (Consulta Externa): Quando as consultas são novas.
A tela Add Group Entitlement (Adicionar Direito de Grupo) é exibida.
Selecione o direito de grupo no menu suspenso e clique em Selecionar.

34.1.5 Rights to other Objects (Direitos a outros objetos)

Use esta página para dar direitos de trustee de política de direitos a um objeto OpenText eDirectory. Cada membro da política de direitos torna-se um trustee do objeto.

Além de atribuir direitos a todos os atributos, você pode clicar em Add Property (Adicionar Propriedade) para atribuir direitos a propriedades específicas.

A caixa de seleção Herdar determina se os direitos fluem para baixo na árvore. Por exemplo, se você está atribuindo direitos a um objeto container e deseja que a política de direitos tenha os mesmos direitos dos objetos e subcontainers que estão abaixo desse container, selecione a caixa de seleção Herdar.

Os direitos a objetos no OpenText eDirectory serão concedidos aos membros da política de direitos depois que você concluir suas mudanças nesta página. Em contrapartida, os direitos em sistemas conectados serão concedidos a cada membro da política de direitos na próxima vez que um atributo usado para a participação dinâmica for modificado para esse usuário ou o usuário for movido ou renomeado. (O mesmo acontece quando direitos são revogados.) Use a tarefa Reavaliar a Participação para forçar uma atualização.

Criar direitos a outros objetos

Para criar direitos:

Clique na guia Rights to Other Objects (Direitos a Outros Objetos)

Aqui você pode adicionar um novo objeto e procurar por aqueles objetos para os quais você deseja que esta política de direitos seja um trustee.
1. Para adicionar um objeto, clique no botão .
  
  A página BROWSER DE CONTEXTO é exibida. A página é composta por Objetos.
2. Expanda os Objetos e selecione Grupos ou Usuários individuais de acordo com os seus requisitos e atribua direitos a eles.
3. Para adicionar mais propriedades, clique em .
  
  A página SELECT PROPERTIES (SELECIONAR PROPRIEDADES) é exibida. Esta página tem a lista de propriedades que um objeto pode ter.
4. Clique em Concluído.
(Opcional) O uso das setas Para Cima e Para Baixo prioriza as políticas de RBE.

Priorizar a política é resolver conflitos de direitos entre múltiplas políticas. A política mais alta tem a maior prioridade. Para obter mais informações, consulte: Priorizar políticas de RBE

34.1.6 Priorizar políticas de RBE

Quando você cria políticas de RBE, é possível que as políticas que afetam um determinado usuário possam entrar em conflito.

A ordem das políticas de RBE na lista representa prioridade. Você pode alterar a ordem da lista usando os botões de seta para cima e para baixo.

Essa configuração poderá ser útil se, por exemplo, um atributo no sistema conectado permitir apenas um valor. Se duas políticas de RBE diferentes concederem um valor para esse atributo ao mesmo usuário, o usuário receberá o valor que é concedido pela política de RBE mais alta da lista. Como outro exemplo, talvez você tenha configurado seu ambiente para usar Direitos a fim de colocar usuários em uma estrutura hierárquica em outro sistema. Você gostaria que o usuário fosse colocado em um local ou em outro, não em dois locais ao mesmo tempo.
Tenha em mente que a configuração é independente para cada direito oferecido por cada driver.
Como regra geral, você deve colocar políticas de administrador ou gerente mais alto na lista do que políticas para usuários finais ou contribuintes individuais. Você deve colocar grupos com participação mais restrita em uma posição mais alta do que grupos com participação mais ampla.

Para priorizar políticas de RBE:

Selecione a política de direitos cuja prioridade você deseja aumentar ou diminuir.
Usar as setas Para Cima ou Para Baixo prioriza as políticas de RBE.
Clique no botão Gravar .

O resumo dos detalhes da participação na política é exibido na guia Resumo.
Reinicie o driver.

NOTA:Você precisa reiniciar o driver para que as mudanças entrem em vigor.