| Sun ONE Portal Server 6.2 관리자 설명서 |
3장
위임된 관리 구성이번 장에서는Sun™ ONE Portal Server에 대해 위임된 관리자를 구성하는 방법에 대해 설명합니다.
이번 장은 다음 절로 구성됩니다.
위임된 관리자 개요기업에서 더 크고 복잡한 포털을 만들면서 중앙화된 관리 모델은 더 이상 적합하지 않습니다. 위임된 관리자 LOB (Line of Business) 관리는 관리 작업을 실제 포털 사용자에게 위임 또는 분배하여 이러한 문제를 해결합니다.
Sun ONE Portal Server 에서는 규칙을 사용하여 관리 기능을 사용자에게 위임할 수 있습니다. 역할 기반 관리를 통해 기업은 비즈니스를 더 작은 조직이나 LOB로 세분한 다음 여러 사용자가 역할에 따라 조직, 하위 조직, 사용자, 정책, 역할 및 LOB 채널을 관리할 수 있도록 합니다.
표 3-1에서는 위임된 관리를 Sun ONE Portal Server 에 적용할 때의 몇 가지 중요한 용어를 나열하고 정의합니다. 이 표에는 2개의 열이 있습니다. 첫 번째 열은 용어이고 두 번째 열은 간단할 설명입니다.
위임된 관리 역할
Sun ONE Identity Server 관리 콘솔은 여러 형태의 관리자에게 주어진 권한에 따라 조직, 사용자, 정책, 역할 및 채널을 관리하기 위한 역할 기반의 위임된 관리 기능을 제공합니다.
Sun ONE Identity Server 관리 콘솔은 관리 기능을 위임하기 위한 다수의 사전 정의된 관리자 역할을 제공합니다. 다음과 같습니다.
이러한 역할에 대한 자세한 내용은 Sun ONE Identity Server 제품 설명서를 참조하십시오.
이러한 사전 정의된 관리자 역할을 사용하여 그 기능이 필요에 맞으면 위임된 관리 구현을 설정할 수 있습니다. 예를 들어, 해당 모델의 디렉토리 구조가 여러 하위 조직을 가진 조직으로 구성된다면 각 하위 조직에 대해 위임된 관리자를 만들도록 사용자에게 조직 관리 역할을 할당할 수 있습니다. 그러나 기업의 조직 구조가 더욱 복잡한 경우는 특정 필요성을 목적으로 한 위임 관리 모델을 만드는 것이 좋습니다. 이를 위해 Sun ONE Identity Server 관리 콘솔에서 비즈니스 필요성에 특정한 권한을 갖는 위임된 관리자 역할을 정의할 수 있습니다.
기업에 특정한 위임 관리자 모델을 구현하기 위해 3가지 중요한 개념적 모델이 있습니다.
최상위 관리 역할은 시스템이 설정될 때 만들어지고 조직 관리 역할은 새 조직이 설정될 때 자동으로 만들어집니다. 역할 관리자 역할은 위임된 관리 모델의 요구조건에 따라 직접 만드는 역할입니다. 역할 관리자 역할의 액세스 권한은 해당 ACI (Access Control Instruction)를 직접 편집하여 정의합니다.
위임된 관리에서 다음 원칙이 적용됩니다.
- 사용자 권한은 사용자 역할에 의해 부여됩니다.
- 권한은 필요한 권한을 가진 역할을 정의하고 이 역할을 개별 사용자에게 할당하여 개별 사용자 단위로 부여됩니다.
- 일단의 사용자에게 특정 역할을 할당하여 이들을 함께 묶을 수 있습니다. 이들 사용자는 일단의 권한을 부여받고 이 역할에 정의된 동적 속성에 대한 값을 상속합니다.
- 사용자는 다수의 또는 결합된 역할을 가질 수 있습니다. 다수의 역할을 가진 사용자는 이들의 모든 역할의 결합된 기능에 액세스할 수 있습니다. 결합된 역할에 의해 부여되는 기능에서 충돌이 있으면 이들 역할에 대한 각 서비스에 정의된 충돌 해결 수준을 통해 구성된 우선순위를 기준으로 충돌이 해결됩니다. 가장 높음에서 가장 낮음까지 7가지 충돌 해결 설정을 사용할 수 있습니다. 여러 역할의 역할 템플리트가 병합될 때 속성 충돌이 발생하면 가장 높은 충돌 해결 수준으로 설정된 템플리트의 속성이 반환됩니다.
