34.1 角色型授權

RBE 規則是 OpenText Identity Console 動態群組物件，加入了額外的功能，可讓您授予所連結系統上的 RBE。當您建立 RBE 規則時，您會定義規則和授權的成員資格，這兩者應授予給 RBE 規則的成員。每個 RBE 規則皆與指定給特定伺服器的單一「驅動程式集」物件相關聯。與 OpenText Identity Manager 驅動程式類似，每個「授權」規則只能管理其指定伺服器上主複製本或讀/寫複製本中的物件。

以下各節詳細說明角色為基礎的授權：

34.1.1 總結

此頁面摘要「授權」規則的成員資格準則與授權高階層檢視。

成員:

以 LDAP 過濾器的語法顯示動態成員資格的指定準則。搜尋「身份」指示查詢動態成員資格時使用何物件權限，「基礎 DN」和「範圍」指示查詢要包含網路樹的哪個部份。

您可選取核取方塊，檢視包含與排除的靜態成員資格。

所有成員的合併清單不會顯示於「摘要」頁面，因為此清單應該很長。若要檢視「授權」規則中，包括動態與靜態的所有成員的合併清單，請使用「成員資格」>「檢視成員資格」索引標籤。

授權:

授予「授權」規則成員的已連接系統上授權。請記住，「角色授權」與已連接系統之間的一致性並不是十分健全。這表示已連接系統上的授權狀態並不會顯示於「授權規則」介面中。若您將授權授予「授權規則」，稍後無法在已連接系統上使用該授權，但授權仍會列於「授權規則」清單中，直到您手動從清單移除為止。

衝突解決:

對於具有值的 RBE，若有兩個或更多 RBE 規則將不同值授予使用者時，可使用這些方法判斷使用者被授予哪個值。具有值的授權範例為，電子郵件配送清單中的成員，其中配送清單名稱即為值。

各驅動程式物件上的個別授權，會分別設定衝突解決方法。若某授權用於多個 RBE 規則，則所有 RBE 規則會使用相同的衝突解決方法。若要變更某授權的衝突解決方法，請在驅動程式的驅動程式資訊清單中變更授權設定。

  • 無法辨識：未於精靈中完成 RBE 規規，或驅動程式資訊清單中的設定輸入錯誤。

  • 合併：預設設定為「合併」(在驅動程式資訊清單中為結合)。這表示使用者會被授予其所屬所有 RBE 規則中，此授權的所有值。

    使用「合併」預設值時，規則清單優先程度順序對此特定授權而言並不重要。

    例如，使用者被「管理員」規則與「小組成員」規則這兩個不同的 RBE 規則，授予 GroupWise® 驅動程式 A 的電子郵件配送清單成員資格。在「規則 1」中，使用者被授予「管理員」電子郵件配送清單的成員資格，而在「規則 2」中，使用者被授予「小組成員」電子郵件配送清單的成員資格。透過「合併」設定，使用者會同時被授予兩個電子郵件配送清單的成員資格。

  • 優先順序：此設定表示若有多個 RBE 規則對某使用者授予相同驅動程式物件中、相同授權的不同值，則使用者只會被授予清單中最高優先順序之的 RBE 規則所指定的值。

    使用「優先程度」設定時，規則清單優先程度順序對此特定授權而言就很重要。

    例如，使用者被「管理員」規則與「小組成員」規則這兩個不同的 RBE 規則，授予 GroupWise 驅動程式 A 的電子郵件配送清單成員資格。在「管理員」規則中，使用者被授予「管理員」電子郵件配送清單的成員資格，而在「小組成員」規則中，使用者被授予「小組成員」電子郵件配送清單的成員資格。「管理員」規則在規則清單中的位置高於「小組成員」規則。透過「優先程度」設定，使用者僅會被授予「管理員」電子郵件配送清單的成員資格。

    舉例來說，當已連接系統上的屬性只允許單一值時，使用優先程度進行衝突解決便十分有用。若兩個不同的 RBE 規則將該屬性的值授予相同使用者，則該使用者會收到清單中位置最高之 RBE 規則所授予的值。

