上一页      目录      索引      下一页
Sun Java System Instant Messaging 6 2004Q2 管理指南

第 4 章
管理 Instant Messaging 和在线策略

Sun Java^TM System Instant Messaging 服务器可提供各种功能，如聊天、开会、轮询、在线访问等。策略用于说明一组可与这些功能关联的访问控制权限。反过来，又可以根据组织需要将最终用户和组分配给各策略。

本章说明如何定义和使用策略以管理最终用户和管理员对 Sun Java System Instant Messaging 服务器功能和权限的访问权：

保密性、安全性和站点策略概述
最终用户和管理员权限的控制方法
使用访问控制文件的管理策略
使用 Sun Java System Identity Server 管理策略
从 Instant Messaging 6.0 迁移

---

保密性、安全性和站点策略概述

Instant Messaging 可用于控制对 Instant Messaging 功能的访问和为最终用户保密。

站点策略

站点策略指定最终用户对 Instant Messaging 中特定功能的访问。它可以指定：

访问其他最终用户在线状态的能力
发送报警给其他最终用户的能力
在服务器上保存属性的能力
创建和管理会议室的能力
创建和管理新闻频道的能力

Instant Messaging 管理员有权访问所有 Instant Messaging 功能。管理员对所有会议室和新闻频道具有 MANAGE 的访问权限，可以查看任何最终用户的在线信息，并且可以查看和修改最终用户的“联系人列表”和“Instant Messenger 设置”等属性。站点策略设置不影响管理员的权限。

缺省情况下，最终用户有权访问其他最终用户的在线状态、发送报警给最终用户和保存属性到服务器上。大多数部署中的缺省值都一样。当 Instant Messaging 专用于弹出功能时，需要更改这些缺省值。

当 Instant Messaging 专用于弹出功能时，最终用户不能访问在线信息、聊天和新闻功能。

注意	虽然某些权限可以设置为全局适用，但管理员也可以定义这些权限的例外情况。例如，管理员可以拒绝某些用于选择最终用户、角色或组的缺省权限。

有关配置站点策略的详细信息，请参阅管理 Instant Messaging 和在线策略。

会议室和新闻频道访问控制

最终用户对会议室和新闻频道可以具有下列访问权限：

MANAGE - 完全访问权限，包括为其他最终用户设置会议室或新闻频道权限的能力。
WRITE - 添加内容到会议室或新闻频道的权限。
READ - 读取会议室或新闻频道内容的权限。
NONE - 没有访问权限。

具有 MANAGE 权限的最终用户可以为所有其他最终用户设置缺省的权限级别。这些最终用户还可以定义例外规则，对特定最终用户或组授予不同于缺省访问级别权限的访问级别。

注意	设置 WRITE 权限，授予最终用户 READ 权限。

用户保密性

最终用户可以指定是否允许其他最终用户查看其在线状态。缺省情况下，所有最终用户均可访问其他最终用户的在线信息。最终用户也可以设置例外情况，拒绝特定最终用户和组访问此信息。

如果最终用户拒绝其他最终用户访问其在线状态，则该最终用户在他人联系人列表中的可用性状态将显示为脱机。无法发送报警或聊天邀请到在线状态为脱机的最终用户。

可以使用 Instant Messenger 的“用户设置”窗口配置用户保密性。有关配置用户保密性的详细信息，请参阅《Instant Messenger 联机帮助》。

---

最终用户和管理员权限的控制方法

使用 Sun Java System Instant Messaging 服务器的不同站点对于最终用户的 Instant Messaging 服务访问权类型具有不同的启用和限制需要。控制最终用户和管理员对 Sun Java System Instant Messaging 服务器功能所拥有权限的过程叫做策略管理。策略管理有两种方法：使用访问控制文件或 Sun Java System Identity Server。

使用访问控制文件管理策略的简介

如果使用访问控制文件管理策略，则可在以下方面调整最终用户权限：新闻频道管理、会议室管理、在“用户设置”对话框中更改首选项以及发送警报。还可以将特定的最终用户指定为系统管理员。

使用 Sun Java System Identity Server 管理策略的简介

如果使用 Sun Java System Identity Server 管理策略，不仅可以获得与访问控制文件方法相同的权限控制，还可以对各种功能进行更为精细的控制，例如：接收报警、发送轮询和接收轮询等。有关完整列表，请参见表 4-4。此外，使用 Sun Java System Identity Server 管理策略时可以对权限进行更为精细的控制。

