使用 Sun Java System Access Manager 管理策略

Sun Java System Access Manager 中的 Instant Messaging 和在线状态服务提供了另一种控制最终用户和管理员权限的方式。每种服务具有三种属性类型：动态、用户和策略。策略属性是用于设置权限的属性类型。

将规则添加到在 Access Manager 中创建的策略后，策略属性将成为规则的一部分，从而可允许或拒绝管理员和最终用户参予各种 Instant Messaging 功能，如接收其他用户的轮询消息。

当 Instant Messaging 服务器与 Sun Java System Access Manager 一起安装时，会创建几个示例策略和角色。有关策略和角色的详细信息，参见 Sun Java System Access Manager Getting Started Guide 和 Sun Java System Access Manager 管理指南。

您可以创建新策略，并根据需要将这些策略分配给角色、组、组织或最终用户，以与您的站点的需求相匹配。

将 Instant Messaging 服务或在线状态服务分配给最终用户后，会同时应用动态属性和用户属性。动态属性可分配给 Access Manager 配置的角色或组织。

将角色分配给最终用户或在组织中创建了最终用户时，动态属性将成为最终用户的特征。用户属性会直接分配给每位最终用户，它们并非继承自角色或组织，并且每位最终用户的属性均有所不同。最终用户登录后，将依据分配给他们的角色和策略应用方式，取得适用他们的所有属性。

将在线状态服务和 Instant Messaging 服务分配给最终用户后，动态、用户或策略属性将与这些最终用户相关联。

Instant Messaging 服务属性

表 17–3 列出每项服务的策略、动态和用户属性。

表 17–3 Instant Messaging 的 Access Manager 属性

服务	策略属性	动态属性	用户属性
sunIM	sunIMAllowChat sunIMAllowChatInvite sunIMAllowForumAccess sunIMAllowForumManage sunIMAllowForumModerate sunIMAllowAlertsAccess sunIMAllowAlertsSend sunIMAllowNewsAccess sunIMAllowNewsManage sunIMAllowFileTransfer sunIMAllowContactListManage sunIMAllowUserSettings sunIMAllowPollingAccess sunIMAllowPollingSend	sunIMProperties sunIMRoster sunIMConferenceRoster sunIMNewsRoster sunIMPrivateSettings	sunIMUserProperties sunIMUserRoster sunIMUserConferenceRoster sunIMUserNewsRoster sunIMUserPrivateSettings
sunPresence	sunPresenceAllowAccess sunPresenceAllowPublish sunPresenceAllowManage	sunPresenceDevices sunPresencePrivacy	sunPresenceEntityDevices sunPresenceUserPrivacy

对于上表中的每个属性，Access Manager 管理控制台中均显示相应的标签。表 17–4 列出并说明策略属性，而表 17–5 列出并说明动态和用户属性。

表 17–4 Instant Messaging 的 Access Manager 策略属性

策略属性	管理控制台标签	属性说明
sunIMAllowChat	聊天的能力	最终用户可以应邀加入聊天室并使用一般聊天功能
sunIMAllowChatInvite	邀请其他人聊天的能力	最终用户可以邀请其他用户聊天
sunIMAllowForumAccess	加入会议室的能力	Instant Messenger 中显示有一个会议选项卡，允许最终用户加入会议室
sunIMAllowForumManage	管理会议室的能力	最终用户可以创建、删除和管理会议室
sunIMAllowForumModerate	主持会议室的能力	最终用户可以成为会议主持人
sunIMAllowAlertsAccess	接收警报的能力	最终用户可以接收其他用户的警报
sunIMAllowAlertsSend	发送警报的能力	最终用户可以向其他用户发送警报
sunIMAllowNewsAccess	阅读新闻的能力	Instant Messenger 中显示有一个“新闻”按钮，最终用户可用它列出新闻频道以便接收和发送新闻消息
sunIMAllowNewsManage	管理新闻频道的能力	最终用户可以管理新闻频道，并可为新闻频道创建、删除和分配权限
sunIMAllowFileTransfer	交换文件的能力	最终用户可以为警报、聊天和新闻消息添加附件
sunIMAllowContactListManage	管理联系人列表的能力	最终用户可以管理自己的联系人列表；可以向列表添加用户或组，也可从中删除用户或组；可以重新命名联系人列表中的文件夹
sunIMAllowUserSettings	管理 Messenger 的能力	Instant Messenger 中显示有一个“设置”按钮，最终用户可用它更改自己的 Instant Messenger 设置
sunIMAllowPollingAccess	接收轮询的能力	最终用户可以接收其他用户发送的轮询消息，并可回应轮询
sunIMAllowPollingSend	发送轮询的能力	Instant Messenger 中显示有一个“轮询”按钮，最终用户可用它向其他人发送轮询消息并接收响应
sunPresenceAllowAccess	访问他人在线状态的能力	最终用户可以查看其他用户的在线状态。联系人列表除显示联系人之外，还通过更改状态图标反映联系人的在线状态变化
sunPresenceAllowPublish	发布在线状态的能力	最终用户可以通过单击选择他们的状态（联机、脱机、忙等），以便其他用户查看
sunPresenceAllowManage	管理在线状态访问的能力	Instant Messenger 设置中显示有一个“访问”选项卡，最终用户可用它设置自己的默认在线状态访问、允许在线状态或拒绝在线状态列表

