34.1 Oprávnenie na báze roly

Politika OBR je objekt dynamickej skupiny aplikácie OpenText Identity Console s ďalšími pridanými funkciami, ktorý vám umožňuje udeľovať OBR pre prepojené systémy. Pri vytváraní politiky OBR definujete členstvo pre politiku a oprávnenia, ktoré musia byť udelené členom politiky OBR. Každá politika OBR je priradená k jednému objektu množiny ovládačov, ktorý je priradený k určitému serveru. Podobne ako v prípade ovládača aplikácie OpenText Identity Manager aj každá politika oprávnení môže spravovať len objekty, ktoré sú súčasťou hlavnej repliky alebo repliky na čítanie/zápis na serveri, ku ktorému je priradená.

Oprávnenie na báze rol je podrobne vysvetlené v nasledujúcich sekciách:

34.1.1 Súhrn

Táto stránka poskytuje súhrnné zobrazenie kritérií členstva a oprávnení pre politiku oprávnení na vysokej úrovni.

Členstvo:

Kritériá zadané pre dynamické členstvo sa zobrazujú v syntaxi filtra LDAP. Identita vyhľadávania určuje, ktorého objektu práva sa použijú pri vykonávaní dotazu na dynamické členstvo, a základný názov domény a rozsah určujú, ktorá časť stromu sa zahrnie do dotazu.

Po začiarknutí políčka môžete vidieť, čo je zahrnuté do statického členstva a čo je z neho vylúčené.

Kombinovaný zoznam všetkých členov sa na stránke súhrnu nezobrazuje, pretože tento zoznam môže byť dlhý. Ak chcete zobraziť kombinovaný zoznam všetkých členov politiky oprávnení (dynamických aj statických), použite kartu Členstvo > Zobraziť členstvo.

Oprávnenia:

Oprávnenia pre prepojené systémy, ktoré sa udeľujú členom politiky oprávnení. Pripomíname, že oprávnenia na báze roly sú približne konzistentné s prepojenými systémami. To znamená, že stav oprávnenia pre prepojený systém sa v rozhraní politiky oprávnení nezobrazuje. Ak udelíte oprávnenie pre politiku oprávnení a neskôr toto oprávnenie už pre tento prepojený systém nebude k dispozícii, oprávnenie je stále uvedené v politike oprávnení, kým ho zo zoznamu manuálne neodstránite.

Riešenie konfliktov:

V prípade OBR s hodnotami sa táto metóda používa na určenie, ktoré hodnoty sa používateľovi udelia, ak dve alebo viaceré politiky OBR tomuto používateľovi udeľujú rôzne hodnoty. Ako príklad oprávnenia s hodnotami je možné uviesť členstvo v distribučných zoznamoch e-mailov, kde hodnotami sú názvy distribučných zoznamov.

Metóda riešenia konfliktov sa nastavuje samostatne pre každé jedno oprávnenie v každom objekte ovládača. Ak sa oprávnenie používa vo viacerých politikách OBR, metóda riešenia konfliktov je pre všetky tieto politiky OBR rovnaká. Ak chcete zmeniť metódu riešenia konfliktov pre niektoré oprávnenie, zmeňte nastavenie pre toto oprávnenie v manifeste ovládača pre daný ovládač.

Nerozpoznané: Nastavenie politiky OBR nebolo v sprievodcovi dokončené alebo nastavenie bolo nesprávne zadané v manifeste ovládača.
Zlúčiť: Predvolené nastavenie je Zlúčiť (union v manifeste ovládača). To znamená, že používateľovi sú udelené všetky hodnoty pre toto oprávnenie zo všetkých politík OBR, ktorých je členom.

Pri používaní predvoleného nastavenia Zlúčiť poradie priority zoznamu politík nie je pre toto konkrétne oprávnenie dôležité.

Používateľ napríklad má udelené členstvo v distribučných zoznamoch e-mailov pre ovládač A GroupWise® dvoma rôznymi politikami OBR, politikou Manažéri a politikou Členovia tímu. Na základe politiky č. 1 má používateľ udelené členstvo v distribučnom zozname e-mailov Manažéri a na základe politiky č. 2 má používateľ udelené členstvo v distribučnom zozname e-mailov Členovia tímu. Pri nastavení Zlúčiť má používateľ udelené členstvo v oboch distribučných zoznamoch e-mailov.
Priorita: Toto nastavenie znamená, že ak viaceré politiky OBR udeľujú používateľovi rôzne hodnoty pre to isté oprávnenie z toho istého objektu ovládača, používateľovi sa udelia len hodnoty zadané v politike OBR, ktorá sa v zozname nachádza na najvyššom mieste.