现有两种策略类型：Instant Messaging 策略和在线策略。Instant Messaging 策略管理一般的 Instant Messaging 功能，例如发送和接收报警功能、管理公共会议和新闻频道的功能以及发送文件的功能。在线策略管理最终用户的以下控制权：更改其在线状态、允许或阻止其他用户查看其在线信息。

管理策略：方法选用

在选择管理策略所用方法时，需要选择这些方法的保存位置。选择管理策略的方法的步骤为：编辑 iim.conf 文件，然后将 iim.policy.modules 参数设置为 identity（对于 Identity Server 方法）或 iim_ldap（对于访问控制文件方法 - 缺省方法）。

如果使用仅 LDAP 部署，由于不能使用 Sun Java System Identity Server，故必须使用访问控制文件方法。如果结合使用 Sun Java System Identity Server 和 Sun Java System Instant Messaging 服务器，而且已经安装 Instant Messaging 和在线服务组件，则可以使用任何一种策略管理方法。请注意，使用 Sun Java System Identity Server 的管理策略是更全面的方法。此方法的优点之一是可以将所有最终用户信息保存在目录中。

设置策略管理方法的步骤如下：

将目录更改为包含 iim.conf 文件的目录。
使用您选择的编辑器打开 iim.conf 文件。
通过将 iim.policy.modules 参数设置为下列值之一进行编辑：
iim_ldap（访问控制文件方法）
identity （Identity Server 方法）
编辑 iim.userprops.store 参数并将其设置为下列某个值：
ldap（在 LDAP 中保存用户特性）
file（缺省值，在文件中保存用户属性）
保存更改。
刷新配置。

策略配置参数

表 4-1 列出并说明 iim.conf 文件中的可用新参数（与 Sun Java System Identity Server 可在 Instant Messaging 部署中扮演的增强角色有关）：

表 4-1 iim.conf 文件中与 Identity Server 有关的新参数

参数名称	用途	值
iim.policy.modules	指示是否用 Sun Java System Identity Server 存储策略	iim_ldap（缺省） identity
iim.userprops.store	指示用户特性在用户属性文件中还是来自 LDAP	file（缺省） ldap

注意	目前，只有安装了在线服务和 Instant Messaging 服务的服务定义，iim.userprops.store 参数才有效。

---

使用访问控制文件的管理策略

通过编辑访问控制文件，可以控制下列最终用户权限：

访问其他最终用户的在线状态
向其他最终用户发送报警
将特性保存在服务器上
创建新会议室
创建新的新闻频道

缺省情况下，最终用户具有访问其他最终用户在线状态、向其他最终用户发送报警和将特性保存在服务器上的权限。在大多数部署中，缺省值无需更改。

注意	虽然某些权限可以设置为全局适用，但管理员也可以定义这些权限的例外情况。例如，管理员可以拒绝某些选择最终用户、角色或组的缺省权限。

访问控制文件的位置是：

在 Solaris 中：

/etc/opt/SUNWiim/default/config/acls

在 Linux 中：

/etc/opt/soim/default/config/acls

在 Windows 中，缺省目录是：

instant-messaging-installation-directory\config\acls

表 4-2 列出 Instant Messaging 的全局访问控制文件和这些文件提供给最终用户的权限。

表 4-2 访问控制文件

ACL 文件	权限
sysSaveUserSettings.acl	定义谁可以更改自己的首选项、谁不可以。
sysTopicsAdd.acl	定义谁可以创建新闻频道、谁不可以。
sysRoomsAdd.acl	定义谁可以创建会议室、谁不可以。
sysSendAlerts.acl	定义谁可以发送报警、谁不可以。
sysWatch.acl	定义谁可以查看其他最终用户所做更改、谁不可以。Sun Java System Instant Messenger 窗口不会显示给没有此权限的最终用户。
sysAdmin.acl	仅为管理员保留。此文件针对所有最终用户设置所有 Sun Java System Instant Messaging 功能的管理权限。此权限将覆盖所有其他权限，并可让管理员“管理”以下访问：所有会议室和新闻频道、最终用户在线信息、设置和特性。