直接修改属性

最终用户可以登录到 Access Manager 管理控制台，并查看 Instant Messaging 和在线状态服务属性中的属性值。最终用户可以更改已定义为可修改的属性。默认情况下，Instant Messaging 服务中的属性均不可修改，也不建议允许最终用户更改它们。但是，从系统管理的观点来看，直接处理属性非常有用。

例如，由于角色不会影响某些系统属性（如设置会议订阅），因此系统管理员可能需要通过从其他最终用户（如从会议登记表）那里复制属性值来修改这些属性的值，或者直接对其进行修改。这些属性在表 17–5 中列出。

最终用户可通过 Sun Java System Access Manager 管理控制台设置用户属性。动态属性由管理员设置。设置的动态属性值将覆盖对应的用户属性值或与之合并。

对应的动态属性和用户属性特性将影响冲突与补充信息的解决方式。例如，两个来源（动态和用户）的会议订阅会互相补充；因此，订阅将合并。两种属性不会互相覆盖。

表 17–5 Instant Messaging 的 Access Manager 用户和动态属性

管理控制台标签	用户属性	动态属性	属性说明	冲突解决方案
Messenger 设置	sunIMUserProperties	sunIMProperties	包含 Instant Messenger 的所有属性，且对应于基于文件的用户属性存储器中的 user.properties 文件	合并。除非特定的属性具有来自用户和动态属性的值，否则动态属性会进行覆盖。
订阅	sunIMUserRoster	sunIMRoster	包含订阅信息（用户联系人列表登记表）	合并。如果用户和动态属性中均存在 Jabber 标识符，则将采用来自用户属性的昵称，组将会是来自用户和动态属性的所有组的集合，订阅值将会是来自用户和动态值的最大值。
会议订阅	sunIMUserConferenceRoster	sunIMConferenceRoster	包含会议室订阅信息	合并。合并动态和用户订阅，并删除重复的内容。
新闻频道订阅	sunIMUserNewsRoster	sunIMNewsRoster	包含新闻频道订阅信息	合并。合并动态和用户订阅，并删除重复的内容。
在线状态代理	sunPresenceEntityDevices	sunPresenceDevices	本版本中未使用（供将来使用）	使用的是动态信息。
保密性	sunPresenceUserPrivacy	sunPresencePrivacy	对应于 Instant Messenger 中的保密性设置	合并。如果有冲突，则使用动态值。
Instant Messenger 首选项	sunIMUserPrivateSettings	sunIMPrivateSettings	此处存储 Messenger 设置中未存储的保密性首选项	合并。

预定义的 Instant Messaging 和在线状态策略

表 17–6 列出并说明安装 Instant Messaging 服务组件时 Sun Java System Access Manager 中所创建的七个策略和角色示例。您可以根据要为每个用户提供的访问控制，将最终用户添加到不同角色中。

典型站点可能会将“IM 正规用户”角色（接收默认的 Instant Messaging 和在线状态访问的角色）分配给仅使用 Instant Messenger 但没有管理 Instant Messaging 策略责任的最终用户。同一个站点可能会将“IM 管理员”角色（与管理 Instant Messaging 和在线状态服务的能力相关的角色）分配给拥有管理 Instant Messaging 策略完全责任的特定最终用户。表 17–7 列出策略属性中的默认权限分配。如果未选中规则中的操作，则值允许和拒绝将与策略无关，也不会影响该属性。