附註：沒有值的授權，如帳戶，並不會提供衝突解決設定。無論規則在清單中的優先順序為何，不具有值的授權一律授予 RBE 規則的成員。

34.1.2 動態成員

以 LDAP 過濾器的語法顯示動態成員資格的指定準則。搜尋「身份」指示查詢動態成員資格時使用何物件權限，「基礎 DN」和「範圍」指示查詢要包含網路樹的哪個部份。

成員資格篩選器

您可定義成員資格的準則，例如在網路樹中的位置和物件屬性。例如，成員資格可取決於使用者是否為使用中容器，或取決於工作標題是否包含「管理員」字眼。符合該準則的使用者會自動成為 RBE 規則的成員，而無需特別將每個使用者新增至規則。動態成員資格與「動態群組」物件相同。

若物件有所變更，而無法符合動態成員資格的任何準則，則下次重新評估使用者時，授權會自動撤銷。

設定搜尋參數

指定您要「授權」規則管理的使用者位置。選擇保有使用者的容器 (基本 DN)，以及您要容器搜尋到多遠的位置 (搜尋範圍)。如需「授權」規則管理您所指定容器中的使用者，使用者必須在伺服器的讀/寫複製本或主複製本中。

提供以下用於「搜尋範圍」的選項：

  • 此容器和此子容器：在網路樹中，位於此容器以下的使用者如果符合為動態成員資格指定的準則，則均為「授權」規則的成員。子容器中的使用者如果符合準則，也會是成員。

  • 此容器僅適用於：此容器中的使用者只有在符合動態成員資格特定的準則下，才為「授權」規則的成員。在此容器之下子容器中的使用者，即使符合準則，仍不是成員。

定義過濾器準則

指定決定哪些使用者是「授權」規則之成員的特性。

在「授權」規則的「摘要」頁面中，您所指定的動態成員資格準則會以 LDAP 過濾器的語法顯示。

依照預設，動態成員資格會設定為將所有使用者類別物件 (和自使用者類別衍生的類別物件) 包含在搜尋範圍內，作為「授權」規則的成員。

附註：如果您建立衍生自使用者的新物件類別，則現有「授權」規則不會察覺到該類別，直到您修改「授權」規則。這可防止不小心將授權授予新類別的使用者。在對「授權」規則進行任何修改後，會更新該規則的使用者衍生類別清單。

建立動態成員資格

在「動態成員」索引標籤上，執行下列作業：

  1. 按一下「動態成員」索引標籤。

  2. 根據需要使用「搜尋身分」、「開始搜尋位置」和「搜尋範圍」篩選器。

  3. 按下特定的「建立群組」以建立新條件或列，然後提供所需的搜尋準則或條件。

    搜尋範圍：「搜尋範圍」指出位於搜尋基本 DN 或之下的項目集，這些項目可能會視為搜尋作業的潛在相符項目。

    搜尋準則：您可限制某個搜尋，以協助您從大量記錄中找出特定記錄或記錄群組。

    基本 DN：基本 DN 是伺服器搜尋使用者的點。

    LDAP 群組：這是個「使用者」、「群組」和「組織單位」的階層式組織，其為使用者和群組的容器。

附註：使用者可以建立具條件的單一或多個群組。條件包含屬性、運算子和值。依預設，填入「物件類別」>「等於」>「使用者」。

34.1.3 靜態成員

靜態成員是使用靜態關鍵字聲明的成員類別。靜態成員具有特定的有限存取權。

在「靜態成員」索引標籤上，可以執行以下操作：

包括成員：

以靜態方式新增動態成員資格過濾器未包含的成員。

排除成員：

排除符合過濾器準則，但不應包含於授權規則中的成員。

34.1.4 授權

RBE 可讓您在連接的系統上授予授權，並在 OpenText Identity Manager 中授予權限。「授權」可為下列任一：

  • 已連接系統上的帳戶.

  • 已連接系統上電子郵件配送清單的成員資格。

  • 已連接系統上的群組成員資格.

  • 已連接系統中相對應物件的屬性，已對其填入您指定的值.

