34.1 Наделение правами на основе ролей

Политика наделения правами на основе ролей — это объект динамической группы OpenText Identity Console с дополнительными функциями, которые добавлены, чтобы дать вам возможность предоставлять наделения правами на основе ролей в подключенных системах. При создании политики наделения правами на основе ролей пользователь определяет членство для политики и наделения правами, которые должны быть предоставлены участникам политики наделения правами на основе ролей. Каждая политика наделения правами на основе ролей связана с одним объектом «Набор драйверов», назначенным отдельному серверу. Как и в случае с драйвером OpenText Identity Manager, каждая политика наделения правами может управлять только объектами, которые расположены в главной реплике или реплике чтения/записи на сервере, которому они назначены.

В указанных ниже разделах приведено подробное описание наделения правами на основе ролей:

34.1.1 Сводка

На этой странице приведена сводка высокоуровневого представления критерия членства и наделения правами для политики наделения правами.

Членство.

Критерий, указанный для динамического членства, отображается в синтаксисе фильтра LDAP. Функция «Поиск удостоверения» указывает права объекта, которые используются при запросе динамического членства. Базовое характерное имя и область указывают на часть дерева, которая включена в запрос.

Можно просмотреть статические включения и исключения членства, установив соответствующий флажок.

Комбинированный список всех участников не отображается на странице сводки, поскольку список может быть длинным. Чтобы просмотреть комбинированный список всех участников политики наделения правами (как динамических, так и статических), откройте вкладку «Членство» > «Просмотр членства».

Наделения правами.

Наделения правами в подключенных системах, которые предоставляются участникам политики наделения правами. Имейте в виду, что наделения правами на основе ролей не в полной мере соответствуют подключенным системам. Это означает, что статус наделения правами в подключенной системе не отображается в интерфейсе «Политика наделения правами». Если предоставить наделение правами политике наделения правами и после этого данное наделение правами больше не будет доступно в подключенной системе, оно все равно будет отображаться в списке политики наделения правами до тех пор, пока вы не удалите его вручную.

Разрешение конфликтов.

Для наделений правами на основе ролей, которые имеют значения, эти методы используются для определения значений, которые предоставляются пользователю в том случае, если несколько политик наделения правами на основе ролей предоставляют различные значения этому пользователю. Пример наделения правами, которое имеет значения, — членство в списках рассылки электронных писем, где значения являются именами списков рассылки.

Способ разрешения конфликтов задается отдельно для каждого отдельного наделения правами в каждом объекте «Драйвер». Если наделение правами используется в нескольких политиках наделения правами на основе ролей, способ разрешения конфликтов будет одинаковым для всех политик наделения правами на основе ролей. Чтобы изменить способ разрешения конфликтов для наделения правами, измените настройку для этого наделения правами в манифесте данного драйвера.

Нераспознанная: политика наделения правами на основе ролей не завершена в мастере или настройка введена неправильно в манифесте драйвера.
Объединить: по умолчанию используется настройка «Объединить» (в манифесте драйвера — union). Это означает, что пользователю предоставлены все значения для этого наделения правами из всех политик наделения правами на основе ролей, участником которых является данный пользователь.

Если используется значение по умолчанию («Объединить»), приоритет политик в списке не имеет значения для данного наделения правами.

Например, пользователю предоставляется членство в списках рассылки электронных писем для драйвера А GroupWise® двумя разными политиками наделения правами на основе ролей (политикой "Менеджеры" и политикой "Участники рабочей группы"). В политике 1 пользователю предоставляется членство в политике "Менеджеры" списка рассылки электронных писем. В политике 2 пользователю предоставляется членство в политике "Участники рабочей группы" списка рассылки электронных писем. Если используется значение "Объединить", пользователю предоставляется членство в обоих списках рассылки электронных писем.
Приоритет: эта настройка означает, что несколько политик наделения правами на основе ролей предоставляют пользователю разные значения для одного наделения правами из одного объекта «Драйвер»; пользователю предоставляются только значения, которые указаны в политике наделения правами на основе ролей, расположенной на наивысшей позиции в списке.

Если используется значение «Приоритет», приоритет политик в списке не имеет значения для данного наделения правами.

Например, пользователю предоставляется членство в списках рассылки электронных писем для драйвера А GroupWise двумя разными политиками наделения правами на основе ролей (политикой "Менеджеры" и политикой "Участники рабочей группы"). В политике "Менеджеры" пользователю предоставляется членство в политике "Менеджеры" списка рассылки электронных писем. В политике "Участники рабочей группы" пользователю предоставляется членство в политике "Участники рабочей группы" списка рассылки электронных писем. Политика «Менеджеры» указана выше в списке политик по сравнению с политикой «Участники рабочей группы». Если используется значение "Приоритет", пользователю предоставляется членство в политике "Менеджеры" списка рассылки электронных писем.