访问控制文件格式

访问控制文件包含一系列定义权限的条目。所有条目都具有下列标记：

d: - 缺省值
u: - 用户
g: - 组

注意	带 d: 标记的条目必须是访问控制文件的最后一条。服务器将忽略 d: 标记之后的所有条目。如果 d: 标记为 true，则所有其他行将被忽略。不能将访问控制文件中的 d: 标记设置为 true，同时选择性地禁用最终用户的此权限。

标记后跟有冒号 (:)。如果是缺省标记，后面跟有 true 或 false。

最终用户和组标记后跟有最终用户或组名称。

通过将多个最终用户 (u) 和组 (g) 串联，可以指定多个最终用户和组。

如果将缺省值设置为 true，文件中的所有其他条目将是冗余的。如果缺省值设置为 false，则只有在文件中指定的最终用户和组具有该权限。

以下是 ACL 文件中用于新安装的缺省 d: 标记条目：

sysAdmin.acl - 包含 d:false
sysTopicsAdd.acl - 包含 d:false
sysRoomsAdd.acl - 包含 d:false
sysSaveUserSettings.acl - 包含 d:true
sysSendAlerts.acl - 包含 d:true
sysWatch.acl - 包含 d:true

注意	在未来的产品版本中，所有访问控制文件的格式可能会发生更改，并且有一些可能不再出现。

访问控制文件示例

本节采用样例文件sysTopicsAdd.acl 说明权限设置。有关会议室和新闻频道等级的访问控制文件的信息（即 roomname.acl 和 newschannel.acl），请参阅会议室和新闻频道访问控制。

sysTopicsAdd.acl 文件

在下列示例中，sysTopicsAdd.acl 文件的缺省 d: 标记条目是 false。因此，缺省值前的最终用户和组（即 user1、user2 和 sales 组）具有“添加”和“删除”新闻频道权限。

# Example sysTopicsAdd.acl file u:user1 u:user2 g:cn=sales,ou=groups,o=siroe d:False

更改最终用户权限

要更改最终用户权限：

切换到 config/acls 目录。例如，在 Solaris 上：

cd /etc/opt/SUNWiim/default/config/acls

编辑适当的访问控制文件。例如：

vi sysTopicsAdd.acl

保存更改。
最终用户需要刷新 Sun Java System Instant Messenger 窗口才能看到所作的更改。

---

使用 Sun Java System Identity Server 管理策略

Sun Java System Identity Server 中的 Instant Messaging 和在线服务提供另一种控制最终用户和管理员权限的方法。每种服务具有三种属性类型：动态、用户和策略。策略属性是用于设置权限的属性类型。

将规则添加到在 Identity Server 中创建的策略后，策略属性将成为规则的一部分，从而可允许或拒绝管理员和最终用户操作各种 Instant Messaging 功能，例如接收其他用户的轮询信息。

当 Sun Java System Instant Messaging 服务器随 Sun Java System Identity Server 一起安装后，将创建一些示例策略和角色。请参阅《Sun Java System Identity Server 入门指南》和《Sun Java System Identity Server 管理指南》以获取有关策略和角色的更多信息。

此外，如果示例策略不足，可以创建新策略，并根据需要将这些策略分配给角色、组、组织或最终用户，以满足站点的要求。

将 Instant Messaging 服务或在线服务分配给最终用户后，会同时应用动态属性和用户属性。动态属性可以分配给 Sun Java System Identity Server 配置的角色或组织。

将角色分配给最终用户或在组织中创建了最终用户时，动态属性将成为最终用户的特征。用户属性将直接分配给每个最终用户。它们并非继承自角色或组织，通常对每个最终用户是不同的。

最终用户登录后，将依据分配给他们的角色和策略应用方式，取得适用他们的所有属性。

将在线服务和 Instant Messaging 服务分配给最终用户后，动态、用户或策略属性将与这些最终用户关联。

Instant Messaging 服务属性

表 4-3 列出了每种服务所具有的策略、动态和用户属性：

表 4-3 Instant Messaging 的 Identity Server 属性

服务	策略属性	动态属性	用户属性
sunIM	sunIMAllowChat sunIMAllowChatInvite sunIMAllowForumAccess sunIMAllowForumManage sunIMAllowForumModerate sunIMAllowAlertsAccess sunIMAllowAlertsSend sunIMAllowNewsAccess sunIMAllowNewsManage sunIMAllowFileTransfer sunIMAllowContactListManage sunIMAllowUserSettings sunIMAllowPollingAccess sunIMAllowPollingSend	sunIMProperties sunIMRoster sunIMConferenceRoster sunIMNewsRoster	sunIMUserProperties sunIMUserRoster sunIMUserConferenceRoster sunIMUserNewsRoster
sunPresence	sunPresenceAllowAccess sunPresenceAllowPublish sunPresenceAllowManage	sunPresenceDefaultAcess sunPresenceAccessDenied sunPresenceAccessPermitted sunPresenceDevices	sunPresenceEntityDefaultAccess sunPresenceEntityAccessDenied sunPresenceEntityAccessPermitted sunPresenceEntityDevices

