上一頁      目錄      下一頁
Sun Java System Identity Manager 2005Q4M3 管理指南

4

管理指南

本章將提供在 Identity Manager 系統中執行一系列管理層級工作的資訊與程序，例如：

建立 Identity Manager 管理員和委託管理
定義組織與虛擬組織
建立與管理管理員

---

瞭解 Identity Manager 管理

Identity Manager 管理員是擁有擴充 Identity Manager 特權的使用者。 您可以建立 Identity Manager 管理員以管理：

使用者帳號
系統物件，例如角色與資源
組織

Identity Manager 透過以下指定區別管理員與使用者：

擴充權能。 管理員會在每個其管理的組織中，將擴充權能應用至帳號、角色與資源。
控制的組織。 被指定控制某組織後，管理員可以管理該組織中的物件，以及在階層中位於該組織以下的所有組織中的物件。

委託管理

在大多數公司中，具有欲執行管理工作的員工會擁有特定與不同的責任。 在很多情況中，管理員必須執行帳號管理工作，而該工作對其他使用者或管理員而言是「透明」的，或者具有某些範圍限制。

例如，某管理員可能只負責建立 Identity Manager 使用者帳號。 具有該有限責任範圍的管理員，不大可能需要關於其建立使用者帳號的資源的特定資訊；或關於系統內現有角色或組織的特定資訊。

Identity Manager 支援責任分離與此委託管理模式，方法是僅允許管理員「查看」並管理特定的已定義範圍之內的物件。

Identity Manager 透過如下方法將個別系統活動委託給管理員進行管理：

提供對特定組織及這些組織中物件的有限控制
篩選 Identity Manager 使用者建立與編輯頁面的管理員檢視
以權能的形式給予管理員特定的工作責任

---

瞭解 Identity Manager 組織

利用組織可執行以下動作：

有邏輯並安全地管理使用者帳號與管理員
限制對資源、應用程式、角色與其他 Identity Manager 物件的存取權

藉由建立組織並指定使用者至組織層級中的不同位置，您可以設定委託管理階段。 包含一個或多個其他組織的組織稱為父系組織。

所有 Identity Manager 使用者 (包括管理員) 皆靜態地指定給一個組織。 使用者也可以被動態地指定給其他組織。

Identity Manager 管理員會另外指定以控制組織。

建立組織

組織於 Identity Manager 帳號區域中建立。 若要建立組織：

從功能表列中，選取 [Accounts]。
從 [Accounts] 頁面的 [New Actions] 清單中，選取 [New Organization]。

---

提示  若要在組織階層的特定位置建立組織，請在清單中選取一個組織，然後從 [New Actions] 清單中選取 [New Organization]。

---





圖 1. 建立組織

指定使用者給組織

每個使用者均為一個組織的靜態成員，且可以是多個組織的動態成員。 組織成員資格由以下決定：

直接 (靜態) 指定 — 從 [Create User] 或 [Edit User] 頁面，將使用者直接指定給組織。 (選取 [Identity] 表單標籤可顯示 [Organizations] 欄位。) 使用者必須直接指定給一個組織。
規則導向 (動態) 指定 — 藉由將評估時可傳回一組成員使用者的規則指定給組織，將使用者動態指定給組織。Identity Manager 將於以下情況評估使用者成員規則：
列出組織中的使用者時
尋找使用者 (透過 [尋找使用者] 頁面)，包括搜尋具備使用者成員規則的組織中的使用者
請求使用者存取權，且目前管理員控制的組織具有使用者成員規則

