第 5 章管理

本章將提供有關在 Identity Manager 系統中執行一系列管理層級作業 (例如建立和管理 Identity Manager 管理員和組織) 的資訊與程序。還將提供有關如何在 Identity Manager 中使用角色、權能和管理角色的資訊。

瞭解 Identity Manager 管理

Identity Manager 管理員是擁有擴充 Identity Manager 特權的使用者。您可以建立 Identity Manager 管理員以管理：

Identity Manager 以直接或間接指定下列項目的方式區別管理員與使用者：

委託管理

在大多數公司中，具有欲執行管理工作的員工會擁有特定與不同的責任。多數情況下，管理員需要執行帳號管理作業，而這些作業對其他使用者或管理員而言是不需設定的，或者具有某些範圍限制。

例如，某管理員可能只負責建立 Identity Manager 使用者帳號。具有該有限責任範圍的管理員，不大可能需要有關其建立使用者帳號之資源的特定資訊，或有關系統內現有角色或組織的特定資訊。

Identity Manager 支援責任分離與此委託管理模式，方法是僅允許管理員檢視並管理特定的已定義範圍之內的物件。

Identity Manager 透過如下方法將個別系統活動委託給管理員進行管理：

在設定新使用者帳號或編輯某使用者帳號時，您可以從 [Create User] 頁面為使用者指定委託。

您也可以從 [Work Items] 標籤委託工作項目，例如要核准的請求。請參閱委託工作項目，以取得詳細資訊。

建立管理員

您可以透過延伸 Identity Manager 使用者的權能來建立 Identity Manager 管理員。建立或編輯使用者時，您可以給予他們管理控制權，方法是：

若要授予使用者管理權限，請在功能表列中選取 [ Accounts] 以移至 Identity Manager 的 [Accounts] 區域。對於新使用者，請從 [Create User] 頁面中選取 [Security] 標籤，以指定管理員屬性。

若要為現有使用者指定管理員屬性，請從 [User Actions] 清單中選取 [Edit User Capabilities]，然後在 [Accounts] 清單中選取使用者並編輯該使用者的權能。開啟的安全性表單如下圖所示：

篩選管理員檢視

藉由指定使用者表單給組織與管理員，您可以建立使用者資訊的特定管理員檢視。使用者資訊的存取權設定為兩個層級：

變更管理員密碼

具有指定的管理員密碼變更權能的管理員或管理員所有者均可變更管理員密碼。


提示	輸入一個或多個字元，然後按一下 [Find] 以列出所有相符的項目。

管理員可以在 [Passwords] 區域變更其自己的密碼。選取 [Passwords]，然後選取 [Change My Password] 可以存取自助密碼欄位。

質疑管理員動作

您可以設定一個選項，要求管理員在處理特定帳號變更之前，提供他的 Identity Manager 豋入密碼。如果密碼錯誤，則無法繼續執行帳號動作。

[Edit User Challenge] 選項

requestState.setOption(UserViewConstants.OP_REQUIRES_CHALLENGE, "email, fullname, password");

其中，選項的值是一份以逗點分隔的清單，內含一個或多個使用者檢視屬性名稱：

[Change User Password and Reset User Password Challenge] 選項


備註	套用到帳號的 Identity Manager 帳號策略會決定密碼限制，例如密碼到期時間、重設選項，與通知選擇。其他密碼限制可由設定於管理員資源的密碼策略來設定。

請按如下所示在 admin/changeUserPassword.jsp 與 admin/resetUserPassword 頁面中設定此選項：

變更認證問題的答案

使用 [Passwords] 區域可變更您為帳號身份驗證問題設定的答案。從功能表列中，選取 [Passwords]，然後選取 [Change My Answers]。

在管理員介面中自訂管理員名稱顯示

在某些 Identity Manager 管理員介面頁面和區域中，可以依屬性 (例如電子郵件或完整名稱) 而非帳號 ID 顯示 Identity Manager 管理員，例如以下區域：

若要將 Identity Manager 配置為使用顯示名稱，請將以下內容增加到 UserUIConfig 物件中：

<AdminDisplayAttribute>
<String>attribute_name</String>
</AdminDisplayAttribute>

例如，若要將電子郵件屬性做為顯示名稱，請將以下屬性名稱增加到 UserUIconfig 中：

瞭解 Identity Manager 組織

藉由建立組織並指定使用者至組織層級中的不同位置，您可以設定委託管理階段。包含一個或多個其他組織的組織稱為父系組織。

所有 Identity Manager 使用者 (包括管理員) 皆靜態地指定給一個組織。使用者也可以被動態地指定給其他組織。

建立組織

組織於 Identity Manager 帳號區域中建立。若要建立組織，請執行以下步驟：

指定使用者給組織

每個使用者均為一個組織的靜態成員，且可以是多個組織的動態成員。組織成員資格由以下決定：


提示	若要在組織階層的特定位置建立組織，請在清單中選取組織，然後從 [New Actions] 清單中選取 [New Organization]。

從 [Create Organization] 頁面的 [User Members Rule] 欄位選擇使用者成員規則。圖 5-3 為使用者成員規則的範例。

以下範例顯示了如何設定可以動態控制組織的使用者成員資格的使用者成員規則。

金鑰定義與內含項

指定組織控制


備註	如需有關在 Identity Manager 中建立和使用規則的資訊，請參閱「Identity Manager Deployment Tools」。

從 [Create User] 或 [Edit User] 頁面指定一個或多個組織的管理控制。選取 [Security] 表單標籤可顯示 [Controlled Organizations] 欄位。

您也可以透過從 [Admin Roles] 欄位指定一個或多個管理角色，來指定組織的管理控制。

瞭解目錄結合與虛擬組織

目錄結合是一組階層相關的組織，它鏡射一組目錄資源的實際階層式容器。目錄資源透過利用階層容器來使用階層名稱空間。目錄資源的範例有 LDAP 伺服器與 Windows Active Directory 資源。