附註：「授權」功能是 OpenText Identity Manager 的一部分，所以您必須先安裝 OpenText Identity Manager 驅動程式，並將其組態設定為支援「授權」，之後您才能在連接的系統上授予授權。

建立授權

在「授權」索引標籤上，執行下列作業：

  1. 按一下「授權」索引標籤。

  2. 按一下 以 新增驅動程式，並在已連結系統上提供授權。

    「新增驅動程式」畫面隨即顯示。

  3. 從下拉式選單中選取驅動程式。

  4. 按一下新增。

    「新增授權」畫面隨即顯示。

  5. 從下拉式選單選取您要新增的授權群組。

  6. 選取「查詢類型」：

    • 已快取：當先前執行查詢時。

    • 外部查詢：當查詢是新的時。

    「新增群組授權」畫面隨即顯示。

  7. 從下拉式選單中選取群組授權，然後按一下「選取」。

34.1.5 其他物件的權限

使用此頁面，將「授權」規則託管者權限賦予 OpenText eDirectory 物件。「授權」規則的各成員都會成為物件的託管者。

除了指定對所有屬性的權限之外，您也可按一下「新增內容」，指定對特定內容的權限。

「承襲」核取方塊可決定權限是否會在網路樹中向下承襲。例如，若您指定了對某容器物件的權限，而您希望「授權」規則對該容器下的物件及子容器皆具有相同權限，請選取「承襲」核取方塊。

在您完成此頁面的變更之後，就會將對 OpenText eDirectory 中物件的權限授予「授權」規則中的成員。相反的，當下次針對使用者修改用於動態成員資格的屬性，或者移動或重新命名使用者時，會將已連接系統中的授權授予「授權」規則的每個成員。(當撤銷權利和授權時，相同情況各自適用)。使用「重新評估成員資格」任務以強制更新。

建立對其他物件的權限

如要建立權限：

  1. 按一下「其他物件的權限」索引標籤

    您可在此新增一個新物件，並瀏覽希望此「授權規則」成為託管者的物件。

    1. 若要新增物件，請按一下 按鈕。

      「內容瀏覽器」頁面隨即顯示。該頁面包含「物件」。

    2. 展開「物件」，然後根據您的要求選取「群組」或「個別使用者」，並為其指派權限。

    3. 如要新增更多屬性，請按一下 。

      「選取屬性」頁面隨即顯示。此頁面包含「物件」可具有的「屬性」清單。

    4. 按一下「完成」。

  2. (選用) 透過使用「向上」和「向下」 箭頭，來設定 RBE 規則的優先順序。

    設定規則的優先順序是為了解決多個規則之間的授權衝突。最上層的規則具有最高優先順序。詳細相關資訊請參閱：設定 RBE 規則的優先順序

34.1.6 設定 RBE 規則的優先順序

建立 RBE 規則後，影響某個使用者的規則可能會有衝突。

清單中的 RBE 規則順序代表優先順序。您可以使用向上箭頭和向下箭頭來變更清單的順序。

  • 舉例來說，當已連接系統上的屬性只允許單一值時，此設定可能就很有用。若兩個不同的 RBE 規則將該屬性的值授予相同使用者，則該使用者會收到清單中位置最高之 RBE 規則所授予的值。另舉一例，您或許將環境組態設定為使用「授權」，以將使用者放置於另一個系統的階層結構中。您可能想要將使用者置於其中一個位置，而非同時置於兩個位置中。

  • 請記住，每個驅動程式提供的每個授權之設定都是獨立的。

  • 作為規則，您應在清單中將管理員規則置於一般使用者或個別顧問規則之上。您應該將成員資格較為嚴格的群組，置於成員資格較為寬鬆的群組之上。

如要設定 RBE 規則的優先順序：

  1. 選取要升級或降級的「授權規則」。

  2. 透過使用「向上」或「向下」 箭頭，來設定 RBE 規則的優先順序。

  3. 按一下儲存 按鈕。

    規則成員資格詳細資訊的摘要顯會顯示於「摘要」索引標籤中。

  4. 重新啟動驅動程式。

    附註：您必須重新啟動驅動程式才可使變更生效。