表 17–6 Sun Java System Access Manager 的默认策略和角色

策略	应用策略的角色	应用策略的服务	策略说明
默认的 Instant Messaging 和在线状态访问	IM 正规用户	sunIM、sunPresence	正规 Instant Messaging 最终用户应具有的默认访问权限。
管理 Instant Messaging 和在线状态服务的能力	IM 管理员	sunIM、sunPresence	Instant Messaging 管理员拥有的访问权限，即对所有 Instant Messaging 功能的访问权限。
管理 Instant Messaging 新闻频道的能力	IM 新闻管理员	sunIM	最终用户可通过创建、删除等操作管理新闻频道。
管理 Instant Messaging 会议室的能力	IM 会议室管理员	sunIM	最终用户可通过创建、删除等操作管理会议室。
更改自己的 Instant Messaging 用户设置的能力	IM 允许用户设置角色	sunIM	最终用户可通过修改 Instant Messenger 的“设置”对话框中的值来编辑设置。
发送 Instant Messaging 警报的能力	IM 允许发送警报角色	sunIM	最终用户可在 Instant Messenger 中发送警报。
查看其他 Instant Messaging 最终用户更改的能力	IM 允许查看更改角色	sunIM	最终用户可以访问其他 Instant Messaging 最终用户的在线状态。

表 17–7 默认策略分配

	策略
属性	默认访问	可管理 Instant Messaging 和在线状态服务	可管理新闻频道	可管理会议室	可更改自身的最终用户设置	可发送警报	可查看其他用户变化
sunIMAllowChat	允许	允许
sunIMAllowChatInvite	允许	允许
sunIMAllowForumAccess	允许	允许		允许
sunIMAllowForum Manage	拒绝	允许		允许
sunIMAllowForum Moderate	拒绝	允许		允许
sunIMAllowAlertsAccess	允许	允许				允许
sunIMAllowAlertsSend	允许	允许				允许
sunIMAllowNewsAccess	允许	允许	允许
sunIMAllowNewsManage	拒绝	允许	允许
sunIMAllowFileTransfer	允许	允许
sunIMAllowContactList Manage	允许	允许
sunIMAllowUserSettings	允许	允许			允许
sunIMAllowPollingAccess	允许	允许
sunIMAllowPollingSend	允许	允许
sunPresenceAllowManage	允许	允许
sunPresenceAllowAccess	允许	允许					允许
sunPresenceAllowPublish	允许	允许

创建新的 Instant Messaging 策略

您可以创建新策略以满足站点的特殊需要。

创建新策略

1. 登录到 Access Manager 管理控制台，即 http://hostname :port/amconsole。

   例如：

   http://imserver.company22.example.com:80/amconsole

2. 选择“身份管理”选项卡。

3. 在导航窗格（方框左下角）的“查看”下拉列表中选择“策略”。

4. 单击“新建”。

   数据窗格（方框右下角）中会显示“新建策略”页。

5. 在“策略类型”中选择“常规”。

6. 在“名称”字段中输入策略说明。

   例如：

   执行 IM 任务的能力。

7. 单击“创建”。

   Access Manager 管理控制台会在导航窗格的策略列表中显示新策略的名称，并打开新策略的“编辑”页。

8. 在“编辑”页中，从“查看”下拉列表中选择“规则”。

   “编辑”页内会显示“规则名称服务资源”面板。

9. 单击“添加”。

   显示“添加规则”页。

10. 选择适用的“服务”。

    您可以选择 Instant Messaging 服务或在线状态服务。

    每种服务均可让您允许或拒绝最终用户执行特定操作。例如，“聊天能力”是 Instant Messaging 服务专用的操作，而“访问他人在线状态的能力”是在线状态服务专用的操作。