目錄結合中的每個組織皆是虛擬組織。目錄結合中最頂層的虛擬組織是表示定義於資源中的基底環境的容器的鏡射。目錄結合中的其餘虛擬組織為頂層虛擬組織的直接或間接子系，而且還鏡射一個為已定義資源的基底環境容器之子系的目錄資源容器。圖 5-4 說明了此結構。

可以在任一點將目錄結合連接至現有 Identity Manager 組織結構。然而，不能在現有目錄結合之內或之下連接目錄結合。

您將目錄結合新增至 Identity Manager 組織樹後，可以建立或刪除該目錄結合中上下文裡的虛擬組織。除此之外，您可以隨時更新內含目錄結合的虛擬組織集，來確保其與目錄資源容器保持同步。您無法在目錄結合中建立非虛擬組織。

您可以使用與 Identity Manager 組織相同的方式來建立虛擬組織的 Identity Manager 物件 (例如使用者、資源與角色) 成員，並可用於其中。

設定目錄結合

更新虛擬組織

此程序從選取的組織開始，向下更新虛擬組織並使之與相關目錄資源重新同步化。在清單中選取虛擬組織，然後在 [Organization Actions] 清單中，選取 [Refresh Organization]。

刪除虛擬組織

瞭解與管理權能

權能為 Identity Manager 系統中的多組權利。權能表示管理工作責任，例如重設密碼或管理使用者帳號。每個 Identity Manager 管理使用者均被指定了一項或多項權能，這會提供一組不會危及資料保護的權限。

不是所有的 Identity Manager 使用者都需要為其指定權能；只有那些將透過 Identity Manager 執行一個或多個管理動作的使用者才需要。例如，使用者要變更其密碼不需要指定的權能，但是要變更其他使用者的密碼則需要一個指定的權能。

為您指定的權能會掌控您可存取 Identity Manager 管理介面的哪些區域。所有 Identity Manager 管理使用者可以存取特定的 Identity Manager 區域，包括：

權能類別

內建權能 (隨 Identity Manager 系統提供) 是受保護的，表示您無法對其進行編輯。但是您可以在建立的權能中使用它們。

受保護 (內建) 權能在清單中以紅色鑰匙 (或紅色鑰匙及資料夾) 圖示標示。您建立並可編輯的權能在權能清單中以綠色鑰匙 (或綠色鑰匙及資料夾) 圖示標示。

使用權能

建立權能

若要建立權能，請按一下 [New]。命名新權能，然後選取要與此權能相關聯的權能、指定者和組織。您必須至少選取一個要為其指定權能的組織。

編輯權能

若要編輯非保護的權能，請在清單中按一下滑鼠右鍵，然後選取 [Edit]。

您無法編輯內建權能，但是可以使用不同的名稱儲存它們以建立您自己的權能，或在您建立的權能中使用它們。

儲存並重新命名權能

指定權能

從 [Create and Edit User] 頁將權能指定給使用者。您也可以透過指定管理員角色 (透過介面中的 [Security] 區域設定) 將權能指定給使用者。請參閱瞭解與管理管理員角色，以取得詳細資訊。

權能階層

帳號管理員

管理員角色管理員

Auditor 管理員

Auditor 報告管理員

批次帳號管理員

批次變更帳號管理員

批次資源密碼管理員

權能管理員

變更帳號管理員

配置憑證

匯入/匯出管理員

授權管理員

登入管理員

中介檢視管理員

組織管理員

密碼管理員 (需要驗證)

