35.1 了解角色和访问控制

OpenText Identity Console 提供了向用户分配特定职责的功能，并向他们提供履行这些职责所需的工具及其附带权限。

RAC 是 OpenText eDirectory 纲要的扩展。RAC 定义了若干个对象类和属性，这些类和属性为管理员提供了一种机制，使其可以根据用户在 PAC 配置中的角色授予其访问管理任务的权限。这使用户只能访问需要执行的任务。

注：OpenText Identity Console RAC 根据 OpenText eDirectory 的访问控制列表 (Access Control List, ACL) 功能授予权限。这些 ACL 允许为受托者授予对特定对象或其从属对象的权限。ACL 不会基于特定的对象类型授权。每个 OpenText Identity Console 任务都可以定义其适用的对象类型和必要的 ACL。但是，这些 ACL 允许用户通过 OpenText eDirectory API 或其他工具对其他对象类型执行这些操作。

RAC 功能还有助于在组织内创建特定角色。这些角色包含所指派的用户可在 OpenText Identity Console 中执行的任务，例如创建新用户或更改口令。任务会预先指派给角色，但也可以执行替换、重指派或去除操作。

而且，用户将与指定范围（即树中的一个容器，而用户拥有在该树中执行任务的必要权限）中的角色相关联。一个完整的角色需要角色、成员和范围三者相互关联。

角色对象可在用户和任务之间创建关联。管理员可以通过使用户成为获指派任务的角色的成员，授予用户访问该任务的权限。

可通过下列方法将用户指派给角色：

  • 直接作为用户。

  • 通过组指派。

    如果用户为指派给角色的组或动态组的成员，则该用户有权访问此角色。

  • 通过容器指派。

    用户对象有权访问已指派其父容器的所有角色。这还可以包括组织和组织单元等容器。

用户可与角色进行多次关联，每次的范围都不同。

35.1.1 OpenText eDirectory 中的角色和访问控制对象

下表列出 RAC 对象。OpenText Identity Console 会在您安装 RAC 时扩展 OpenText eDirectory 纲要以包括这些对象。

对象

说明

RAC 配置

存放所有角色和模块对象的容器对象。

RAC 配置对象是所有 RAC 对象的最上层容器。树可以包含任何数目的 RAC 配置对象。这些对象包含拥有者，也就是对此配置拥有管理权限的用户。

可在下列任何容器中创建 RAC 配置对象：

  • 领域。

  • 位置。

  • 国家/地区。

  • 组织。

  • 组织单元。

RAC 角色

定义角色包括创建 RAC 角色对象和指定该角色可以执行的任务。

RAC 角色是只能在 RAC 配置容器中创建的容器对象。

角色成员可以是“用户”、“组”、“组织”或“组织单元”，且角色成员会关联到树的特定范围中的某个角色。RAC 任务对象将指派给 RAC 角色对象。

RAC 任务

保存特定功能（如创建用户或组）的叶对象。

RAC 任务对象仅位于 RAC 模块容器中。

RAC 范围

叶对象是用于 ACL 指派（而不必为每个用户对象指派）。RAC 范围对象表示树中执行角色的环境，并与 RAC 角色对象相关联。他们继承自组类。用户对象会指派给 RAC 范围对象。这些对象参照与其关联的树的范围。

会根据需要自动创建该对象，并会在不再需要时自动将其删除。它们仅位于 RAC 角色容器中。

RAC 范围可以是“组织”和“组织单元”。

警告：切勿更改 RAC 范围对象的配置。不然会产生严重的后果，甚至可能会断开系统。

RAC 模块

表示存放 RAC 任务对象的容器对象。RAC 模块对象具有模块名称属性，该属性表示定义任务的产品的名称（例如，“证书管理”、“鉴定管理”、“用户管理”等）。

只能在 RAC 配置容器中创建 RAC 模块对象。