对于以上表格中的每种属性，Identity Server 管理控制台中将显示其对应标签。以下两个表格列出每种属性及其对应的标签和简要说明。表 4-4 列出并说明策略属性，表 4-5 列出并说明动态属性和用户属性。

表 4-4 Instant Messaging 的 Sun Java System Identity Server 策略属性

策略属性	管理控制台标签	属性说明
sunIMAllowChat	聊天的能力	最终用户可以应邀加入聊天室并使用一般聊天功能
sunIMAllowChatInvite	邀请其他人聊天的能力	最终用户可以邀请其他用户聊天
sunIMAllowForumAccess	加入会议室的能力	Sun Java System Instant Messenger 中显示会议标签，允许最终用户加入会议室
sunIMAllowForumManage	管理会议室的能力	最终用户可以创建、删除和管理会议室
sunIMAllowForumModerate	主持会议室的能力	最终用户可以成为会议主持人
sunIMAllowAlertsAccess	接收警报的能力	最终用户可以接收其他用户的报警
sunIMAllowAlertsSend	发送警报的能力	最终用户可以向其他用户发送警报
sunIMAllowNewsAccess	阅读新闻的能力	Sun Java System Instant Messenger 中显示“新闻”按钮，可让最终用户列出新闻频道以便接收和发送新闻消息
sunIMAllowNewsManage	管理新闻频道的能力	最终用户可以管理新闻频道，并可为新闻频道创建、删除和分配权限
sunIMAllowFileTransfer	交换文件的能力	最终用户可以为警报、聊天和新闻消息添加附件
sunIMAllowContactListManage	管理一个人的联系人列表的能力	最终用户可以管理自己的联系人列表；可以向列表添加用户或组，也可从中删除用户或组；可以重新命名联系人列表中的文件夹
sunIMAllowUserSettings	管理 Messenger 的能力	Sun Java System Instant Messenger 中显示“设置”按钮，可让最终用户更改自己的 Sun Java System Instant Messenger 设置
sunIMAllowPollingAccess	接收轮询的能力	最终用户可以接收其他用户发送的轮询消息，并可回应轮询
sunIMAllowPollingSend	发送轮询的能力	Sun Java System Instant Messenger 中显示“轮询”按钮，可让最终用户向其他用户发送轮询消息并可接收回应
sunPresenceAllowAccess	访问他人在线状态能力	最终用户可以查看其他用户的在线状态。联系人列表除显示联系人之外，还通过更改状态图标反映联系人的在线状态变化
sunPresenceAllowPublish	发布在线状态的能力	最终用户可以通过单击选择他们的状态（联机、脱机、忙等），以便其他用户查看
sunPresenceAllowManage	管理在线状态访问的能力	Sun Java System Instant Messenger 的“设置”中显示“访问”标签，最终用户可以设置自己的缺省在线访问、允许的在线列表或拒绝的在线列表

直接修改属性

最终用户可以登录 Sun Java System Identity Server 管理控制台，查看 Instant Messaging 中的属性和在线服务属性的值。最终用户可以更改已定义为可修改的属性。但在缺省情况下，Instant Messaging 服务中的属性均不可修改，也不建议允许最终用户更改它们。但是，从系统管理的观点来看，直接处理属性非常有用。

例如，因为角色不会影响某些系统属性（例如设置会议订阅），因而系统管理员可以通过从其他最终用户（例如从会议登记表）复制属性值来修改这些属性，或者直接修改它们。这些属性在表 4-5 中列出。

参见表 4-5，最终用户可通过 Sun Java System Identity Server 管理控制台设置用户属性。动态属性由管理员设置。设置的动态属性值将覆盖对应的用户属性值或与之合并。