策略管理員

調解管理員

Remedy 整合管理員

報告管理員

資源管理員

資源物件管理員

資源密碼管理員

角色管理員

安全管理員

「服務提供者」的管理員

服務提供者管理員角色管理員

使用者帳號管理員

檢視組織

檢視資源

Waveset 管理員

權能定義

表 5-1 描述各個作業型權能，並列出每個權能可以存取的標籤與子標籤。這些權能按名稱的字母順序列出。

所有權能都允許使用者或管理員存取 [Passwords] > [Change My Password] 和 [Change My Answers] 標籤。

表 5-1 Identity Manager 權能說明
權能	允許管理員/使用者：	可以存取這些標籤與子標籤：
存取檢閱詳細資訊報告管理員	建立、編輯、刪除和執行存取檢閱詳細資訊報告	[Reports] > [Run Reports] 標籤，[View Reports] 標籤 — 僅 [Access Review Detail Reports] [Reports] > [View Dashboards]
存取檢閱摘要報告管理員	建立、編輯、刪除和執行存取檢閱摘要報告	[Reports] — 僅 [Access Review Summary Reports] [Reports] > [View Dashboards]
帳號管理員	對使用者執行所有作業，包括指定權能。不包括批次處理作業。	[Accounts] — [List Accounts]、[Find Users]、[Extract to File]、[Load from File]、[Load from Resource] 標籤 [Passwords] — 所有子標籤 [Work Items] — [Approvals] 子標籤 [Tasks] — 所有子標籤
管理員報告管理員	建立、編輯、刪除和執行管理員報告。	[Reports] — [Manage Reports]，[Run Reports] 子標籤 (僅 [Administrator Report])
管理員角色管理員	建立、編輯和刪除管理員角色。	[Security] — [Admin Roles] 子標籤
核准人管理員	核准或拒絕由其他使用者發起的請求。	僅 [Default]
指定稽核策略	為使用者帳號和組織指定稽核策略。	[Accounts] — [User Actions] 清單中的 [Edit User Audit Policy]。 [Accounts] — [Organization Actions] 清單中的 [Edit Organization Audit Policy]。
指定組織稽核策略	僅為組織指定稽核策略。	[Accounts] — [Organization Actions] 清單中的 [Edit Organization Audit Policy]；[List Accounts] 標籤
指定使用者稽核策略	僅為使用者指定稽核策略。	[Accounts] — [User Actions] 清單中的 [Edit User Audit Policy]；[Find Users] 標籤
指定使用者權能	變更使用者的權能指定 (指定和取消指定)。	[Accounts] — [List Accounts] (僅 [Edit])，[Find Users] 子標籤。必須以另一項使用者管理員權能指定 (例如，「建立使用者」或「啟用使用者」)。
稽核策略管理員	建立、修改和刪除稽核策略。	[Compliance] — [Manage Policies]
稽核策略掃描報告管理員	建立、修改、刪除和執行「稽核策略掃描報告」。	[Reports] — 僅 [Audit Policy Scan Report]
稽核報告管理員	建立、修改、刪除和執行稽核報告。	[Reports] — 僅 [Audit Report]
已稽核的屬性報告管理員	建立、修改、刪除和執行「已稽核的屬性報告」。	[Reports] — 僅 [Audited Attribute Report]
稽核記錄報告管理員	建立、修改、刪除和執行「稽核記錄報告」。	[Reports] — 僅 [AuditLog Report]
Auditor 存取掃描管理員	建立、編輯和刪除定期存取檢閱掃描	[Compliance] — [Manage Access Scans]
Auditor 管理員	設定、管理和監視稽核策略、稽核掃描和使用者規範遵循。	[Compliance] — 所有子標籤 [Reports] — [Run Reports]、[View Reports] 和 [Manage Auditor Reports] [Accounts] — [Edit User Audit Policies] 和 [Edit Organization Audit Policies] 動作。
Auditor 驗證者	啟用組織安全性後，需要驗證其他使用者的驗證。	僅 [Default]
Auditor 定期存取檢閱管理員	管理定期存取檢閱 (PAR)、管理存取掃描、管理驗證、管理 PAR 報告。	[Compliance] — [Manage Access Scans]、[Access Review] 子標籤
Auditor 修正者	補救、緩解和轉寄稽核策略違規。	[Remediations] — 所有子標籤
Auditor 報告管理員	建立、修改、刪除和執行所有 Auditor 報告。	[Reports] — 對 Auditor 報告的所有動作
Auditor 檢視使用者	檢視與使用者關聯的規範遵循資訊。	[Accounts] — [List Accounts]、[Find Users] 標籤
稽核策略違規歷程記錄管理員	建立、修改、刪除和執行「稽核策略違規歷程記錄」報告。	[Reports] — 僅 [AuditPolicy Violation History Report]
批次帳號管理員	對使用者執行一般和批次作業，包括指定權能。	[Accounts] — 所有子標籤 [Passwords] — 所有子標籤 [Approvals] — 所有子標籤 [Tasks] — 所有子標籤
批次變更帳號管理員	對現有使用者執行一般與批次處理作業，包括指定權能，但刪除作業除外。	[Accounts] — [List Accounts]、[Find Users]、[Launch Bulk Actions] 子標籤。無法建立或刪除使用者。 [Passwords] — 所有子標籤 [Approvals] — 所有子標籤 [Tasks] — 所有子標籤
批次變更使用者帳號管理員	對現有使用者執行一般和批次作業，但刪除作業除外。	[Accounts] — [List Accounts]、[Find Users]、[Launch Bulk Actions] 子標籤。無法建立、刪除或指定給使用者的權能。 [Passwords] — 所有子標籤 [Tasks] — 所有子標籤
批次建立使用者	指定資源和發起使用者建立請求 (對於個別使用者並使用批次作業)。	[Accounts] — [List Accounts] (僅 [Create])、[Find Users]、[Launch Bulk Actions] 子標籤 [Tasks] — 所有子標籤
批次刪除使用者	刪除 Identity Manager 使用者帳號；取消佈建、取消指定與取消連結資源帳號 (對於個別使用者並使用批次作業)。	[Accounts] — [List Accounts] (僅 [Create])、[Find Users]、[Launch Bulk Actions] 子標籤 [Tasks] — 所有子標籤
批次刪除 IDM 使用者	刪除現有 Identity Manager 使用者帳號 (對於個別使用者並使用批次作業)。	[Accounts] — [List Accounts] (僅 [Delete])、[Find Users]、[Launch Bulk Actions] 子標籤 [Tasks] — 所有子標籤
批次取消佈建使用者	刪除並取消連結現有資源帳號 (對於個別使用者並使用批次作業)。	[Accounts] — [List Accounts] (僅 [Deprovision])、[Find Users]、[Launch Bulk Actions] 子標籤 [Tasks] — 所有子標籤
批次停用使用者	停用現有使用者和資源帳號 (對於個別使用者並使用批次作業)。	[Accounts] — [List Accounts] (僅 [Disable])、[Find Users]、[Launch Bulk Actions] 子標籤 [Tasks] — 所有子標籤
批次啟用使用者	啟用現有使用者和資源帳號 (對於個別使用者並使用批次作業)。	[Accounts] — [List Accounts] (僅 [Enable])、[Find Users]、[Launch Bulk Actions] 子標籤 [Tasks] — 所有子標籤
批次取消指定使用者	取消指定並取消連結現有資源帳號 (對於個別使用者並使用批次作業)。	[Accounts] — [List Accounts] (僅 [Unassign])、[Find Users]、[Launch Bulk Actions] 子標籤 [Tasks] — 所有子標籤
批次取消連結使用者	取消連結現有資源帳號 (對於個別使用者並使用批次作業)。	[Accounts] — [List Accounts] (僅 [Unlink])、[Find Users]、[Launch Bulk Actions] 子標籤 [Tasks] — 所有子標籤
批次更新使用者	更新現有使用者和資源帳號 (對於個別使用者並使用批次作業)。	[Accounts] — [List Accounts] (僅 [Update])、[Find Users]、[Launch Bulk Actions] 子標籤 [Tasks] — 所有子標籤
批次使用者帳號管理員	對使用者執行所有一般和批次作業。	[Accounts] — 所有子標籤 [Passwords] — 所有子標籤 [Tasks] — 所有子標籤
權能管理員	建立、修改和刪除權能。	[Configure] — [Capabilities] 子標籤