Pri používaní nastavenia Priorita je poradie priority zoznamu politík pre toto konkrétne oprávnenie dôležité.

Používateľ napríklad má udelené členstvo v distribučných zoznamoch e-mailov pre ovládač A GroupWise dvoma rôznymi politikami OBR, politikou Manažéri a politikou Členovia tímu. Na základe politiky Manažéri má používateľ udelené členstvo v distribučnom zozname e-mailov Manažéri a na základe politiky Členovia tímu má používateľ udelené členstvo v distribučnom zozname e-mailov Členovia tímu. Politika Manažéri sa v zozname politík nachádza na vyššom mieste než politika Členovia tímu. Pri nastavení Priorita má používateľ udelené členstvo len v distribučnom zozname e-mailov Manažéri.

Používanie priority na riešenie konfliktov môže byť užitočné napríklad v prípade, že určitý atribút pre prepojený systém povoľuje len jednu hodnotu. Ak pre toho istého používateľa udeľujú hodnotu pre tento atribút dve rôzne politiky OBR, používateľ získa hodnotu udelenú politikou OBR, ktorá sa v zozname nachádza na najvyššom mieste.

POZNÁMKA:Nastavenie na riešenie konfliktov sa neposkytuje pre oprávnenia, ktoré nemajú žiadne hodnoty, ako je napríklad konto. Oprávnenia, ktoré nemajú žiadne hodnoty, sa členom politiky OBR udeľujú vždy a bez ohľadu na prioritu politík v zozname.

34.1.2 Dynamickí členovia

Filter členstva

Môžete definovať kritériá pre členstvo, ako sú miesto v strome a atribúty objektu. Členstvo napríklad môže závisieť od toho, či sa používateľ nachádza v kontajneri Aktívne alebo či názov pracovného miesta zahŕňa slovo manažér. Používatelia spĺňajúci kritériá sa automaticky stávajú členmi politiky OBR bez toho, aby ste museli každého jedného používateľa pridať do politiky. Dynamické členstvo predstavuje to isté, čo objekt dynamickej skupiny.

Ak sa objekt zmení tak, že už viac nespĺňa kritériá pre dynamické členstvo, oprávnenia sa automaticky odoberú pri najbližšom opätovnom hodnotení používateľa.

Nastavenie parametrov vyhľadávania

Zadajte umiestnenie používateľov, ktorí majú byť spravovaní politikou oprávnení. Vyberte kontajner, v ktorom sa používatelia nachádzajú (základný názov domény), a koľko úrovní pod ním má vyhľadávanie obsiahnuť (rozsah vyhľadávania). Ak chcete, aby politika oprávnení spravovala používateľov v kontajneroch, ktoré zadáte, musia sa títo používatelia nachádzať v hlavnej replike alebo replike na čítanie/zápis na serveri.

Pre rozsah vyhľadávania sú k dispozícii nasledujúce možnosti:

Tento kontajner a jeho podkontajnery: Používatelia nachádzajúci sa v strome pod týmto kontajnerom sú členmi politiky oprávnení, ak spĺňajú kritériá zadané pre dynamické členstvo. Používatelia v podkontajneroch sú tiež členmi, ak spĺňajú kritériá.
Len tento kontajner: Používatelia v tomto kontajneri sú členmi politiky oprávnení len v prípade, že spĺňajú kritériá zadané pre dynamické členstvo. Používatelia v podkontajneroch pod týmto kontajnerom nie sú členmi, ani keď spĺňajú kritériá.

Definovanie kritérií filtra

Zadajte charakteristiky, ktoré určujú, ktorí používatelia sú členmi politiky oprávnení.

Na stránke súhrnu pre politiku oprávnení sa vami zadané kritériá dynamického členstva zobrazujú v syntaxi filtra LDAP.

Dynamické členstvo je predvolene nastavené tak, aby ako členov politiky oprávnení zahŕňalo všetky objekty triedy Používateľ (a objekty tried odvodených od triedy Používateľ) v rozsahu vyhľadávania.