위임된 관리 모델 개발Sun ONE Portal Server 에 대한 관리 기능을 적합하게 위임하려면 기업에 필요한 관리 역할을 쉽게 결정하기 위해 위임 관리 모델을 개발해야 합니다. 모델을 개발할 때 다음 사항을 고려하십시오.
- 기업의 비즈니스 요구조건에 초점을 맞추십시오. 일반적으로 역할 기반의 위임 관리에 제안되는 솔루션은 비즈니스 요구조건과 일치되어야 합니다.
- 사용자를 그룹화하여 필요한 자원에 액세스하고 위임 관리자가 이들의 관리 필요성을 관리할 수 있도록 디렉토리 구조를 개발합니다.
- 모든 비즈니스 요구조건을 만족시키면서 가능하면 비즈니스 실체를 더욱 표준적인 트리 구조에 맞추십시오. 조직 및 하위 조직 계층이 있는 구조나 평면적 디렉토리 트리 구조를 사용할 수 있습니다. 평면적 디렉토리 구조에서는 모든 실체가 최상위 조직 바로 아래에서 정의되며 모든 역할(역할 관리자 역할 포함)이 조직적 계층의 관점에서 서로 간에 동등합니다. 예를 들어, 비즈니스 단위와 제휴 관계에 있는 모든 사용자는 최상위 조직 아래의 사람 컨테이너에서 만들어집니다. 모델에 필요한 각 액세스 역할과 관리 역할에 대해 최상위에서 해당 역할을 만듭니다.
위임 관리 구성Sun ONE Portal Server 에서 위임 관리 구현을 구성하기 위해 수행하는 고급 단계는 다음과 같습니다:
역할 관리자 역할에 대한 ACI 설정의 정의
위임 모델에서 확인한 어떤 역할 관리자 역할에 적합한 권한을 구성하려면 위임 모델의 각 고유 역할에 대해 ACI에서 해당 권한을 정의해야 합니다. Sun ONE Identity Server 관리 콘솔 또는 디렉토리 서버 콘솔을 사용하여 ACI 권한 템플리트를 정의할 수 있습니다. ldapmodify 명령을 사용하여 특정 역할에 대한 ACI도 정의할 수 있습니다.
Sun ONE Identity Server 관리 콘솔에서 또는 디렉토리 서버 콘솔에서 ACI 권한 템플리트를 정의할 때 다음 형식을 사용합니다.
permission_name|aci_desc|dn:aci ## dn:aci ## dn:aci
여기서
permission_name은 권한의 이름입니다.
aci_desc는 이러한 ACI가 허용하는 액세스의 텍스트 설명입니다.
dn:aci는 ##으로 분리된 DN과 ACI의 쌍을 나타냅니다. Sun ONE Identity Server 는 관련 DN 항목에서 각 ACI를 설정합니다.
이 형식은 원래 ACI에서 정확하게 ACI: ROLENAME, ORGANIZATION, GROUPNAME 및 PCNAME과 같이 지정해야 하는 값을 대체할 수 있는 태그도 지원합니다. 이러한 태그를 사용하여 기본으로 사용하기에 충분히 유연한 역할을 정의할 수 있습니다. 기본 역할 중 하나를 바탕으로 역할이 만들어지면 ACI의 태그가 새 역할의 DN에서 취해진 값을 확인합니다.
ACI를 설정하기 위한 자세한 내용은 Sun ONE Identity Server Programmer's Guide를 참조하십시오.
명령줄을 사용하여 ACI를 정의하려면
- ldapmodify 명령에서 사용하기 위한 ACI 설정이 들어 있는 텍스트 파일을 만듭니다. 예를 들어, 다음 파일 acis.ldif에는 JDCAdmin1 및 JDCAdmin2라고 하는 두 역할의 ACI 정의가 들어 있습니다.
- 디렉토리를 Sun ONE Identity Server 유틸리티 디렉토리로 변경합니다. 예:
cd /BaseDir/SUNWam/bin
- 다음을 포함하도록 LD_LIBRARY_PATH를 설정합니다IS_BASEDIR/SUNWam/ldaplib/solaris/sparc/ldapsdk
- 다음 명령을 실행합니다.
./ldapmodify -D "DS_DIRMGR_DN" -w DS_DIRMGR_PASSWORD -f /tmp/acis.ldif
- Sun ONE Identity Server 관리 콘솔에 관리자로 로그인합니다.
기본적으로 위치 표시 영역에서 [Identity 관리]가 선택되고 탐색 표시 영역에서 [조직]이 선택됩니다.
- 조직 또는 하위 조직으로 이동하여 새 역할을 만듭니다(JDCAdmin1 및 JDCAdmin2 등).