对应的动态属性和用户属性特性将影响冲突与补充信息的解决方式。例如，两个来源（动态和用户）的会议订阅会互相补充；因此，订阅将合并。两种属性不会互相覆盖。

表 4-5 Instant Messaging 的 Sun Java System Identity Server 用户属性和动态属性

管理控制台标签	用户属性	动态属性	属性说明	冲突解决方案
Messenger 设置	sunIMUser Properties	sunIMProperties	包含 Sun Java System Instant Messenger 的所有特性，并对应于基于文件的用户特性存储器中的 user.properties 文件	合并，但是，如果某个特性具有同时来自用户属性和动态属性的值，动态属性将覆盖用户属性
订阅	sunIMUserRoster	sunIMRoster	包含订阅信息（尚未使用）	采用动态信息
会议订阅	sunIMUser ConferenceRoster	sunIMConference Roster	包含会议室订阅信息	合并-动态和用户订阅将合并
新闻频道订阅	sunIMNewsRoster	sunIMUserNews Roster	包含新闻频道订阅信息	合并-动态和用户订阅将合并
缺省在线状态可见性	sunPresenceEntity DefaultAccess	sunPresenceDefaultAccess	符合 Sun Java System Instant Messenger 中的访问设置。如果选中，任何人均可查看在线状态；如果未选中，任何人均不能查看在线状态	采用动态信息
在线状态拒绝列表	sunPresenceEntity AccessDenied	sunPresenceAccess Denied	如果选中管理控制台中的缺省在线状态可见性标签（请参见上个表格条目）（任何人均可查看），最终用户可将其他用户输入此列表以拒绝他们访问在线状态	采用动态信息
在线状态允许列表	sunPresenceEntity AccessPermitted	sunPresenceAccess Permitted	如果未选中管理控制台中的缺省在线状态可见性标签（请参见上个表格条目）（任何人均不可查看），最终用户可将其他用户输入此列表以允许他们访问在线状态	采用动态信息
在线状态代理	sunPresenceEntity Devices	sunPresenceDevices	本版本中未使用（将来会使用）	采用动态信息

Instant Messaging 和在线策略的预定义示例

表 4-6 列出并说明了在安装 Instant Messaging 服务组件时，于 Sun Java System Identity Server 中创建的七个示例策略和角色。您可以根据要为每个用户提供的访问控制，将最终用户添加到不同角色中。

典型站点可能会将“IM 正规用户”角色（接收缺省的 Instant Messaging 和在线访问的角色）分配给仅使用 Instant Messenger 但没有管理 Instant Messaging 策略的责任的最终用户。同一站点可以将“IM 管理员”角色（与管理 Instant Messaging 和在线服务有关的角色）分配给具有管理 Instant Messaging 策略全部职责的特定最终用户。表 4-7 列出策略属性中缺省的权限分配。如果未选中规则中的操作，值允许和拒绝将与策略无关，也不会影响该属性。

表 4-6 Identity Sever 的缺省策略和角色

策略	应用策略的角色	应用策略的服务	策略说明
缺省的 Instant Messaging 和在线访问	IM 正规用户	sunIM、sunPresence	正规 Instant Messaging 最终用户应该具有的缺省访问权。
管理 Instant Messaging 和在线服务的能力	IM 管理员	sunIM、sunPresence	Instant Messaging 管理员所具有的访问权，可以访问所有 Instant Messaging 功能。
管理 Instant Messaging 新闻频道的能力	IM 新闻管理员	sunIM	最终用户可以通过创建、删除等操作管理新闻频道。
管理 Instant Messaging 会议室的能力	IM 会议室管理员	sunIM	最终用户可以通过创建、删除等操作管理会议室。
更改自身 Instant Messaging 用户设置的能力	IM 允许用户设置角色	sunIM	最终用户可以通过单击 Sun Java System Instant Messenger 中的“设置”按钮来编辑设置。
发送 Instant Messaging 警报的能力	IM 允许发送警报角色	sunIM	最终用户可在 Sun Java System Instant Messenger 中发送警报。
查看其他 Instant Messaging 最终用户变化的能力	IM 允许查看变化角色	sunIM	最终用户可以访问其他 Instant Messaging 最终用户的在线状态。