11. 在“规则名称”字段中输入规则的说明。

    例如：

    Rule 1

12. 输入相应的“资源名称”。

    输入：

    适用于 Instant Messaging 服务的 IMResource

    或

    适用于在线状态服务的 PresenceResource

13. 选择要应用的操作。

14. 选择各个操作的值。

    您可以选择“允许”或“拒绝”。

15. 单击“创建”。

    建议的规则会显示在该策略保存的规则列表中。

16. 单击“保存”。

    建议的规则会变成一个保存的规则。

17. 如果要为该策略应用任何附加规则，请重复步骤 9 至 16。

将策略分配给角色、组、组织或用户

您可以将策略分配给角色、组、组织或用户。其中包括默认策略或安装 Instant Messaging 后创建的策略。

分配策略

1. 登录到 Access Manager 管理控制台，即 http://hostname :port/amconsole。

   例如：

   http://imserver.company22.example.com:80/amconsole

2. 选择“身份管理”选项卡。

3. 在导航窗格（方框左下角）的“查看”下拉列表中选择“策略”。

4. 单击您想要分配的策略名称旁边的箭头。

   数据窗格（方框右下角）中会显示该策略的“编辑”页。

5. 在“编辑”页中，从“查看”下拉列表中选择“主题”。

6. 单击“添加”。

   显示“添加主题”页，其中会列出可能的主题类型：

   • Access Manager 角色

   • LDAP 组

   • LDAP 角色

   • LDAP 用户

   • 组织

7. 选择与该策略相匹配的主题类型。

   例如“组织”。

8. 单击“下一步”。

9. 在“名称”字段中，输入主题的说明。

10. （可选的）选中“独占”复选框。

    默认设置没有选中“独占”复选框，这意味着策略会应用于该主题的所有成员。

    选中“独占”复选框，将策略应用到非该主题的成员。

11. 在“可用”字段中，搜索您要添加到主题的条目。

    1. 为要搜索的条目输入搜索条件。

       默认搜索条件为 *，可显示该主题类型的所有主题。

    2. 单击“搜索”。

    3. 在“可用”文本框中突出显示打算添加到“选定”文本框中的条目。

    4. 单击适用的“添加”或“全部添加”。

    5. 重复步骤 a 至 d，直到将所有想要的名称添加到“选定”文本框。

12. 单击“创建”。

    建议的主题会显示在该策略建议的主题列表中。

13. 单击“保存”。

    建议的主题会变成一个保存的主题。

14. 如果要为该策略添加任何附加主题，请重复步骤 6 至 13。

使用 Access Manager 创建新的子组织

使用 Sun Java System Access Manager 创建子组织这一能力，可用于在 Instant Messaging 服务器内创建组织性独立的人员。每个子组织可以映射到一个不同的 DNS 域。一个子组织中的最终用户与另一个子组织中的最终用户完全隔离。以下过程说明创建一个新的 Instant Messaging 子组织的最少步骤。

创建新的子组织

1. 登录到 Access Manager 管理控制台，即 http://hostname :port/amconsole。

   例如：

   http://imserver.company22.example.com:80/amconsole

2. 选择“身份管理”选项卡。

3. 创建新组织：

   1. 在导航窗格（方框左下角）的“查看”下拉列表中选择“组织”。

   2. 单击“新建”。

      数据窗格（方框右下角）中会显示“新建组织”页。

   3. 输入一个子组织名称。

      例如：

      sub1

   4. 输入一个域名。

      例如：

      sub1.company22.example.com

   5. 单击“创建”。

4. 为新创建的子组织注册服务：

   1. 在导航窗格中单击新的子组织的名称。

      例如，单击 sub1。请确保单击名称，而不是右边的属性箭头。

   2. 在导航窗格的“查看”下拉列表中选择“服务”。

   3. 单击“注册”。

      数据窗格中会显示“注册服务”页。

   4. 在“验证”标题下选择下列服务：

      • 核心

      • LDAP

   5. 在“Instant Messaging 配置”标题下选择以下服务：

      • Instant Messaging 服务

      • 在线状态服务

   6. 单击“注册”。

      导航窗格中会显示为此子组织新选择的服务。

5. 为新选择的服务创建服务模板：

   1. 在导航窗格中，单击服务的属性箭头（从“核心”服务开始）。

      创建服务模板页显示在数据窗格中。

   2. 在数据窗格中，单击“创建”。

      页面会显示您选择显示的服务的模板选项列表。

      即使您不想修改模板选项，也应该针对每项服务单击“创建”。

   3. 按下列所述修改每项服务的服务模板选项：

      • 核心： 通常无需修改任何选项。

      • LDAP：将新子组织的前缀添加到开始用户搜索的 DN 字段。

        添加前缀后，最终的 DN 应为以下格式：

        o=sub1,dc=company22,dc=example,dc=com

        在 超级用户绑定密码和超级用户绑定密码（确认）字段中输入 LDAP 密码。

      • Instant Messaging 服务： 通常无需修改任何选项。

   4. 单击“保存”。

   5. 重复步骤 a 至 d，直到为各个服务创建服务模板。

将角色分配给新子组织中的最终用户

在子组织中创建新的最终用户后，需要为他们分配角色。可从父组织继承角色。

将角色分配给新子组织中的最终用户

1. 登录到 Access Manager 管理控制台，即 http://hostname :port/amconsole。

   例如：

   http://imserver.company22.example.com:80/amconsole

2. 选择“身份管理”选项卡。

3. 在导航窗格（方框左下角）的“查看”下拉列表中选择“角色”。

4. 单击您想要分配的角色右边的属性箭头。

   数据窗格（方框右下角）中会显示该角色的页面。

5. 在数据窗格的“查看”下拉列表中选择“用户”。

6. 单击“添加”。

   显示“添加用户”页。

7. 输入用于标识用户的匹配模式。

   例如，在 UserId 字段中输入星号 * 将列出所有用户。

8. 单击“过滤器”。

   显示“选择用户”页。

9. 在“选择用户”页中，选中“显示父级路径”复选框并单击“刷新”。

   显示父级路径。

10. 选择要分配给此角色的用户。

11. 单击“提交”。