POZNÁMKA:Ak vytvoríte novú triedu objektov odvodenú od triedy Používateľ, existujúca politika oprávnení túto triedu nerozpozná, kým v politike oprávnení nevykonáte potrebnú úpravu. To zabraňuje neúmyselnému udeleniu oprávnení používateľom novej triedy. Pri vykonaní úpravy politiky oprávnení sa zoznam tried odvodených od triedy Používateľ pre túto politiku aktualizuje.

Vytvorenie dynamického členstva

Na karte Dynamickí členovia vykonajte nasledujúce akcie:

Kliknite na kartu Dynamickí členovia.
Použite filtre Identita vyhľadávania, Začať vyhľadávanie na a Rozsah vyhľadávania tak, ako potrebujete.
Kliknite na položku Vytvoriť skupinu na vytvorenie novej podmienky alebo riadka a potom zadajte požadované kritériá alebo podmienku vyhľadávania.

Rozsah vyhľadávania: Rozsah vyhľadávania označuje množinu položiek na úrovni základného názvu domény vyhľadávania alebo pod ním, ktoré je možné považovať za potenciálne zhody pre operáciu vyhľadávania.

Kritériá vyhľadávania: Vyhľadávanie môžete obmedziť tak, aby vám pomohlo vyhľadať konkrétny záznam alebo skupinu záznamov z veľkého počtu záznamov.

Základný názov domény: Základný názov domény je bod, z ktorého server bude vyhľadávať používateľov.

Skupina LDAP: Ide o hierarchickú organizáciu používateľov, skupín a organizačných jednotiek, ktoré sú kontajnermi pre používateľov a skupiny.

POZNÁMKA:Používateľ môže vytvoriť jednu alebo viacero skupín s podmienkami. Podmienky pozostávajú z atribútov, operátorov a hodnoty. Predvolene sa vyplní podmienka Trieda objektu > rovná sa > Používateľ.

34.1.3 Statickí členovia

Statickí členovia sú triedou členov, ktorí sú deklarovaní pomocou statických kľúčových slov. Statický člen má určité obmedzené prístupy.

Na karte Statickí členovia je možné vykonávať nasledujúce operácie:

Zahrnúť členov:

Staticky pridajte členov, ktorí nie sú zahrnutí filtrom dynamického členstva.

Vylúčiť členov:

Vylúčte členov, ktorí spĺňajú kritériá filtra, ale nemajú byť zahrnutí do politiky oprávnení.

34.1.4 Oprávnenia

OBR vám umožňujú udeľovať oprávnenia pre pripojené systémy a práva v aplikácii OpenText Identity Manager. Oprávneniami môžu byť ľubovoľné z nasledujúcich položiek:

kontá v prepojených systémoch,
členstvá v distribučných zoznamoch e-mailov v pripojených systémoch,
členstvá v skupinách v pripojených systémoch,
atribúty pre zodpovedajúce objekty v prepojených systémoch a vyplnené vami zadanými hodnotami.

POZNÁMKA:Funkcia oprávnení je súčasťou aplikácie OpenText Identity Manager, takže oprávnenia v pripojených systémoch budete môcť udeľovať až potom, ako budete mať nainštalované a nakonfigurované ovládače aplikácie OpenText Identity Manager tak, aby podporovali oprávnenia.

Vytvorenie oprávnenia

Na karte Oprávnenia vykonajte nasledujúce akcie:

Kliknite na kartu Oprávnenie.
Kliknite na položku na pridanie ovládačov a poskytnutie oprávnení pre prepojené systémy.

Zobrazí sa obrazovka Pridať ovládač.
V rozbaľovacej ponuke vyberte ovládač.
Kliknite na položku Pridať.

Zobrazí sa obrazovka Pridať oprávnenia.
V rozbaľovacej ponuke Vybrať skupinu oprávnení vyberte skupinu oprávnení, ktorú chcete pridať.
Vyberte Typ dotazu:
- Vo vyrovnávacej pamäti: Ak boli dotazy spustené predtým.
- Externý dotaz: Ak sú dotazy nové.
Zobrazí sa obrazovka Pridať oprávnenie skupiny.
V rozbaľovacej ponuke vyberte oprávnenie skupiny a potom kliknite na položku Vybrať.

34.1.5 Rights to other Objects (Práva k iným objektom)

Pomocou tejto stránky môžete udeliť dôveryhodnému objektu politiky oprávnení práva pre objekt OpenText eDirectory. Každý člen politiky oprávnení sa stáva dôveryhodným objektom pre objekt.