Использование приоритета для разрешения конфликтов может быть полезно, если, например, атрибут в подключенной системе позволяет использовать только одно значение. Если две разные политики наделения правами на основе ролей предоставляют значения для этого атрибута одному пользователю, пользователь получает значение, которое предоставляется политикой наделения правами на основе ролей, которая расположена на наивысшей позиции в списке.

ПРИМЕЧАНИЕ.Настройка разрешения конфликта не указана для наделений правами без значений (например, без учетной записи). Наделения правами без значений всегда предоставляются участникам политики наделения правами на основе ролей независимо от приоритета политик в списке.

34.1.2 Динамические участники

Фильтр членства

Можно определить критерий для членства (например, расположение в дереве и атрибуты объекта). Например, членство может зависеть от того, содержится ли пользователь в активном контейнере, или от того, есть ли в заголовке задания слово «Manager». Пользователи, которые соответствуют этому критерию, автоматически становятся участниками политики наделения правами на основе ролей. При этом нет необходимости специально добавлять каждого пользователя в политику. Динамическое членство идентично объекту «Динамическая группа».

Если объект изменяется таким образом, что он больше не соответствует критерию динамического членства, наделения правами автоматически отзываются при следующей повторной оценке пользователя.

Установка параметров поиска

Укажите расположение пользователей, которыми должна управлять политика «Наделение правами». Выберите контейнер, в котором хранятся пользователи (базовое характерное имя), а также глубину поиска от данного контейнера (область поиска). Чтобы политика «Наделение правами» могла управлять пользователями в указанных контейнерах, пользователи должны быть в реплике «чтение/запись» или в главной реплике на сервере.

Для области поиска можно использовать следующие параметры:

Этот контейнер и его вложенные контейнеры: пользователи, находящиеся на уровнях ниже этого контейнера в дереве, являются участниками политики «Наделение правами», если они соответствуют критерию, указанному для динамического членства. Пользователи во вложенных контейнерах также являются участниками, если они соответствуют данному критерию.
Только этот контейнер: пользователи в этом контейнере являются участниками политики «Наделение правами», если они соответствуют критерию, указанному для динамического членства. Пользователи во вложенных контейнерах ниже этого контейнера не являются участниками, даже если они соответствуют данному критерию.

Определение критерия фильтрации

Укажите характеристики, которые определяют пользователей для включения в политику «Наделение правами».

На странице «Сводка» для политики «Наделение правами» указанный критерий динамического членства отображается в синтаксисе фильтра LDAP.

По умолчанию для динамического членства настроено включение всех объектов класса «Пользователь» (а также объектов классов, унаследованных от класса «Пользователь») в области поиска как участников политики «Наделение правами».

ПРИМЕЧАНИЕ.При создании нового класса объектов, унаследованного от класса «Пользователь», существующая политика наделения правами не получает информацию о классе до внесения изменений в политику «Наделение правами». Это предотвращает непреднамеренное назначение наделений правами пользователям нового класса. При внесении любых изменений в политику «Наделение правами» список классов, унаследованных от класса «Пользователь», для данной политики обновляется.

Создание динамического членства

На вкладке «Динамические участники» выполните следующие действия:

Откройте вкладку Динамические участники.
Используйте фильтры Поиск удостоверения, Начать поиск в и Область поиска по своему усмотрению.
Щелкните Создать группу, чтобы создать новое условие или строку, а затем предоставьте требуемый критерий поиска или условие.

Область поиска: область поиска указывает набор записей на уровне базового характерного имени поиска или ниже него, которые могут рассматриваться как потенциальные совпадения для операции поиска.

Критерий поиска: можно ограничить поиск, чтобы найти конкретную запись или группу записей в большом количестве записей.

Базовое характерное имя: базовое характерное имя — это точка, в которой сервер будет выполнять поиск пользователей.

Группа LDAP: это иерархическая организация пользователей, групп и подразделений, которые являются контейнерами для пользователей и групп.

ПРИМЕЧАНИЕ.Пользователь может создать одну или несколько групп с условиями. Условия состоят из атрибутов, операторов и значений. По умолчанию используется следующая настройка: Класс объекта > равен > Пользователь.

34.1.3 Статические участники

Статические участники — класс участников, которые объявлены с использованием статических ключевых слов. Статический участник имеет определенный ограниченный доступ.

На вкладке «Статические участники» можно выполнить следующие операции:

Включить участников.

Добавить статично участников, которые не включены фильтром динамического членства.

Исключить участников.

Исключить участников, которые соответствуют критерию фильтра, но не должны быть включены в политику наделения правами.

34.1.4 Наделения правами

Наделение правами на основе ролей позволяет предоставить наделения правами в подключенных системах и права в OpenText Identity Manager. Под наделением правами имеется в виду одно из следующего:

Учетные записи в подключенных системах.
Членство в списках рассылки электронных писем в подключенных системах.
Групповое членство в подключенных системах.
Атрибуты для соответствующих объектов в подключенных системах, заполненные указанными значениями.