從 [建立組織] 頁面的 [使用者成員規則] 欄位選擇使用者成員規則。





圖 2. 建立組織：使用者成員規則選取

以下範例顯示了您如何設定可以動態控制組織的使用者成員資格的使用者成員規則。

---

附註  如需關於在 Identity Manager 中建立和使用規則的相關資訊，請參閱 Identity Manager 部署工具。

---

金鑰定義與內含項

欲使某規則出現於 [User Member Rule] 選項方塊中，其 authType 必須設定為 [authType='UserMembersRule']。
上下文是目前驗證的 Identity Manager 使用者的階段作業。
對於身為 Windows Active Directory ou 'Houston Astros' 的成員的每個使用者，定義的變數 (defvar) 'Astros players' 取得 dn。
對於找到的每個使用者，附加邏輯會將 'Houston Astros' ou 的每個成員使用者的 dn 與使用分號前綴的 Identity Manager 資源名稱串連在一起 (如 ":dogbreath-AD")。
傳回的結果會是與 Identity Manager 資源名稱串連的 dn 的清單，格式為「<dn>:dogbreath-AD」。

使用者成員規則範例

<Rule name='Get Astros players'

   authType='UserMembersRule'>

   <defvar name='Astros players'>

      <block>

   <defvar name='player names'>

      <list/>

   </defvar>

   <dolist name='users'>

      <invoke class='com.waveset.ui.FormUtil'

            name='getResourceObjects'>

      <ref>context</ref>

      <s>User</s>

      <s>dogfish-AD</s>

      <map>

         <s>searchContext</s>

         <s>OU=Houston Astros,DC=dev-ad,DC=waveset,DC=com</s>

         <s>searchScope</s>

         <s>subtree</s>

         <s>searchAttrsToGet</s>

         <list>

            <s>distinguishedName</s>

         </list>

      </map>

      </invoke>

      <append name='player names'>

      <concat>

         <get>

            <ref>users</ref>

            <s>distinguishedName</s>

         </get>

            <s>:dogbreath-AD</s>

      </concat>

      </append>

   </dolist>

      <ref>player names</ref>

   </block>

   </defvar>

      <ref>Astros players</ref>

</Rule>

指定組織控制

從 [建立使用者] 或 [編輯使用者] 頁面指定一個或多個組織的管理控制。 選取 [Security] 表單標籤可顯示 [Controlled Organizations] 欄位。

您也可以透過從 [管理角色] 欄位指定一個或多個管理角色，來指定組織的管理控制。

---

瞭解目錄結合與虛擬組織

目錄結合是一組階層相關的組織，它鏡射一組目錄資源的實際階層式容器。 目錄資源透過利用階層容器來使用階層名稱空間。 目錄資源的範例有 LDAP 伺服器與 Windows Active Directory 資源。

目錄集合中每個組織皆是虛擬組織。 目錄結合中最頂層的虛擬組織是表示定義於資源中的基本上下文的容器的鏡射。 目錄結合中的其餘虛擬組織為頂層虛擬組織的直接或間接子系，而且還鏡射一個為已定義資源的基本上下文容器之子系的目錄資源容器。

圖 3. Identity Manager 虛擬組織

可以在任一點將目錄結合連接至現有 Identity Manager 組織結構。 然而，不能在現有目錄結合之內或之下連接目錄結合。

您將目錄結合新增至 Identity Manager 組織樹後，可以建立或刪除該目錄結合中上下文裡的虛擬組織。 除此之外，您可以隨時更新內含目錄結合的虛擬組織集，來確保其與目錄資源容器保持同步。 您無法在目錄結合中建立非虛擬組織。

您可以使用與 Identity Manager 組織相同的方式來建立虛擬組織的 Identity Manager 物件 (例如使用者、資源與角色) 成員，並可用於其中。

設定目錄結合

您可以在 Identity Manager 帳號區域中設定目錄結合：

從 Identity Manager 功能表列中，選取 [Accounts]。
在 [Accounts] 清單中，選取一個 Identity Manager 組織，然後在 [New Actions] 清單中，選取 [New Directory Junction]。

您選取的組織將成為設定的虛擬組織的父系組織。

Identity Manager 顯示 [建立目錄結合] 頁面。

選取設定虛擬組織的選項：
父系組織 — 這個欄位包含您從 [Accounts] 清單中選取的組織；不過，您可以從清單中選取不同的父系組織。
目錄資源 — 選取您要在虛擬組織中鏡射其結構的現有目錄之目錄資源。
使用者表單 — 選取要套用至這個組織中的管理員的使用者表單。
Identity Manager 帳號策略 — 選取策略或選取預設選項 (繼承的) 來繼承父系組織的策略。
核准人 — 選取可以核准與這個組織相關的請求的管理員。