Okrem priradenia práv pre všetky atribúty môžete kliknúť na položku Pridať vlastnosť a priradiť práva pre konkrétne vlastnosti.

Začiarkavacie políčko Zdediť určuje, či sa práva udelia aj pre nižšie úrovne v rámci stromu. Ak napríklad priraďujete práva pre objekt kontajnera a chcete, aby politika oprávnení mala rovnaké práva pre objekty a podkontajnery pod týmto kontajnerom, začiarknite políčko Zdediť.

Práva pre objekty v aplikácii OpenText eDirectory sa udelia členom politiky oprávnení po dokončení vykonávania zmien na tejto stránke. Naopak, oprávnenia pre prepojené systémy sa udelia každému členovi politiky oprávnení pri najbližšej úprave atribútu používaného pre dynamické členstvo pre daného používateľa alebo pri presunutí alebo premenovaní používateľa. (To isté platí aj pri odobratí práv a oprávnení.) Ak chcete vynútiť aktualizáciu, použite úlohu na opätovné hodnotenie členstva.

Vytvorenie práv k iným objektom

Ak chcete vytvoriť práva:

Kliknite na kartu Rights to other Objects (Práva k iným objektom)

Tu môžete pridať nový objekt a vyhľadávať objekty, pre ktoré má byť táto politika oprávnení dôveryhodným objektom.
1. Ak chcete pridať objekt, kliknite na tlačidlo .
  
  Zobrazí sa stránka KONTEXTOVÝ PREHĽADÁVAČ. Stránka obsahuje sekciu Objects.
2. Rozbaľte sekciu Objects a podľa svojich požiadaviek vyberte skupiny alebo jednotlivých používateľov a priraďte k nim práva.
3. Ak chcete pridať ďalšie vlastnosti, kliknite na položku .
  
  Zobrazí sa stránka VYBRAŤ VLASTNOSTI. Táto stránka obsahuje zoznam vlastností, ktoré objekt môže mať.
4. Kliknite na tlačidlo Hotovo.
(Voliteľné) Pomocou šípok Nahor a Nadol môžete nastavovať prioritu politík OBR.

Nastavenie priority politiky sa využíva pri riešení konfliktov oprávnení medzi viacerými politikami. Najvyššie umiestnená politika v zozname má najvyššiu prioritu. Ďalšie informácie nájdete v časti: Nastavenie priority politík OBR

34.1.6 Nastavenie priority politík OBR

Pri vytváraní politík OBR sa môže stať, že politiky ovplyvňujúce určitého používateľa môžu byť v konflikte.

Poradie politík OBR v zozname predstavuje ich prioritu. Toto poradie v zozname môžete zmeniť pomocou tlačidiel so šípkou nahor a šípkou nadol.

Toto nastavenie môže byť užitočné napríklad v prípade, že atribút pre prepojený systém povoľuje len jednu hodnotu. Ak pre toho istého používateľa udeľujú hodnotu pre tento atribút dve rôzne politiky OBR, používateľ získa hodnotu udelenú politikou OBR, ktorá sa v zozname nachádza na najvyššom mieste. Ako ďalší príklad je možné uviesť prípad, keď nakonfigurujete svoje prostredie na používanie oprávnení na umiestňovanie používateľov v hierarchickej štruktúre v inom systéme. Budete chcieť, aby používateľ bol umiestnený na jednom alebo na druhom mieste, nie na oboch miestach naraz.
Pripomíname, že nastavenie je nezávislé pre každé oprávnenie ponúkané jednotlivými ovládačmi.
Platí pravidlo, že politiky pre správcov alebo manažérov by ste mali umiestňovať na vyššie miesta v zozname než politiky pre koncových používateľov alebo individuálnych prispievateľov. Skupiny s obmedzenejším členstvom by ste mali umiestniť vyššie než skupiny so všeobecnejším členstvom.

Ak chcete nastaviť prioritu politík OBR:

Vyberte politiku oprávnení, ktorej prioritu chcete zvýšiť alebo znížiť.
Pomocou tlačidiel Nahor alebo Nadol nastavte prioritu politík OBR.
Kliknite na tlačidlo Uložiť .

Súhrn detailov členstva politiky sa zobrazuje na karte Súhrn.
Reštartujte ovládač.

POZNÁMKA:Ovládač je potrebné reštartovať, aby vykonané zmeny mohli nadobudnúť účinnosť.