ПРИМЕЧАНИЕ.Функция «Наделения правами» является частью OpenText Identity Manager, поэтому для предоставления наделений правами в подключенных системах необходимо иметь установленные драйверы OpenText Identity Manager, настроенные для поддержки наделений правами.

Создание наделения правами

На вкладке «Наделения правами» выполните следующие действия:

Перейдите на вкладку Наделение правами.
Щелкните , чтобы добавить драйверы и предоставить наделения правами в подключенных системах.

Откроется экран Добавить драйвер.
В раскрывающемся меню выберите драйвер.
Нажмите кнопку Добавить.

Откроется экран Добавить наделение правами.
В раскрывающемся меню выберите группу наделения правами для добавления.
Выберите тип запроса:
- Кэшированные: если запросы выполнялись ранее.
- Внешний запрос: если запросы новые.
Откроется экран Добавить наделение правами группы.
В раскрывающемся меню выберите наделение правами группы и щелкните Выбрать.

34.1.5 Права на другие объекты

На этой странице можно предоставить права опекуна политики «Наделение правами» объекту OpenText eDirectory. Каждый участник политики «Наделение правами» становится опекуном объекта.

Кроме назначения прав всем атрибутам, можно щелкнуть «Добавить свойство», чтобы назначить правила конкретным свойствам.

Флажок «Наследовать» определяет, распространяются ли права вниз по дереву. Например, если при назначении прав объекту «Контейнер» необходимо, чтобы политика «Наделение правами» имела те же права на объекты и вложенные контейнеры, находящиеся под этим контейнером, установите флажок «Наследовать».

Права на объекты в OpenText eDirectory предоставляются участникам политики «Наделение правами» после внесения изменений на этой странице. Напротив, наделения правами в подключенных системах предоставляются каждому участнику политики «Наделение правами» при следующем изменении атрибута, используемого для динамического членства, для этого пользователя или при перемещении (переименовании) пользователя. То же самое справедливо при отзыве прав и наделений правами. Для принудительного обновления используйте задачу «Переоценка членства».

Создание прав на другие объекты

Порядок создания прав

Откройте вкладку Права на другие объекты

На этой вкладке можно добавить новый объект и найти те объекты, опекуном которых должна быть данная политика наделения правами.
1. Чтобы добавить объект, щелкните кнопку .
  
  Откроется страница БРАУЗЕР КОНТЕКСТА. Страница состоит из объектов.
2. Разверните раздел Объекты и выберите группы или отдельных пользователей по своему усмотрению и назначьте им права.
3. Чтобы добавить больше свойств, щелкните .
  
  Откроется страница ВЫБРАТЬ СВОЙСТВА. Это страница, которая имеет список свойств, которые может иметь объект.
4. Щелкните кнопку Готово.
(Необязательно) Приоритезируйте политики наделения правами на основе ролей, используя стрелки Вверх и Вниз .

Приоритезация политики — это разрешение конфликта наделения правами между несколькими политиками. Политика, расположенная в самом верху, имеет наивысший приоритет. Дополнительную информацию см. в разделе Приоритезация политик наделения правами на основе ролей

34.1.6 Приоритезация политик наделения правами на основе ролей

При создании политик наделения правами на основе ролей может возникнуть ситуация, при которой политики, которое относятся к конкретному пользователю, могут конфликтовать.

Порядок политик наделения правами на основе ролей в списке представляет приоритет. Можно изменить порядок политик в списке при помощи кнопок «Вверх» и «Вниз».

Эта настройка может быть полезна, если, например, атрибут в подключенной системе позволяет использовать только одно значение. Если две разные политики наделения правами на основе ролей предоставляют значения для этого атрибута одному пользователю, пользователь получает значение, которое предоставляется политикой наделения правами на основе ролей, которая расположена на наивысшей позиции в списке. Другой пример: вы настроили среду таким образом, что наделение правами помещает пользователей в иерархическую структуру на другой системе. Вам нужно поместить пользователя в одно из двух мест, но не в два места одновременно.
Обратите внимание, что эта настройка является независимой для каждого наделения правами, предлагаемого каждым пользователем.
Как правило, необходимо помещать политики администратора или менеджера выше по списку по сравнению с политиками для конечных пользователей или отдельных участников. Группы с более ограниченным членством нужно помещать выше групп с более широким членством.

Порядок приоритезации политики наделения правами на основе ролей

Выберите политику наделения правами, для которой необходимо изменить приоритет.
При помощи кнопок Вверх или Вниз выберите приоритет для политик наделения правами на основе ролей.
Щелкните кнопку «Сохранить» .

На вкладке Сводка отобразится подробная информация о членстве.
Перезапустите драйвер.

ПРИМЕЧАНИЕ.Чтобы изменения вступили в силу, необходимо перезапустить драйвер.