Sun ONE Identity Server 6.1 管理指南 |
第 6 章
策略管理本章描述 Sun ONE Identity Server 的策略服務管理功能。策略管理用於檢視、管理和配置所有 Identity Server 策略。
本章包含以下小節:
策略類型使用 Identity Server 可以配置的策略有兩種:一般策略或參考策略。一般策略由規則、主題與條件組成。參考策略由組織的規則與參考組成。
一般策略
在 Identity Server 中,定義存取權限的策略是指一般策略。一般策略由規則、主題與條件組成。
規則由資源以及一組或多組動作與值組成。資源定義受保護的物件,動作是可以對資源執行的作業名稱,值定義權限。
策略未指定給身份。而主題指定給了策略。主題是將策略指定與套用至的身份物件。
條件定義策略適用的情形。例如,策略中的時間條件為上午 7 時至 10 時,表示策略只適用於上午 7 時至 10 時。
註
術語參考、規則、資源、主題、條件、動作和值分別對應 policy.dtd 中的元素 Referral、Rule、ResourceName、Subject、Condition、Attribute 和 Value。「Sun ONE Identity Server Customization and API Guide」中對這些術語有進一步解釋。
參考策略
通常,管理員可能需要將一個組織的策略定義和決策委託給另一個組織。(或者,可以將資源的策略決策委託給其他策略產品。)參考策略控制對建立與評估策略的策略委託。它由一條或多條規則與一個或多個參考組成。規則定義其策略定義與評估正在被參考的資源。參考定義策略定義與評估正在被參考的組織。
Identity Server 隨附兩種類型的參考:同級組織與子組織。它們分別委託給同層級組織與子層級組織。請參閱為同級組織和子組織建立策略,以取得更多資訊。
策略管理您可以透過策略 API、amadmin 指令行工具或 Identity Server 主控台建立、刪除和修改策略。
本章重點描述透過主控台建立策略。如需有關 amadmin 更多資訊,請參閱 amadmin 指令行工具。如需有關策略 API 的更多資訊,請參閱「Sun ONE Identity Server Customization and API Guide」中的「Policy Service」一章。
策略是使用 [身份管理] 介面配置。該介面用於:
通常,在組織 (或子組織) 層級建立要在整個組織的樹中使用的策略。
圖 6-1 策略檢視
註冊策略配置服務
註冊策略配置服務與註冊任一類型的服務相同,可在 [身份管理] 介面內完成。依預設,策略配置服務會自動註冊到頂層組織。您建立的任一策略服務必須註冊到所有組織。無論您何時註冊策略配置服務,均必須在範本中輸入 LDAP 連結密碼,以便所有策略在組織中生效。
- 導覽至 [身份管理] 介面。
主控台開啟時,預設介面是 [身份管理]。
- 選擇您要建立策略的組織。
如果以頂層管理員的身份登入,請確定身份管理模組位於可顯示所有已配置組織的頂層組織。預設頂層組織在安裝期間定義。
- 從 [檢視] 功能表選擇 [服務]。
如果組織已註冊服務,則這些服務將會顯示在導覽框架中。
- 在導覽框架中,按一下 [註冊]。
尚未註冊到該組織之服務的清單會顯示在資料框架中。
- 從 [註冊服務] 視窗 (在資料框架中開啟) 中選擇 [策略配置] 並按一下 [註冊]。
策略配置服務即會被加入導覽框架的服務清單中。
- 按一下 [屬性] 箭頭可配置策略服務。如果尚未配置策略範本,則需要為新註冊的策略服務建立服務範本。
若要配置策略服務,請按一下 [建立]。修改策略配置屬性。請參閱策略配置服務屬性,以取得這些屬性的描述。按一下 [儲存]。