- 만든 역할에 대한 "데스크탑" 서비스 템플리트를 만듭니다.
- 역할 디스플레이 프로필에서 탭을 만듭니다(예를 들어, JDC에 대한 역할 디스플레이 프로필).
- 탭이 만들어진 역할로 이동합니다.
- 탐색 표시 영역의 [보기] 메뉴에서 [서비스]를 선택합니다.
- 탐색 표시 영역에서 데스크탑 옆에 있는 속성 화살표를 클릭합니다.
- 데스크탑 속성 페이지가 데이터 표시 영역에 나타납니다.
- 데스크탑 페이지에서 [채널 및 컨테이너 관리] 링크를 클릭합니다.
- 컨테이너 경로가 루트로 설정된 채널 페이지가 나타납니다.
- 채널이나 컨테이너를 추가할 [컨테이너]를 클릭합니다.
- 페이지 상단에 채널이 추가될 컨테이너 경로가 나타납니다. 정의된 채널 및 컨테이너가 있으면 목록에 나타납니다.
- [추가]를 클릭하여 컨테이너 채널이나 채널을 추가합니다.
- 컨테이너 채널을 추가하려면 [컨테이너 채널]에서 [추가]를 클릭합니다. 채널을 추가하려면 [채널]에서 [추가]를 클릭합니다.
- 채널 추가 페이지가 나타납니다.
- 채널 이름을 입력하고 메뉴에서 공급자 유형을 선택합니다.
- [만들기]를 클릭합니다.
자세한 내용은 5장 "디스플레이 프로필 관리" 를 참조하십시오.
- 사용자를 만듭니다(admin1 또는 admin2등).
- 사용자에게 역할을 할당합니다(JDCadmin1을 admin1에 또는 JDCadmin2를 admin2에 등).
- 관리 콘솔에서 로그아웃합니다.
관리 콘솔을 사용하여 ACI를 정의하려면
- Sun ONE Identity Server 관리 콘솔에 최상위 관리자로 로그인합니다.
기본적으로 위치 메뉴에서 [Identity 관리]가 선택되고 탐색 표시 영역에서 [조직]이 선택됩니다.
- 위치 표시 영역에서 [서비스 구성]을 클릭합니다.
- 관리 서비스 옆의 속성 화살표를 클릭합니다.
데이터 표시 영역에 관리 속성이 나타납니다.
- 기본 역할 권한(ACI) 입력 필드에서 ACI 정의를 입력하고 [추가]를 클릭합니다. 예를 들어, 이전에 정의된 JDCAdmin1 및 JDCAdmin1 역할에 대해 다음을 입력합니다.
JDCAdmin1|Add/delete users from JDC role|dc=sesta,dc=com:aci: (target= "ldap:///ou=people,dc=sesta,dc=com") (targetattr = "*")(version 3.0; acl "Allow JDCAdmin1 Role to read and search users"; allow (read,search) roledn = "ldap:///cn=JDCAdmin1,dc=sesta,dc=com";)##dc=sesta,dc=com:aci: (target="ldap:///dc=sesta,dc=com") (targetfilter="(entrydn=cn=JDC,dc=sesta,dc=com)")(targetattr="*")(version 3.0; acl "Allow JDCAdmin1 Role to read and search JDC Role";allow (read,search) roledn="ldap:///cn=JDCAdmin1,dc=sesta,dc=com";) ##dc=sesta,dc=com:aci:(target="ldap:///ou=people,dc=sesta,dc=com")(targetattr="nsroledn")(targetfilter="(!(|(nsroledn=cn=Top-level Admin Role,dc=sesta,dc=com)(nsroledn=cn=Top-level Help Desk Admin Role,dc=sesta,dc=com)(nsroledn=cn=Organization Admin Role,dc=sesta,dc=com)(nsroledn=cn=Top-level Policy Admin Role,dc=sesta,dc=com)))")(targattrfilters="add=nsroledn:(nsroledn=cn=JDC,dc=sesta,dc=com),del=nsroledn:(nsroledn=cn=JDC,dc=sesta,dc=com)")(version 3.0; acl "Allow JDCAdmin1 Role to add/remove users to JDC Role"; allow (write)roledn="ldap:///cn=JDCAdmin1,dc=sesta,dc=com";)
JDCAdmin2|Add/remove channels from the JDC role|dc=sesta,dc=com:aci:(target="ldap:///cn=SunPortalDesktopService,dc=sesta,dc=com")(targetfilter=(cn=cn=JDC,dc=sesta,dc=com))(targetattr="*")(version 3.0; acl "Allow JDCAdmin2 to edit display profile of JDC Role"; allow (all) roledn="ldap:///cn=JDCAdmin2,dc=sesta,dc=com";)##dc=sesta,dc=com:aci: (target="ldap:///dc=sesta,dc=com")(targetattr = "*") (version 3.0; acl "Allow JDCAdmin2 to read and search all"; allow (read,search) roledn = "ldap:///cn=JDCAdmin2,dc=sesta,dc=com";)
기본 역할 권한(ACI) 목록에 새 ACI가 나타납니다.