表 4-7 缺省策略的分配

	策略
属性	缺省的 Instant Messaging 和在线访问	管理 Instant Messaging 和在线服务的能力	管理 Instant Messaging 新闻频道的能力	管理 Instant Messaging 会议室的能力	更改自身 Instant Messaging 最终用户设置的能力	发送 Instant Messaging 警报的能力	查看其他 Instant Messaging 最终用户变化的能力
sunIMAllowChat	允许	允许
sunIMAllowChatInvite	允许	允许
sunIMAllowForumAccess	允许	允许		允许
sunIMAllowForumManage	拒绝	允许		允许
sunIMAllowForumModerate	拒绝	允许		允许
sunIMAllowAlertsAccess	允许	允许				允许
sunIMAllowAlertsSend	允许	允许				允许
sunIMAllowNewsAccess	允许	允许	允许
sunIMAllowNewsManage	拒绝	允许	允许
sunIMAllowFileTransfer	允许	允许
sunIMAllowContactListManage	允许	允许
sunIMAllowUserSettings	允许	允许			允许
sunIMAllowPollingAccess	允许	允许
sunIMAllowPollingSend	允许	允许
sunPresenceAllowManage	允许	允许
sunPresenceAllowAccess	允许	允许					允许
sunPresenceAllowPublish	允许	允许

创建新的 Instant Messaging 策略

您可以创建新策略以满足站点的特殊需要。

创建新策略

登录 Identity Server 管理控制台（位于 http://hostname:port/amconsole），例如 http://imserver.company22.example.com:80/amconsole
选中“标识管理”标签，在浏览窗格（左下方框架）中的“查看”下拉列表中选择“策略”。
单击“新建”以在数据窗格（右下方框架）中显示“新策略”页。
“策略类型”选择“常规”。
在“名称”字段中输入策略说明，例如执行 IM 任务的能力。
单击“创建”使新策略的名称显示在浏览窗格中的策略列表中，并使数据窗格中的页面变为新策略的“编辑”页。
在“编辑”页中，选择“查看”下拉列表中的“规则”，以显示“编辑”页面中的规则名称服务资源窗格。
单击“添加”以显示“添加规则”页。
选择应用的服务：Instant Messaging 服务或在线服务。

每种服务均可让您允许或拒绝最终用户执行特定操作。例如，“聊天的能力”为 Instant Messaging 服务的专有操作，而“访问他人在线状态能力”是在线服务的专有操作。

在“规则名称”字段中输入规则的说明，例如规则 1。
输入适当的资源名称（IMResource 或 PresenceResource）：
IMResource 适用于 Instant Messaging 服务
PresenceResource 适用于在线服务
选择要应用的操作。
选择每个操作的值：允许或拒绝。
单击“创建”在该策略的已存储规则列表中显示建议的规则。
单击“保存”使此建议规则成为已存储规则。
对于要应用到该策略的所有其他规则，重复步骤 8-15。对于每个新建规则，单击“保存”以将所作的更改保存至策略。

将策略分配给角色、组、组织或用户

您可以将策略（Instant Messaging 缺省策略，或可能已在安装 Instant Messaging 后创建的 Instant Messaging 策略）分配给角色、组、组织或用户。

分配策略

登录 Identity Server 管理控制台（位于 http://hostname:port/amconsole），例如 http://imserver.company22.example.com:80/amconsole
选中“标识管理”标签，在浏览窗格（左下方框架）中的“查看”下拉列表中选择“策略”。
单击要分配策略名称旁边的箭头，以在数据窗格（右下方框架）中显示该策略的“编辑”页。
在“编辑”页中，从“查看”下拉列表中选择“主题”。
单击“添加”以显示“添加主题”页，将列出可能的主题类型：
Identity Server 角色
LDAP 组
LDAP 角色
LDAP 用户
组织
选择与策略匹配的主题类型，例如组织。
单击“下一步”。
在“名称”字段中，输入主题的说明。
如有需要，请选中 Exclusive 复选框。

缺省设置并未选中 Exclusive 复选框，表示策略将应用于主题的所有成员。

选中 Exclusive 复选框会将策略应用于非主题成员的所有人员。

在“可用”字段中，搜索您要添加到主题的条目。
为要搜索的条目输入搜索条件。缺省搜索条件是 *，这将显示该主题类型的所有主题。
单击“搜索”。
在“可用”文本框中突出显示打算添加到“选定”文本框中的条目。
单击“添加”或“全部添加”，以实际可用选项为准。
重复步骤 a-d，直至您已将所要的全部名称添加到“选定”文本框。
单击“创建”在该策略的已存储主题列表中显示建议的主题。
单击“保存”使此建议主题成为已存储主题。
对于您要添加到策略的所有其他主题，重复步骤 5-12。对于每个新建主题，单击“保存”以将所作的更改保存至策略。