變更帳號管理員	對現有使用者執行所有作業，包括指定權能，但刪除作業除外。不包括批次作業	[Accounts] — 所有子標籤。無法刪除使用者。 [Passwords] — 所有子標籤 [Approvals] — 所有子標籤 [Tasks] — 所有子標籤 [Reports] — 在範圍內建立管理員與使用者報告、執行及編輯報告，以及執行稽核記錄報告。無法在範圍外的組織上執行管理員與使用者報告。
變更 Active Sync 資源管理員	變更 Active Sync 資源參數。	[Tasks] — [Find Tasks]、[All Tasks]、[Run Tasks] 子標籤 [Resources] — 對於 Active Sync 資源：[Edit] 動作功能表，[Edit Active Sync Parameters]
變更密碼管理員	變更使用者和資源帳號密碼。	[Accounts] — [List Accounts]、[Find Users] 子標籤 (僅限 [Change Password]) [Passwords] — 所有子標籤 [Tasks] — 所有子標籤。僅 [Export Password Scan] 作業 (從 [Run Tasks] 子標籤)
變更密碼管理員 (需要驗證)	在成功驗證使用者身份認證問題答案後，變更使用者和資源帳號密碼。	[Accounts] — [List Accounts]、[Find Users] 子標籤 (僅限 [Change Password]；必須先驗證才能執行動作) [Passwords] — 所有子標籤 [Tasks] — 所有子標籤。僅 [Export Password Scan] 作業 (從 [Run Tasks] 子標籤)
變更資源密碼管理員	變更資源管理員帳號密碼。	[Tasks] — 所有子標籤 [Resources] — [List Resources] 子標籤。僅變更資源密碼 (從 [Actions] 功能表中的 [Manage Connection] --> [Change Password])
變更使用者帳號管理員	對現有使用者執行所有作業，但刪除作業除外。不包括批次作業	[Accounts] — [List Accounts]、[Find Users] 子標籤。無法建立、刪除或指定給使用者的權能。 [Passwords] — 所有子標籤 [Tasks] — 所有子標籤
配置稽核	配置系統中稽核的事件和配置群組。	[Configure] — [Audit Events] 子標籤
配置憑證	配置可信任的憑證和 CRL。	[Security] — [Certificates] 子標籤
控制 Active Sync 資源管理員	控制 Active Sync 資源狀態 (如開始、停止和更新)	[Tasks] — [Find Tasks]、[All Tasks]、[Run Tasks] [Resources] — 對於 Active Sync 資源：Active Sync 動作功能表 (所有選擇)
建立使用者	指定資源和發起使用者建立請求。不包括批次作業	[Accounts] — [List Accounts] (僅 [Create])、[Find Users] 子標籤 [Tasks] — 所有子標籤
刪除使用者	刪除 Identity Manager 使用者帳號；取消佈建、取消指定與取消連結資源帳號。不包括批次處理作業。	[Accounts] — [List Accounts] (僅 [Delete])、[Find Users] 子標籤 [Tasks] — 所有子標籤
刪除 IDM 使用者	刪除 Identity Manager 使用者帳號。不包括批次處理作業。	[Accounts] — [List Accounts] (僅 [Delete])、[Find Users] 子標籤 [Tasks] — 所有子標籤
取消佈建使用者	刪除並取消連結現有的資源帳號。不包括批次處理作業。	[Accounts] — [List Accounts] (僅 [Deprovision])、[Find Users] 子標籤 [Tasks] — 所有子標籤
停用使用者	停用現有的使用者和資源帳號。不包括批次作業	[Accounts] — [List Accounts] (僅 [Disable])、[Find Users] 子標籤 [Tasks] — 所有子標籤
啟用使用者	啟用現有的使用者和資源帳號。不包括批次作業	[Accounts] — [List Accounts] (僅 [Enable])、[Find Users] 子標籤 [Tasks] — 所有子標籤
匯入使用者	從定義的資源匯入使用者。	[Accounts] — [Extract to File]、[Load from File]、[Load from Resource] 子標籤
匯入/匯出管理員	匯入和匯出所有類型的物件。	[Configure] — [Import Exchange File] 子標籤
授權管理員	設定 Identity 系統產品授權	提供 lh license 指令存取。(此能力不提供非管理員介面標籤。)
登入管理員	編輯指定登入介面的一組登入模組。	[Configure] — [Login] 子標籤
中介檢視管理員	修改身份識別屬性配置	[Meta View] — [Identity Attributes] 標籤
組織管理員	建立、編輯和刪除組織。	[Accounts] — [List Accounts] 子標籤 (僅 [Edit Organizations]、[Create Organization]、[Edit Directory Junction]、[Create Directory Junction] 和 [Delete Organizations])
組織核准人	核准新組織請求。	[Work Items] — [Approvals] 子標籤
組織違規歷程記錄管理員	建立、修改、刪除和執行「組織違規歷程記錄」報告。	[Reports] — 僅 [Organization Violation History Report]
密碼管理員	變更和重設使用者與資源帳號密碼。	[Accounts] — [List Accounts] (僅限列出、變更及重設密碼)、[Find Users] 子標籤 [Passwords] — 所有子標籤 [Tasks] — 所有子標籤
密碼管理員 (需要驗證)	在成功驗證使用者的身份認證問題答案後，變更和重設使用者與資源帳號密碼。	[Accounts] — [List Accounts] (僅限列出、變更及重設密碼；必須先驗證才能進行下一個動作)、[Find Users] 子標籤 [Passwords] — 所有子標籤 [Tasks] — 所有子標籤
策略管理員	建立、編輯和刪除策略。	[Configure] — [Policy] 子標籤
策略摘要報告管理員	建立、修改、刪除和執行「策略摘要報告」。	[Reports] — 僅 [Policy Summary Report]
調解管理員	編輯調解策略和控制調解作業。	[Server Tasks] — 所有子標籤 (檢視調解作業)。 [Resources] — [List Resources] 子標籤。
調解報告管理員	建立、編輯、刪除和執行調解報告。	[Reports] — [Run Reports] (僅 [Account Index Report])、[Manage Reports] 子標籤
調解請求管理員	管理調解請求。	[Tasks] — 所有子標籤 [Resources] — [List Resources] 子標籤 (僅限列出及調解功能)。
Remedy 整合管理員	修改 Remedy 整合配置。	[Tasks] — 所有子標籤 (檢視作業，執行角色同步化)。 [Configure] — [Remedy Integration] 子標籤
重新命名使用者	重新命名現有的使用者和資源帳號。	[Accounts] — [List Accounts] 子標籤 (列出範圍中的所有帳號、重新命名使用者)
報告管理員	配置稽核設定和執行所有報告類型。	[Tasks] — 所有子標籤 (檢視作業，執行角色同步化)。 [Reports] — 所有子標籤
重設密碼管理員	重設使用者和資源帳號密碼。	[Accounts] — [List Accounts]、[Find Users] 子標籤 (僅限 [Reset Password]) [Passwords] — 所有子標籤 [Tasks] — 所有子標籤。僅 [Export Password Scan] 作業 (從 [Run Tasks] 子標籤)
重設密碼管理員 (需要驗證)	在成功驗證使用者的身份認證問題答案後，重設使用者和資源帳號密碼。	[Accounts] — [List Accounts]、[Find Users] 子標籤 (僅限 [Reset Password]；必須先驗證才能執行動作) [Passwords] — 所有子標籤 [Tasks] — 所有子標籤。僅 [Export Password Scan] 作業 (從 [Run Tasks] 子標籤)
重設資源密碼管理員	重設資源管理員帳號密碼。	[Tasks] — [Find Tasks]、[All Tasks]、[Run Tasks] 子標籤 [Resources] — [List Resources] 子標籤。僅重設資源密碼 (透過 [Actions] 功能表的 [Manage Connection] -->重設密碼)
資源管理員	建立、修改和刪除資源。	[Reports] — 資源使用者報告及資源群組報告會傳回有關範圍之外資源的錯誤。 [Resources] — [List Resources] 子標籤 (編輯全域策略、編輯參數、資源群組。無法管理連線或資源物件)。
資源群組管理員	建立、編輯和刪除資源群組。	[Resources] — [List Resource Groups] 子標籤
資源物件管理員	建立、修改和刪除資源物件。	[Tasks] — [Find Tasks]、[All Tasks]、[Run Tasks] 子標籤 (檢視涉及資源物件的作業) [Resources] — [List Resources] 子標籤 (僅限列出及管理資源物件)。