現在,策略配置服務已註冊到所選組織。
建立策略
策略是使用 [身份管理] 介面建立。
- 導覽至 [身份管理] 介面。
- 選擇您要為其建立策略的組織。
請確定 [策略管理] 視窗位置是您組織的正確位置。
- 從 [檢視] 功能表選擇 [策略]。
依預設,在 [檢視] 功能表中可以看見 [組織] 檢視。所有配置的子組織 (如果有的話) 均會顯示在此檢視下面。如果建立子組織策略,請選擇此子組織,然後從 [檢視] 功能表選擇 [策略]。
- 在導覽框架中按一下 [新建]。將開啟 [新建策略] 視窗。
- 選取您要建立的策略類型 (一般或參考)。
如果參考子組織的參考策略不存在,則無法為該子組織建立任何策略。如需更多資訊,請參閱為同級組織和子組織建立策略。
並且此時,無需定義一般策略或參考策略的所有欄位。您可以建立策略,隨後再加入規則、主題、參考等。如需有關配置一般策略和參考策略的資訊,請參閱修改策略。
- 鍵入此策略名稱,然後按一下 [建立]。
建立的策略名稱下將會開啟新的策略規則視窗。
- 依預設,會顯示 [一般] 檢視。
[一般] 檢視顯示策略的名稱,允許您輸入要建立的策略描述。
- 按一下 [儲存],以完成此策略的配置。
修改策略
建立一般策略或參考策略後,您即可修改規則、主題、條件與參考。
修改一般策略
可透過 [身份管理] 介面建立定義存取權限的策略。這種策略即為一般策略。一般策略可由多個規則、物件和條件組成。本節列出並定義建立一般策略時可指定的預設欄位。
加入規則
規則定義此策略的資源、動作與動作值。
- 從 [身份管理] 介面的 [檢視],選取 [策略]。
將顯示為該組織建立的策略。
- 選擇您要修改的策略,然後按一下 [特性] 箭頭。[編輯策略] 視窗會在資料框架中開啟。
依預設,會顯示 [一般] 檢視。
- 若要定義此策略的規則,請從 [檢視] 功能表選取 [規則],然後按一下 [加入]。
如果存在多種服務,會在資料框架中列出。選擇要為其建立策略的服務,然後按一下 [下一步]。會顯示 [加入規則] 視窗。
- 定義 [規則] 欄位中的資源、動作與動作值。
這些欄位包括:
[服務]。 顯示要建立策略的服務。預設為 URL 策略代理程式。
[規則名稱]。輸入此規則的名稱。
[資源名稱]。輸入資源的名稱。例如:
http://www.sunone.com
目前,策略代理程式僅支援 http:// 資源和 https:// 資源,而不支援用 IP 位址取代主機名稱。
資源名稱、連接埠號和協定可以使用萬用字元。例如:
http*://*:*/*.html
對於 URL 策略代理服務,如果未輸入連接埠號,則 http:// 的預設連接埠號為 80,https:// 的預設連接埠號為 443。
[選取動作]。對於 URL 策略代理程式服務,您可以選取以下一種預設動作或兩者皆選:
[選取動作值]。對於 URL 策略代理程式服務,您可以選擇以下一種動作值:
策略中的拒絕規則總是要優先於允許規則。例如,如果指定的資源有兩種策略,一種是拒絕存取,另一種是允許存取,則結果是拒絕存取 (假如同時滿足這兩種策略條件)。由於拒絕策略可能導致這兩種策略之間產生潛在的衝突,因此建議您使用拒絕策略時要非常謹慎。通常,策略定義程序應該僅使用允許規則,在所有策略均不適於完成此拒絕存取時才使用預設拒絕規則。
如果使用明確的拒絕規則,即使有一個或多個策略允許存取,透過不同主題 (如角色和/或群組成員身份) 為給定使用者指定的策略也可能會導致拒絕對資源存取。例如,如果存在一個適用於員工角色之資源的拒絕策略,還存在另一個適用於管理員角色之相同資源的允許策略,系統將會拒絕指定給使用者 (員工角色和管理員角色) 的策略決策。