- [저장]을 클릭합니다.
위임 모델에 대한 새 관리 역할을 만들려면
위임 관리 역할에 대한 권한을 정의하는 ACI를 만들었으면 이 ACI 정의를 사용하기 위한 역할을 만들어야 합니다.
- Sun ONE Identity Server 관리 콘솔에 최상위 관리자 또는 조직 관리자로 로그인합니다.
기본적으로 위치 메뉴에서 [Identity 관리]가 선택되고 탐색 표시 영역에서 [조직]이 선택됩니다.
- 역할을 만들 조직 또는 하위 조직으로 이동합니다.
만들어진 모든 조직이 탐색 표시 영역에 표시됩니다.
참고
이것이 새 조직이면 모든 서비스를 등록하고 적합한 템플리트를 만들어야 합니다. 자세한 내용은 2장 "인증, 사용자 및 서비스 관리" 를 참조하십시오.
- [보기] 메뉴에서 [역할]을 선택하고 [새로 만들기]를 클릭합니다.
데이터 표시 영역에 [새 역할] 페이지가 표시됩니다.
- 이름을 입력하고 정적 역할을 선택한 다음 [다음]을 클릭합니다.
- 설명을 입력하고 유형으로 [관리]를 선택합니다.
- 액세스 권한을 선택합니다.
- [만들기]를 클릭합니다.
탐색 표시 영역에 [새 역할]이 표시됩니다.
역할 관리자 역할을 할당하려면
- Sun ONE Identity Server 관리 콘솔에 관리자로 로그인합니다.
기본적으로 위치 메뉴에서 [Identity 관리]가 선택되고 탐색 표시 영역에서 [조직]이 선택됩니다.
- 역할을 만든 조직 또는 하위 조직으로 이동합니다.
만들어진 모든 조직이 탐색 표시 영역에 표시됩니다.
- [보기] 메뉴에서 [역할]을 선택합니다.
- 할당할 역할에 대한 속성 화살표를 클릭합니다.
- 데이터 표시 영역의 [보기] 메뉴에서 [사용자]를 선택하고 [추가]를 클릭합니다.
데이터 표시 영역에 사용자 추가 페이지가 표시됩니다.
- 할당할 사용자를 찾을 필드에 값을 지정하고 [필터]를 클릭합니다.
사용자 목록이 표시됩니다.
- 역할을 할당할 사용자 옆의 상자를 선택하거나 [모두 선택]을 클릭하여 모든 사용자를 선택합니다.
- [제출]을 클릭합니다.
이 역할 상자의 사용자 목록이 할당된 사용자로 업데이트됩니다.
역할 관리자 역할에 추가 제한을 구성하려면
제한된 역할 집합을 갖는 역할을 구성할 수 있습니다. 디스플레이 프로필을 수정하고 컨텐트 관리 기능을 수행하는 권한은 있지만 데스크탑 속성의 나머지 부분을 보지 못하는 권한이 제한된 역할을 역할 제한의 일반적 예로 들 수 있습니다.
시작 DN 보기로 위임 관리자를 설정할 수도 있습니다. 시작 DN 보기는 그 아래에서 위임 관리자가 실체를 보고 수정할 수 있는 디렉토리 위치입니다.
역할에 추가 제한을 구성하려면
- Sun ONE Identity Server 관리 콘솔에 관리자로 로그인합니다.
기본적으로 위치 메뉴에서 [Identity 관리]가 선택되고 탐색 표시 영역에서 [조직]이 선택됩니다.
- 구성할 역할이 있는 조직 또는 하위 조직으로 이동합니다.
만들어진 모든 조직이 탐색 표시 영역에 표시됩니다.
- [보기] 메뉴에서 [역할]을 선택합니다.
- 구성할 역할을 선택합니다.
- [보기] 메뉴에서 [서비스]를 선택합니다.
- 디스플레이 프로필이나 채널 관리 기능으로만 역할을 제한하려면 다음과 같이 합니다.
- 특정 시작 DN으로 역할을 제한하려면 다음을 수행합니다.