更新虛擬組織

此程序從選取的組織開始，向下更新虛擬組織並使之與相關目錄資源重新同步化。 在清單中選取虛擬組織，然後在 [Organization Actions] 清單中，選取 [Refresh Organization]。

刪除虛擬組織

刪除虛擬組織時，您可以從兩個刪除選項中選取：

僅刪除 Identity Manager 組織 — 僅刪除 Identity Manager 目錄結合。
刪除 Identity Manager 組織和資源容器 — 刪除 Identity Manager 目錄結合與本機資源上的對應組織。

選取一個選項，然後按一下刪除。

---

建立管理員

您可以藉由擴充 Identity Manager 使用者的權能來「建立」Identity Manager 管理員。 建立或編輯使用者時，您可以給予他們管理控制權，方法是：

指定其可管理的組織
指定其管理組織中的權能
選取在建立與編輯 Identity Manager 使用者時將使用的表單 (若指定了允許其執行這些動作的權能)
選取接收等待核准請求的核准人 (若指定了允許其核准請求的權能)

若要給予使用者管理權限，請選取 [Accounts]，以移至 [Identity Manager Accounts] 區域，然後選取 [Security] 表單標籤。

選取一或多項以建立管理控制：

控制的組織 — 選取一個或多個組織。 管理員可控制所選組織或階層中其下任何組織的物件。 其控制的範圍由其指定的權能進一步定義。 您必須在此區域中進行選擇。
權能 — 選取此管理員在其控制的組織中將擁有的一項或多項權能。 如需更多有關 Identity Manager 權能的資訊或說明，請閱讀 第 5 章，配置。
使用者表單 — 選取此管理員在建立和編輯 Identity Manager 使用者時將使用的使用者表單 (若已指定該權能)。 如果您不直接指定使用者表單，管理員將會沿用指定給他所屬組織的使用者表單。 此處所選的表單會取代此管理員的組織內選定的任何表單。
將核准請求轉寄給 — 選取一名使用者，將所有擱置的核准請求轉寄給該使用者。 此管理員設定也可以在 [Approvals] 頁面中設定。



•z°

圖 4. 建立管理員

篩選管理員檢視

藉由指定使用者表單給組織與管理員，您可以建立使用者資訊的特定管理員檢視。 使用者資訊的存取權設定為兩個層級：

組織 — 當您建立組織時，您可以指定該組織的所有管理員在建立與編輯 Identity Manager 使用者時將使用的使用者表單。 在管理員層級設定的任何表單將會覆寫此處設定的表單。 若未替管理員或組織選取表單，Identity Manager 會繼承為父組織選取的表單。 若此處沒有設定表單，則 Identity Manager 會使用系統配置中設定的預設表單。
管理員 — 當您指定使用者管理權能時，您可以直接將使用者表單指定給管理員。 若您沒有指定表單，則管理員會繼承指定給其組織的表單 (或若沒有為組織設定表單時，繼承系統配置中設定的預設表單)。

---

附註  第 5 章，配置，說明您可指定的內建 Identity Manager 權能。

---

變更管理員密碼

具有指定的管理員密碼變更權能的管理員或管理員所有者均可變更管理員密碼。

管理員可以變更其他管理員的密碼，途徑有：

帳號區域 — 從清單中選取管理員，然後從 [User Actions] 清單中選取 [Change Password]。
[Edit User] 頁面 — 選取 [Identity] 表單標籤，然後輸入並確認新密碼。
密碼區域 — ，輸入管理員名稱，然後按一下 [Change Password]。

---

提示  輸入一個或多個字元，然後按一下尋找以列出所有相符的項目。

---

管理員可以在 [密碼] 區域變更其自己的密碼。 選取 [Passwords]，然後選取 [Change My Password] 以存取自助密碼欄位。

---

附註  套用到帳號的 Identity Manager 帳號策略會決定密碼限制，例如密碼到期時間、重設選項，與通知選擇。 其他密碼限制可由設定於管理員資源的密碼策略來設定。