資源密碼管理員	變更和重設資源代理帳號密碼。	[Tasks] — [Find Tasks]、[All Tasks]、[Run Tasks] 子標籤 [Resources] — [List Resources] 子標籤。僅變更資源密碼 (從 [Actions] 功能表中的 [Manage Connection] > [Change Password])
資源報告管理員	建立、編輯、刪除和執行資源報告。	[Reports] — 所有子標籤 (僅限資源報告)
資源違規歷程記錄管理員	建立、修改、刪除和執行「資源違規歷程記錄」報告。	[Reports] — 僅 [Resource Violation History Report]
風險分析管理員	建立、編輯、刪除和執行風險分析。	[Risk Analysis] — 所有子標籤
角色管理員	建立、修改和刪除角色。	[Tasks] — [Find Tasks]、[All Tasks]、[Run Tasks] 子標籤 (同步化角色) [Roles] — 所有子標籤
角色報告管理員	建立、編輯、刪除和執行資源報告。	[Reports] — 僅 [Role Report]
執行存取檢閱詳細資訊報告	執行存取檢閱詳細資訊報告	[Reports] — 僅 [Access Review Detail Report]
執行存取檢閱摘要報告	執行存取檢閱摘要報告	[Reports] — 僅 [Access Review Summary Report]
執行管理員報告	執行管理員報告。	[Reports] — 僅 [Admin Report]。
執行稽核策略掃描管理員	執行和管理稽核策略掃描報告	[Reports] — 僅 [Audit Policy Scan Report]
執行稽核策略掃描報告	執行稽核策略掃描報告。	[Reports] — 僅 [Audit Policy Scan Report]
執行稽核報告	執行稽核報告。	[Reports] — 僅 [AuditLog Report] 及 [Usage Report]
執行已稽核的屬性報告	執行「已稽核的屬性報告」。	[Reports] — 僅 [Audited Attribute Report] [Reports] > [View Dashboards]
執行 Auditor 報告	執行任何 Auditor 報告。	[Reports] — 任何 Auditor 報告 [Reports] > [View Dashboards]
執行稽核記錄報告	執行「稽核記錄報告」。	[Reports] — 僅 [AuditLog Report]
執行稽核策略違規歷程記錄	執行「組織違規歷程記錄」報告。	[Reports] — 僅 [AuditPolicy Violation History Report] [Reports] > [View Dashboards]
執行策略摘要報告	執行「策略摘要報告」。	[Reports] — 僅 [Policy Summary Report]
執行組織違規歷程記錄	執行「組織違規歷程記錄」報告。	[Reports] — 僅 [Organization Violation History Report] [Reports] > [View Dashboards]
執行調解報告	執行調解報告。	[Reports] — 僅 [AuditLog Report] 及 [Usage Report]
執行資源報告	執行資源報告。	[Reports] — 僅 [AuditLog Report] 及 [Usage Report]
執行資源違規歷程記錄	執行「資源違規歷程記錄」報告。	[Reports] — 僅 [Resource Violation History Report]
執行風險分析	執行風險分析。	[Reports] — [Run Risk Analysis]、[View Risk Analysis] 子標籤
執行角色報告	執行角色報告。	[Reports] — 僅 [Role Report]
執行作業報告	執行作業報告。	[Reports] — 僅 [Task Report]
執行使用者存取報告	執行「詳細使用者報告」。	[Reports] — 僅 [User Access Report] [Reports] > [View Dashboards]
執行使用者報告	執行使用者報告。	[Reports] — 僅 [User Report]
執行違規摘要報告	執行「違規摘要」報告。	[Reports] — 僅 [Violation Summary Report] [Reports] > [View Dashboards]
安全管理員	建立具有權能的管理員、管理加密金鑰、登入配置和策略。	[Accounts] — [List Accounts] (刪除、建立、更新、編輯、變更及編輯密碼)、[Find Users] 子標籤 (稽核報告) [Passwords] — 所有子標籤 [Tasks] — [Find Tasks]、[All Tasks]、[Run Tasks] 子標籤 [Reports] — 所有子標籤 [Resources] — [List Resources] (列出及控制資源物件)。 [Security] — [Policies]、[Login] 子標籤
責任分離報告管理員	建立、編輯、執行和刪除責任分離報告。	[Report] — 僅限對責任分離報告的所有動作
執行責任分離報告	執行責任分離報告	[Reports] — 僅 [Separation of Duties Report] [Reports] > [View Dashboards]
服務提供者管理員角色	管理服務提供者管理員角色和關聯的規則。	[Security] — [Admin Roles] 標籤
「服務提供者」的管理員	建立、編輯和管理服務提供者使用者和作業事件；配置作業事件資料庫和追蹤的事件。	[Accounts] — [Manage Service Provider Users] 子標籤 [Server Tasks] > [Service Provider Transactions] 標籤 [Reports] > [View Dashboards] 標籤 [Reports] > [Dashboard Configuration] 標籤 [Service Provider] — 所有子標籤
「服務提供者」的建立使用者	為服務提供者 (企業外部網路) 使用者建立使用者帳號。	[Accounts] — [Manage Service Provider Users] 子標籤
「服務提供者」的刪除使用者	刪除服務提供者使用者帳號。	[Accounts] — [Manage Service Provider Users] 子標籤
「服務提供者」的更新使用者	更新服務提供者使用者帳號。	[Accounts] — [Manage Service Provider Users] 子標籤
服務提供者使用者管理員	管理服務提供者 (企業外部網路) 使用者。	[Accounts] > [Manage Service Provider Users] — 所有子標籤
服務提供者檢視使用者	檢視服務提供者 (企業外部網路) 使用者帳號資訊。	[Accounts] — [Manage Service Provider Users] 子標籤
SPML 存取	允許存取 Identity Manager 中的服務佈建標記語言 (SPML) 功能。	[Security] — [Capabilities] 子標籤
作業報告管理員	建立、編輯、刪除和執行作業報告。	[Reports] — 僅 [Task Report]。
取消指定使用者	取消指定並取消連結現有的資源帳號。不包括批次處理作業。	[Accounts] — [List Accounts] (僅 [Unassign])、[Find Users] 子標籤 [Tasks] — 所有子標籤
取消連結使用者	取消連結現有的資源帳號。不包括批次處理作業。	[Accounts] — [List Accounts] (僅 [Unlink])、[Find Users] 子標籤 [Tasks] — 所有子標籤
取消鎖定使用者	解除鎖定現有使用者支援解除鎖定的資源帳號。不包括批次處理作業。	[Accounts] — [List Accounts] (僅 [Unlock])，[Find Users] 子標籤 [Tasks] — [Find Tasks]、[All Tasks]、[Run Tasks] 子標籤
更新使用者	編輯現有使用者和發起使用者更新請求。	[Accounts] — 編輯和更新使用者 [Tasks] — 管理現有作業 (從 [All Tasks] 子標籤)
使用者存取報告管理員	建立、執行、編輯和刪除使用者存取報告	[Reports] — 僅 [User Access Report] [Reports] > [View Dashboards]
使用者帳號管理員	對使用者執行所有作業。	[Accounts] — [List Accounts]、[Find Users]、[Extract to File]、[Load from File]、[Load from Resource] 子標籤。無法指定使用者權能 ([List Accounts] 子標籤上的 [Security] 表單標籤)。 [Tasks] — [Find Tasks]、[All Tasks]、[Run Tasks] 子標籤
使用者報告管理員	建立、編輯、刪除和執行使用者報告。	[Reports] — [Run User Report]。
檢視使用者	檢視個別使用者詳細資訊。	[Accounts] — 從清單選取使用者以檢視個別使用者帳號資訊。不允許執行變更動作。
違規摘要報告管理員	建立、修改、刪除和執行「違規摘要」報告。	[Reports] — 僅 [Violation Summary Report] [Reports] > [View Dashboards]
Waveset 管理員	執行系統範圍的作業，如修改系統配置物件。	[Server Tasks] — 所有子標籤。同步化角色、編輯來源配接器範本，並排程報告。 [Reports] — 所有子標籤 [Resources] — [List Resources] (僅列出，不允許變更動作) [Configure] — [Audit]、[Email Templates]、[Form and Process Mappings] 和 [Servers] 子標籤

