Users Guide

SBAC für lokale Nutzer:
Beim Erstellen oder Bearbeiten eines lokalen Nutzers mit DM-Rolle kann der Administrator eine oder mehrere Gerätegruppen auswählen,
die den Bereich für den DM definieren.
Sie können z. B. (als Administrator) einen DM-Nutzer mit dem Namen DM1 erstellen und die Gruppe G1 in nutzerdefinierten Gruppen
zuweisen. Dann hat DM1 nur betrieblichen Zugriff auf alle Geräte in G1. Der Nutzer DM1 kann nicht auf andere Gruppen oder Einheiten
zugreifen, die mit anderen Geräten in Verbindung stehen.
Außerdem kann DM1 mit SBAC die Einheiten, die von anderen DMs (z. B. DM2) erstellt wurden, nicht in der gleichen Gruppe G1 sehen.
Das bedeutet, dass ein DM-Nutzer nur die Einheiten sehen kann, die im Besitz des Nutzers sind.
Sie können z. B. (als Administrator) einen anderen DM-Nutzer mit dem Namen DM2 erstellen und die gleiche Gruppe G1 in
nutzerdefinierten Gruppen zuweisen. Wenn DM2 Konfigurationsvorlagen, Konfigurations-Baselines oder Profile für die Geräte in G1
erstellt, hat DM1 keinen Zugriff auf diese Einheiten und umgekehrt.
Ein DM mit Bereich für alle Geräte hat betrieblichen Zugriff, wie durch RBAC-Berechtigungen für alle Geräte- und Gruppeneinheiten im
Besitz des DM festgelegt.
SBAC für AD/LDAP-Nutzer:
Beim Importieren oder Bearbeiten von AD/LDAP-Gruppen können Administratoren Bereiche zu Nutzergruppen mit DM-Rolle zuweisen.
Wenn ein Nutzer Mitglied mehrerer AD-Gruppen ist, von denen jede eine DM-Rolle hat, und jede AD-Gruppe verschiedene
Bereichszuweisungen hat, ist der Bereich des Nutzers die Vereinigung der Bereiche dieser AD-Gruppen.
Beispiel:
● Nutzer DM1 ist Mitglied von zwei AD-Gruppen (RR5-Floor1-LabAdmins und RR5-Floor3-LabAdmins). Beiden AD-Gruppen wurde
die DM-Rolle zugewiesen, wobei die Bereichszuweisungen für die AD-Gruppen wie folgt lauten: RR5-Floor1-LabAdmins erhält ptlab-
Server und RR5-Floor3-LabAdmins erhält smdlab-Server. Der Bereich des DM DM1 ist nun die Verbindung von ptlab-Servern und
smdlab-Servern.
● Nutzer DM1 ist Mitglied von zwei AD-Gruppen (adg1 und adg2). Beiden AD-Gruppen wurde die DM-Rolle zugewiesen, wobei die
Bereichszuweisungen für die AD-Gruppen wie folgt erfüllt sind: adg1 erhält Zugriff auf g1 und adg2 erhält Zugriff auf g2. Wenn
g1 die übergeordnete Menge von g2 ist, ist der Bereich von DM1 der größere Bereich (g1, alle untergeordneten Gruppen und alle
untergeordneten Geräte).
Wenn ein Nutzer Mitglied mehrerer AD-Gruppen ist, die über unterschiedliche Rollen verfügen, hat die Rolle mit der höheren Funktionalität
Vorrang (in der Reihenfolge Administrator, DM, Viewer).
Ein DM mit uneingeschränktem Bereich hat betrieblichen Zugriff, wie durch RBAC-Berechtigungen für alle Geräte- und Gruppeneinheiten
angegeben.
ANMERKUNG:
Nach dem Upgrade von OpenManage Enterprise von den Versionen 3.5 oder früher müssen die Geräte-Manager
AD/LDAP und OIDC (PingFederate oder KeyCloak) alle Vorgängerversionen neu erstellen, da diese Einheiten nur dem Administrator
nach dem Upgrade zur Verfügung stehen. Weitere Informationen finden Sie in den Versionshinweisen unter https://www.dell.com/
support/home/en-yu/product-support/product/dell-openmanage-enterprise/docs.
ANMERKUNG: Nach dem Upgrade von OpenManage Enterprise von den Versionen 3.5 oder früher müssen die Geräte-Manager
AD/LDAP und OIDC (PingFederate oder KeyCloak) alle Vorgängerversionen neu erstellen, da diese Einheiten nur dem Administrator
nach dem Upgrade zur Verfügung stehen. Weitere Informationen finden Sie in den Versionshinweisen unter https://www.dell.com/
support/home/en-yu/product-support/product/dell-openmanage-enterprise/docs.
SBAC für OIDC-Nutzer:
Die Bereichszuweisung für OIDC-Nutzer erfolgt nicht innerhalb der OME-Konsole. Sie können für OIDC-Nutzer in einem OIDC-Anbieter
während der Nutzerkonfiguration Bereiche zuweisen. Wenn der Nutzer sich mit den Anmeldeinformationen für den OIDC-Anbieter
anmeldet, ist die Rollen- und Bereichszuweisung für OME verfügbar. Weitere Informationen zum Konfigurieren von Nutzerrollen
und Bereichen finden Sie im Abschnitt Konfigurieren einer OpenID Connect Provider Policy in PingFederate für eine Rolle im
Benutzerhandbuch für OpenManage Enterprise.
Eigentumsübertragung: Der Administrator kann die Eigentümerressourcen von einem Device Manager (Quelle) zu einem anderen
Device Manager übertragen. Ein Administrator kann z. B. alle zugewiesenen Ressourcen von einem Quell-DM1 auf DM2 übertragen. Ein
Geräte-Manager mit eigenen Einheiten, z. B. Firmware- und/oder Konfigurations-Baselines, Konfigurationsvorlagen, Warnungsrichtlinien
und Profilen, wird als berechtigter Quellnutzer betrachtet. Mit der Eigentumsübertragung werden nur die Einheiten und nicht die
Gerätegruppen (Bereich), die Eigentum eines Geräte-Managers sind, übertragen. Weitere Informationen finden Sie im Abschnitt
Übertragung der Inhaberschaft bei Device Manager-Einheiten im Benutzerhandbuch für OpenManage Enterprise.
Kompatibilitätsmatrix
15