解決此問題的一種方法為使用條件外掛程式設計策略。在上述情況中,「角色條件」(將拒絕策略套用於被認證為員工角色的使用者,並將允許策略套用於被認證為管理員角色的使用者) 協助區分這兩種策略。另一種方法為使用 authentication level 條件,在此條件中管理員角色在較高認證層級進行認證。請參閱加入條件,以取得更多資訊。
- 按一下 [建立],以儲存此規則。
- 重複步驟 1 - 5,以建立其他規則。
- 為此策略建立的所有規則均顯示在 [規則] 檢視的表格中。按一下 [儲存],以將這些規則加入至策略。
若要從策略中移除某個規則,請選取此規則,然後按一下 [移除]。
可以透過按一下規則名稱旁邊的 [編輯] 連結,編輯任何規則定義。
加入主題
主題定義此策略將套用至的主題。
- 若要定義此策略的主題,請從 [檢視] 功能表選取 [主題],然後按一下 [加入]。
- 選取其中一個預設主題類型:
- 輸入此主題的名稱。
- 選取或取消選取 [專用] 欄位。
如果未選取此欄位 (預設),則此策略將套用於屬於此主題成員的身份。如果選取此欄位,則此策略將套用於不屬於此主題成員的身份。
如果策略中存在多重主題,並且至少一個主題表示策略套用於給定身份,則策略將套用於此身份。無論是否選取 [專用] 欄位,當滿足了策略中定義的所有條件時,策略均套用於此身份。
- 執行搜尋,以便顯示要加入至此主題的身份。
預設 (*) 搜尋式樣將顯示所有合格的項目。
- 選取要為此主題加入的身份,然後按一下 [加入],以將其移至 [已選取的] 清單方塊。(或選取 [全部加入],以加入所有身份)。
- 按一下 [建立]。
- 此主題的名稱、類型與專用狀態均會顯示在 [主題] 檢視的表格中。按一下 [儲存]。
若要從策略中移除某主題,請選取此主題,按一下 [移除],然後按一下 [儲存]。
可以透過按一下主題名稱旁邊的 [編輯] 連結,編輯任何主題定義。
加入條件
條件允許您定義對策略的限制。例如,如果您在為薪津應用程式定義策略,可以定義僅在特定幾小時限制此動作存取應用程式的條件。或者,如果請求來自給定 IP 位址集或企業內部網路,可能希望定義僅允許此動作存取的條件。
此條件可能還用於在同一領域的不同 URL 中配置不同的策略。例如,http://org.example.com/hr/*jsp 僅可以在上午 9 時至下午 5 時之間由 org.example.net 存取,而 http://org.example.com/finance/*.jsp 可以在上午 5 時至晚上 11 時之間由 org.example2.net 存取。配合使用 IP 條件與時間條件就可以達到這一目的。將規則資源指定為 http://org.example.com/hr/*.jsp,此策略會套用於 http://org.example.com/hr 下的所有 JSP (包括子目錄中的 JSP)。
若要將條件加入一般策略:
- 定義策略的條件。從 [檢視] 功能表選取 [條件]。按一下 [加入] 以加入新的條件,或者按一下 [編輯] 連結以編輯現有條件。
- 選取以下其中一個預設條件:
- 定義 [規則] 欄位中給定條件的值。這些欄位包括:
[名稱]。輸入此條件的名稱。
認證層級
[認證層級]。指示認證的可信度。可用認證層級顯示在認證層級和認證模組表格中。
認證方案
[認證方案]。從下拉式功能表,選擇此條件的認證方案。這些認證方案均取自組織認證模組中的核心服務範本。
IP 位址
[IP 位址自/至]。指定 IP 位址的範圍。
[DNS 名稱]。指定 DNS 名稱。
時間
[日期自/至]。指定日期範圍。
[時間]。指定一天內的時間範圍。
[天]。指定天數範圍。
[時區]。指定時區 (標準或自訂)。自訂時區僅可為 Java 識別的時區 ID (例如 PST)。