瞭解與管理管理員角色

管理員角色可將權能和控制範圍或受管理組織的唯一集合指定給一個或多個管理員。可將多個管理員角色指定給一個管理員。這可讓管理員在一個控制範圍內具有一個權能集，而在另一個控制範圍內具有不同的權能集。

例如，對於指定了某管理員角色的管理員，該管理員角色可授予其建立和編輯屬於該管理員角色所指定受控制組織成員之使用者的權限。然而，指定給該管理員的其他管理員角色僅可授予其在該管理員角色所指定受控制組織中變更使用者密碼的權限。

建議將管理員角色用於授予管理員權限，而非直接將權能和受控制組織指定給使用者。管理員角色允許重複使用權能及範圍或控制配對，並可簡化大量使用者的管理員權限的管理工作。

可以直接或間接 (動態) 將權能或組織 (或二者) 指定給某個管理員角色：

管理員角色規則


備註	可為每個登入介面 (例如，使用者介面或管理員介面) 啟用或停用將管理員角色動態指定給使用者，方法是將系統配置屬性 security.authz.checkDynamicallyAssignedAdminRolesAtLoginTo.logininterface 設定為 true 或 false。所有介面的預設均為 false。

Identity Manager 提供了可用於建立管理員角色規則的範例規則。這些規則位於 Identity Manager 安裝目錄中的 sample/adminRoleRules.xml。表 5-2 提供了規則名稱以及您必須為規則指定的 authType。