使用 Identity Server 创建新的子组织

使用 Sun Java System Identity Server 创建子组织可以有组织地分离在 Sun Java System Instant Messaging 服务器中创建的内容。每个子组织可以映射至不同的 DNS 域。一个子组织中的最终用户与另一个子组织中的最终用户完全隔离。以下说明了创建 Instant Messaging 新子组织的最简单步骤。

创建新的子组织

登录 Identity Server 管理控制台（位于 http://hostname:port/amconsole），例如 http://imserver.company22.example.com:80/amconsole
创建新组织：
选中“标识管理”标签，在浏览窗格（左下方框架）的“查看”下拉列表中选择“组织”。
单击“新建”以在数据窗格（右下方框架）中显示“新组织”页。
在适当的字段中输入下列内容：
子组织名称，例如 sub1
域名，例如 sub1.company22.example.com，
单击“创建”。
为新创建的子组织注册服务。
在浏览窗格中，单击新子组织的名称，例如 sub1（请务必单击名称，而不是右边的特性箭头。）
在浏览窗格的“查看”下拉列表中选择“服务”。
单击“注册”在数据窗格中显示“注册服务”页。
在“验证”标题下选择下列服务：
核心
LDAP
在“Instant Messaging 配置”标题下选择下列服务：
Instant Messaging 服务
在线服务
单击“注册”在浏览窗格中显示为此子组织新选择的服务。
为新选择的服务创建服务模板：
在浏览窗格中，单击服务的特性箭头（从“核心”服务开始）。

创建服务模板页显示在数据窗格中。

在数据窗格中，单击“创建”，选中服务的模板选项页将替换创建服务模板页。

即使您不想修改模板选项，也应该针对每项服务单击“创建”。

按下列所述修改每项服务的服务模板选项：
核心：通常无需修改任何选项，请转至步骤 d。
LDAP：将新子组织的前缀添加到开始用户搜索的 DN 字段。添加前缀后，最后的 DN 应该是下列格式：

o=sub1，dc=company22，dc=example，dc=com

在根用户绑定密码和根用户绑定密码（确认）字段中输入 LDAP 密码。

继续进行步骤 d：

Instant Messaging 服务：通常无需修改任何选项，请转至步骤 d。
在线服务：如果您要让其他用户可在缺省情况下访问最终用户在线信息（站点将选择此选项），请在转至步骤 d 之前选中动态缺省在线状态可见性复选框。
单击“保存”。
重复步骤 a 到 d，直到每项服务均创建了服务模板。

将最终用户添加至新子组织

在子组织中创建新的最终用户后，需要为他们分配角色。角色可以继承自父组织，下一节中将对此进行说明。

要将最终用户添加至新的子组织：

转至父组织，然后从“查看”下拉列表中选择“角色”。具体步骤如下：
登录 Identity Server 管理控制台（位于 http://hostname:port/amconsole），例如 http://imserver.company22.example.com:80/amconsole
选中“标识管理”标签，在浏览窗格（左下方框架）的“查看”下拉列表中选择“角色”。
单击要分配角色右边的特性箭头，以在数据窗格（右下方框架）中显示该角色页。
在数据窗格的“查看”下拉列表中选择“用户”。
单击“添加”以显示“添加用户”页。
输入用于标识用户的匹配模式。例如，在用户 Id 字段中输入星号 * 将列出所有用户。
单击“过滤器”以显示“选择用户”页。
在“选择用户”页中显示来源路径：
选中“显示来源路径”复选框。
单击“刷新”。
选择要分配给此角色的用户。
单击“提交”。

---

从 Instant Messaging 6.0 迁移

非迁移选项

如果站点使用装有 Sun Java System Identity Server 5.1 软件的 Sun Java System Instant Messaging 6.0 服务器部署 Instant Messaging 服务，Sun Java System Instant Messaging 6 软件将使用旧属性。Sun ONE Instant Messaging 6.0 服务的策略属性（例如 sunIMAllowFileTransfer 和 sunIMEnableModerator）将覆盖 Sun Java System Instant Messaging 6 服务器中设置的相同策略属性。