---

質疑管理員動作

您可以設定一個選項，要求管理員在處理特定帳號變更之前，提供他的 Identity Manager 豋入密碼。 如果密碼錯誤，則無法繼續執行帳號動作。

支援這個選項的 Identity Manager 頁有：

Edit User (account/modify.jsp)
Change User Password (admin/changeUserPassword.jsp)
Reset User Password (admin/resetUserPassword.jsp)

請按如下所示在 account/modify.jsp 頁中設定此選項：

requestState.setOption(UserViewConstants.OP_REQUIRES_CHALLENGE, "email, fullname, password");

其中，選項的值是一份以逗點分隔的清單，內含一個或多個使用者檢視屬性名稱：

applications
adminRoles
assignedLhPolicy
capabilities
controlledOrganizations
email
firstname
fullname
lastname
organization
password
resources
roles

請按如下所示在 admin/changeUserPassword.jsp 與 admin/resetUserPassword 頁中設定此選項：

requestState.setOption(UserViewConstants.OP_REQUIRES_CHALLENGE, "true");

其中，選項的值可以是 true 或 false。

變更身份驗證問題的答案

使用 [密碼] 區域可變更您為帳號身份驗證問題設定的答案。 從功能表列中，選取 [Passwords]，然後選取 [Change My Answers]。

如需關於認證的更多資訊，請參閱使用者認證。

在管理員介面中自訂管理員名稱顯示

在某些 Identity Manager 管理員介面頁面和區域中，可以顯示管理員的某些屬性 (例如電子郵件或全名) 而非帳號 ID。 其中包括：

編輯使用者 (轉寄核准選項清單)
角色表格
建立/編輯角色
建立/編輯資源
建立/編輯組織/目錄結合
核准

若要將 Identity Manager 配置為使用顯示名稱，請將以下內容加入到 UserUIConfig 物件中：

<AdminDisplayAttribute>
  <String>"attribute_name"</String>
</AdminDisplayAttribute>

例如，若要使用電子郵件屬性來當作顯示名稱，請在 UserUIconfig 中加入：

<AdminDisplayAttribute>
  <String>email</String>
</AdminDisplayAttribute>

---

核准

將使用者新增至 Identity Manager 系統時，指定為新帳號核准人的管理員必須驗證帳號建立。Identity Manager 支援三個核准種類，並套用至以下 Identity Manager 物件：

組織 — 若要將使用者帳號增加至組織，需要核准。
角色 — 若要將使用者帳號指定給角色，需要核准。
資源 — 若要授予使用者帳號存取資源的權限，需要核准。

---

附註  您可以將 Identity Manager 配置為數字簽名的核准。 如需有關此功能的資訊，請參閱標題為「配置」章節中的「簽署的核准」。

---

設定核准人

為這些種類中的每一種設定核准人是可選作業，但建議執行這個作業。 對於其中設定了核准人的每個種類，帳號的建立至少需要進行一次核准。 若一個核准人拒絕核准請求，則帳號不會建立。

您可以將多個核准人指定給每個種類。 因為種類中只需要一次核准，您可以設定多個核准人以協助確保工作流程不會延遲或終止。 若某個核准人無法使用，則其他核准人可以處理請求。 核准僅適用於帳號設定。 依預設，帳號更新與刪除不需要核准；然而，您可以自訂此程序，使其需要核准。

Identity Manager 會用一個工作流程圖來說明核准程序及帳號建立請求的狀態。 您可以自訂工作流程，方法是使用「業務程序編輯器 (BPE)」來變更核准流程、擷取帳號刪除與擷取更新。

如需關於 BPE、工作流程以及變更核准工作流程的圖示範例的更多資訊，請參閱「Identity Manager 工作流程、表單與視圖」。

圖 5. 帳號建立工作流程

上一頁      目錄      下一頁

---

Copyright 2006 Sun Microsystems, Inc. 版權所有。