使用者管理員角色

Identity Manager 包含內建管理員角色，名為「使用者管理員角色」。依預設，未向其指定權能或受控制組織。您無法將其刪除。此管理員角色在登入時即已指定給所有使用者 (一般使用者和管理員)，而與其登入的介面 (例如使用者介面、管理員介面、主控台介面或 IDE 介面) 無關。

表 5-2 管理員角色範例規則
規則名稱	authType
受控制組織規則	ControlledOrganizationsRule
權能規則	CapabilitiesRule
已為使用者指定管理員角色規則	UserIsAssignedAdminRoleRule


備註	如需有關為服務提供者使用者管理員角色提供之範例規則的資訊，請參閱「服務提供者管理」一章中委託管理。


備註	如需有關為服務提供者使用者建立管理員角色的資訊，請參閱「服務提供者管理」一章中委託管理。

您可以透過管理員介面編輯使用者管理員角色 (選取 [Security]，然後選取 [Admin Roles])。

由於透過此管理員角色靜態指定的任何權能或控制的組織，會指定給所有的使用者，所以建議透過規則來指定權能與控制的組織。這將使不同的使用者有不同的權能 (或沒有權能)，而且指定將根據某些因素 (例如他們的身分、所屬的部門或是否為管理員) 來確定範圍，這些因素可以在規則的上下文中查詢。

使用者管理員角色不停用或替代工作流程中使用的 authorized=true 旗標。當使用者不應存取由工作流程存取的物件時，此旗標依然適用，除非工作流程正在執行。本質上來說，這會讓使用者進入以超級使用者身份執行模式。

然而如果使用者應該要能在工作流程外 (也可能在工作流程內) 存取一個或多個物件，則利用使用者管理員角色動態指定權能和受控制組織的方式，就能讓這些物件有動態、精細的授權機制。

建立和編輯管理員角色

若要建立或編輯管理員角色，必須要為您指定「管理員角色管理員」權能。若要在管理員介面中存取管理員角色，請按一下 [Security]，然後按一下 [Admin Roles] 標籤。[Admin Roles] 清單頁可讓您為 Identity Manager 使用者和服務提供者使用者建立、編輯和刪除管理員角色。

若要編輯現有的管理員角色，請按一下清單中的名稱。按一下 [New] 可建立管理員角色。Identity Manager 會顯示 [Create Admin Role] 選項 (如圖 5-5 所示)。[Create Admin Role] 檢視顯示四個標籤，您可以用來指定一般屬性、權能和新管理員角色的範圍，以及將角色指定給使用者。

[General] 標籤

可使用 [Create Admin Role] 或 [Edit Admin Role] 檢視的 [General] 標籤來指定管理員角色的以下基本特徵：

控制範圍


備註	如需有關建立管理員角色以將存取權限授予服務提供者使用者的資訊，請參閱「服務提供者管理」一章中委託管理。

使用此標籤 (如圖 5-6 所示) 可指定此組織的成員可以管理的組織，或指定可確定該管理員角色之使用者所要管理組織的規則，以及為該管理員角色選取使用者表單。

指定權能

指定給管理員角色的權能決定已指定該管理員角色之使用者的權限。例如，此管理員角色可能被限制於僅為其控制的組織建立使用者。在這種情況下，您可以指定建立使用者權能。

將使用者表單指定給管理員角色

您可將使用者表單指定給管理員角色的成員。使用 [Create Admin Role] 或 [Edit Admin Role] 檢視中的 [Assign To Users] 標籤來指定此指定。

指定管理角色的管理員在建立或編輯使用者 (隸屬該管理角色所控制的組織) 時，將使用這個使用者表單。透過管理員角色指定的使用者表單會置換從管理員所在組織繼承的任何使用者表單。不會置換直接指定給管理員的使用者表單。

如果管理員被指定多個管理員角色，這些角色控制相同的組織但指定了不同的使用者表單，則當其嘗試在該組織中建立或編輯使用者時會顯示錯誤。如果管理員嘗試指定兩個或兩個以上控制相同組織但指定了不同使用者表單的管理員角色，則會顯示錯誤。除非解決衝突，否則無法儲存變更。

管理工作項目

由 Identity Manager 中作業產生的某些工作流程程序可建立動作項目或工作項目。這些工作項目可能是核准請求，或指定給 Identity Manager 帳號的某些其他動作請求。

Identity Manager 將所有工作項目聚集到介面的 [Work Items] 區域中，以使您可以從一個位置檢視和回應所有擱置請求。

工作項目類型

若要檢視每個工作項目類型的擱置工作項目，請按一下功能表列中的 [Work Items] 標籤。您可以存取您的工作項目以透過此標籤管理請求，或選取其中一種工作項目類型以列出對此類型的請求。

處理工作項目請求

若要回應工作項目請求，請按一下介面之 [Work Items] 區域中的一個工作項目類型。從請求清單中選取項目，然後按一下一個可用按鈕以指示您要執行的動作。工作項目選項因工作項目類型而異。

檢視工作項目歷程記錄


備註	如果您是具有擱置工作項目 (或委託工作項目) 的工作項目所有者，則在您登入 Identity Manager 使用者介面時會顯示您的 [Work Items] 清單。

使用 [Work Items] 區域中的 [History] 標籤可檢視先前工作項目動作的結果。圖 5-7 為工作項目歷程記錄檢視範例。

委託工作項目

工作項目所有者可透過將工作項目委託給其他使用者達指定的時間長度，來管理工作負荷量。以下項目可用於委託工作項目：

若要停止委託工作項目，請在 [Delegate Work Items] 頁面中選取 [None]。

帳號核准

將使用者新增至 Identity Manager 系統時，指定為新帳號核准人的管理員必須驗證帳號建立。Identity Manager 支援三個核准種類，並套用至以下 Identity Manager 物件：

設定核准人

為這些種類中的每一種設定核准人是可選作業，但建議執行這個作業。對於已設定核准人的每個種類，帳號的建立至少需要進行一次核准。若一個核准人拒絕核准請求，則帳號不會建立。