階段作業
[最大階段作業時間]。指定套用策略時使用者階段作業的最大時間。
[終止階段作業]。如果選取此欄位,則階段作業時間超過 [最大階段作業時間] 欄位定義所允許的最大時間時,此欄位會設定終止使用者階段作業。
- 定義了此條件後,即按一下 [建立]。
- 為此策略建立的所有條件均顯示在 [條件] 檢視的表格中。按一下 [儲存]。
若要從策略中移除某個條件,請選取此條件,然後按一下 [移除]。
可以透過按一下條件名稱旁邊的 [編輯] 連結,編輯任何條件定義。
修改參考策略
透過 [身份管理] 介面,您可以將一個組織的策略定義與決策委託給另一個組織。(還可將資源的策略決策委託給其他策略產品。)參考策略控制對建立與評估策略的策略委託。它由規則和參考本身組成。如果策略服務包含不需要資源的動作,則無法為子組織建立參考策略。
加入規則
規則可定義策略的資源。
- 若要定義此策略的規則,請從 [檢視] 功能表選取 [規則]。按一下 [加入] 以加入新規則,或按一下 [編輯] 連結以編輯現有規則。
- 定義 [規則] 欄位中的資源。這些欄位包括:
[服務]。 顯示要建立策略的策略服務。
[名稱]。輸入此規則的名稱。
[資源名稱]。輸入資源的名稱。例如:
http://www.sunone.com
目前,策略代理程式僅支援 http:// 和 https:// 資源,而不支援用 IP 位址取代主機名稱。
資源名稱、連接埠號和協定可以使用萬用字元。
對於 URL 策略代理服務,如果未輸入連接埠號,則 http:// 的預設連接埠號為 80,https:// 的預設連接埠號為 443。
- 按一下 [建立],以儲存此規則。
- 重複步驟 1 - 3,以建立其他規則。
- 為此策略建立的所有規則均顯示在 [規則] 檢視的表格中。按一下 [儲存]。
若要從策略中移除某個規則,請選取此規則,然後按一下 [移除]。
可以透過按一下規則名稱旁邊的 [編輯] 連結,編輯任何規則定義。
加入參考
參考定義策略評估正在參考的組織。依預設,有兩種類型的參考:同級組織與子組織。它們分別委託給同層級組織與子層級組織。
為同級組織和子組織建立策略
要為同級組織或子組織建立策略,必須先在父系組織 (或另一個同級組織) 中建立參考策略。還應該在子組織中註冊策略配置服務並建立範本。參考策略必須在其規則定義中包含正由子組織管理的資源字首。在父系組織 (或另一個同級組織) 中建立參考策略後,便可在子組織 (或同級組織) 中建立一般策略。
如果動作名稱不包含資源名稱,Identity Server 策略框架就不允許建立參考策略。也就是說,如果動作不包含任何資源名稱,就只能在根組織下而不能在子組織下建立策略。
在此範例中,o=isp 為父系組織,o=sun.com 為子組織並管理 http://www.example.com 的資源和子資源。若要為該子組織建立策略,請依循以下步驟:
- 在 o=isp 建立參考策略。如需有關參考策略的資訊,請參閱程序修改參考策略。
參考策略必須將 http://www.sun.com 定義為規則中的資源,且必須包含 SubOrgReferral (sun.com 作為參考中的值)。
- 移至 [組織] 檢視,並導覽至子組織 sun.com。
- 確保策略配置服務已在子組織層級 sun.com 註冊。如需有關資訊,請參閱註冊策略配置服務。
- 資源既然被 isp 稱為 sun.com,便可以為資源 http://www.sun.com 或以 http://www.sun.com 起始的任何資源建立一般策略。
請參閱程序修改一般策略,以取得有關建立一般策略的資訊。
若要為由 sun.com 管理的其他資源定義策略,則必須在 o=isp 建立其他參考策略。