迁移选项

但是，处理两项 Instant Messaging 服务差异的更好方法是：从用于 Sun ONE Instant Messaging 6.0 软件的 Instant Messaging 服务迁移，然后修改或创建使用来自 Sun Java System Instant Messaging 6 软件的“Instant Messaging 服务”和“在线服务”的 Sun Java System Identity Server 策略。所定义新策略应该能够为站点提供和旧策略一样的访问控制。

例如，您可以在缺省 Instant Messaging 和在线访问策略中修改规则，设置每个策略属性的拒绝或允许状态，以使策略展示出与其在 Sun Java System Instant Messaging 6.0 服务器中所展示特性相同的特性；或者，可使用一些规则来创建新策略，这些规则将使该策略表现出与先前相同的特性。

迁移访问控制文件

如果站点使用的是较早版本的 Sun Java System Instant Messaging 服务器（6.0 或更早），但未使用 Instant Messaging 服务（因此，并未通过在 Sun Java System Identity Server 中设置策略设置最终用户权限），但是已经通过编辑访问控制文件设置了最终用户权限，则可用两种方法复制访问控制文件中设置的策略并使用此信息创建 Sun Java System Identity Server 策略：

手动迁移访问控制文件信息

自动迁移访问控制文件信息

手动迁移访问控制文件信息

以下是此方法的高级步骤：

打开所有访问控制文件（每次打开一个）。例如，sysTopicsAdd.acl 和 sysRoomsAdd.acl。

有关访问控制文件的位置和格式的详细信息，请参阅使用访问控制文件的管理策略。

在每个文件中，读取缺省行的值。缺省行以字母 d 和冒号 (d:) 开始。
在缺省的即时消息和在线访问策略的 Sun Java System Identity Server 管理控制台中，将规则设置为从访问控制文件读取的相同缺省值。
为所有正规的 Instant Messaging 最终用户分配 IM 正规用户角色。
对于在这些访问控制文件中列出的具有不同权限（例如管理会议室或新闻频道的权限）的最终用户，将他们添加至具有那些权限的对应角色。请参阅表 4-6 以了解每个缺省策略适用的角色。

自动迁移访问控制文件信息

您可以通过发送命令执行此信息的一次性迁移，而不必手动传送访问控制文件信息。

键入下列命令：

imadmin migrate

此命令会将信息从全局访问控制文件迁移至对应的策略及其主题。请参见表 4-8 以了解全局访问控制文件和他们所映射的策略。

表 4-8 访问控制文件和它们所映射的策略

访问控制文件	策略
sysSaveUserSettings.acl	更改自身 Instant Messaging 用户设置的能力
sysTopicsAdd.acl	管理 Instant Messaging 新闻频道的能力
sysRoomsAdd.acl	管理 Instant Messaging 会议室的能力
sysSendAlerts.acl	发送 Instant Messaging 警报的能力
sysWatch.acl	查看其他 Instant Messaging 最终用户变化的能力
sysAdmin.acl	管理 Instant Messaging 和在线服务的能力

迁移 Sun Java System Instant Messenger 设置

对于 Sun Java System Instant Messaging 6.1 服务器，将 iim.conf 文件中的参数 iim.userprops.store 设置为 ldap 时，最终用户的 Sun Java System Instant Messenger 设置会保存在 sunIMUserProperties 用户属性中。

如果站点使用较早版本的 Sun Java System Instant Messaging 服务器且 Sun Java System Instant Messenger 设置已经保存在 user.properties 文件中，在安装 Sun Java System Instant Messaging 6.1 服务器后，旧设置将在最终用户登录时自动迁移至 sunIMUserProperties 用户属性（只要iim.conf 文件中的 iim.userprops.store 参数设置为 ldap）。

在最终用户初次登录 Sun Java System Instant Messaging 6.1 服务器时，服务器将检查 sunIMUserProperties 用户属性是否存在，以及它是否保存最终用户的设置。如果此位置未找到最终用户的设置，服务器将检查是否存在该最终用户的 user.properties 文件。如果文件存在，服务器会将信息从 user.properties 文件传送至 sunIMUserProperties 用户属性。但是，如果 user.properties 文件不存在，缺省 Sun Java System Instant Messenger 设置将是在 sunIMUserProperties 用户属性中为该最终用户分配的值。

上一页      目录      索引      下一页

---

版权所有 2004 Sun Microsystems, Inc. 保留所有权利。