您可以將多個核准人指定給每個種類。因為種類中只需要一次核准，您可以設定多個核准人以協助確保工作流程不會延遲或終止。若某個核准人無法使用，則其他核准人可以處理請求。核准僅適用於帳號設定。依預設，帳號更新與刪除不需要核准；然而，您可以自訂此程序，使其需要核准。

Identity Manager 會用一個工作流程圖來說明核准程序及帳號建立請求的狀態。您可以自訂工作流程，方法是使用 Identity Manager IDE 變更核准流程、擷取帳號刪除與擷取更新。

如需有關 IDE、工作流程以及變更核准工作流程之圖示範例的更多資訊，請參閱「Identity Manager Workflows, Forms, and Views」。


備註	您可以將 Identity Manager 配置為數字簽名的核准。如需說明，請參閱配置數位簽署的核准。

圖 5-8 說明了帳號建立工作流程，以及工作流程程序中適合進行核准的位置。

Identity Manager 核准人既可核准也可拒絕核准請求。若要核准使用數位簽名的帳號，您必須先按照配置數位簽署的核准中的說明設定數位簽名。

您可以從 Identity Manager 介面的 [Work Items] 區域檢視擱置核准與管理核准。在 [Work Items] 頁面中，按一下 [My Work Items] 以檢視擱置核准。按一下 [Approvals] 標籤以管理核准。

簽署核准

簽署後續核准

簽署核准之後，後續同意動作僅需輸入金鑰庫密碼並按一下 [Sign]。(Identity Manager 應該會從上一次核准中記住金鑰庫位置。)

配置數位簽署的核准

使用以下資訊與程序來設定數位簽署的核准。本小節討論的主題說明了將憑證和 CRL 增加至 Identity Manager 所需的伺服器端和用戶端簽署核准配置。

簽署核准的伺服器端配置

簽署核准的用戶端配置

先決條件

程序

檢視作業事件簽名

遵循下列步驟來檢視 Identity Manager 稽核記錄報告中的作業事件簽名。

委託核准

如果您具有核准人權能，則可以將未來的核准請求委託給一個或多個使用者 (受委託人) 達指定的時間長度。使用者無需核准人權能即可受委託。

委託功能僅適用於未來的核准請求。現有請求 ([Awaiting Approval] 標籤下列出的請求) 透過轉寄功能進行轉寄。


備註	憑證撤銷清單 (CRL) 為被撤銷或無效的憑證序列號之清單。 CA CRL 的 URL 可以為 http 或 LDAP。每個 CA 具有不同的 URL 來發行 CRL；您可以透過瀏覽 CA 憑證的 CRL 發佈點擴充來確定此位置。


備註	請參閱 http://java.sun.com/j2se/1.4.2/docs/tooldocs/windows/jarsigner.html，以取得更多資訊。Identity Manager 隨附的 ts1.jar 檔案使用自我簽署憑證進行簽署，不應用於生產系統。在生產中，此檔案應該使用可信任憑證發出的編碼簽署憑證來重新簽署。


備註	請記下您在用戶端配置的步驟 101 (密碼) 和 10m (憑證位置) 中使用的資訊。您將需要該資訊來簽署核准。

若要設定委託，請在 [Approvals] 區域中選取 [Delegate My Approvals] 標籤。

如果您具有任何指定的權能，其授予您對工作項目或工作項目的任何 authType 延伸 (包括 Approval、OrganizationApproval、ResourceApproval 以及 RoleApproval)，或者延伸工作項目或其 authType 之一的任何自訂子類型的委託權限，則您可以存取委託功能。

您也可以從 [Create User]/[Edit User]/[View User] 頁面的 [Security] 表單標籤，以及使用者介面主功能表委託核准。

受委託人可以在有效的委託期間代表您核准任何請求。委託的核准請求會包含受委託人的名稱。

請求的稽核記錄項目

如果已委託請求，則已核准和已拒絕之核准請求的稽核記錄項目會包含您 (委託人) 的名稱。當建立或修改使用者時，對使用者委託核准人資訊的變更將記錄在稽核記錄項目的詳細變更區段中。

上一頁目錄索引下一頁
Sun Java™ System Identity Manager 7.0 管理指南

第 5 章 管理

瞭解 Identity Manager 管理

委託管理

建立管理員

篩選管理員檢視

變更管理員密碼

質疑管理員動作

[Edit User Challenge] 選項

[Change User Password and Reset User Password Challenge] 選項

變更認證問題的答案

在管理員介面中自訂管理員名稱顯示

瞭解 Identity Manager 組織

建立組織

指定使用者給組織

金鑰定義與內含項

指定組織控制

瞭解目錄結合與虛擬組織

設定目錄結合

更新虛擬組織

刪除虛擬組織

瞭解與管理權能

權能類別

使用權能

建立權能

編輯權能

儲存並重新命名權能

指定權能

權能階層

帳號管理員

管理員角色管理員

Auditor 管理員

Auditor 報告管理員

批次帳號管理員

批次變更帳號管理員

批次資源密碼管理員

權能管理員

變更帳號管理員

配置憑證

匯入/匯出管理員

授權管理員

登入管理員

中介檢視管理員

組織管理員

密碼管理員 (需要驗證)

策略管理員

調解管理員

Remedy 整合管理員

報告管理員

資源管理員

資源物件管理員

資源密碼管理員

角色管理員

安全管理員

「服務提供者」的管理員

服務提供者管理員角色管理員

使用者帳號管理員

檢視組織

檢視資源

Waveset 管理員

權能定義

瞭解與管理管理員角色

管理員角色規則

使用者管理員角色

建立和編輯管理員角色

[General] 標籤

控制範圍

指定權能

將使用者表單指定給管理員角色

管理工作項目

工作項目類型

處理工作項目請求

檢視工作項目歷程記錄

委託工作項目

帳號核准

設定核准人

簽署核准

簽署後續核准

配置數位簽署的核准

簽署核准的伺服器端配置

簽署核准的用戶端配置

第 5 章
管理