Users Guide

Cuando crea o edita un usuario local con la función de DM, el administrador puede seleccionar uno o más grupos de dispositivos que
definen el alcance del DM.
Por ejemplo, usted (como administrador) crea un DM llamado dm1 y asigna el grupo g1 presente en grupos personalizados. Entonces, dm1
solo tendrá acceso operativo a todos los dispositivos en g1. El usuario dm1 no podrá acceder a ningún otro grupo o entidad relacionada con
otros dispositivos.
Además, con SBAC, dm1 tampoco podrá ver las entidades que cree otro DM (por ejemplo, dm2) en el mismo grupo g1. Esto significa que
un DM solo podrá ver las entidades que le pertenecen a su usuario.
Por ejemplo, usted (como administrador) crea otro DM llamado dm2 y asigna el mismo grupo g1 presente en grupos personalizados. Si
dm2 crea una plantilla de configuración, líneas de base de configuración o perfiles para los dispositivos en g1, el dm1 no tendrá acceso a
esas entidades, y viceversa.
Un DM con el alcance Todos los dispositivos tiene acceso operativo según lo especificado en los privilegios de RBAC para todos los
dispositivos y las entidades de grupo que le pertenecen al DM.
SBAC para usuarios de AD/LDAP:
Durante la importación o edición de grupos de AD/LDAP, los administradores pueden asignar alcances para grupos de usuarios con la
función de DM. Si un usuario es miembro de varios grupos de AD, cada uno con una función de DM, y cada grupo de AD tiene distintas
asignaciones de alcance, el alcance del usuario es la combinación de los alcances de esos grupos de AD.
Por ejemplo,
● El usuario dm1 es miembro de dos grupos de AD (RR5-Floor1-LabAdmins y RR5-Floor3-LabAdmins). Ambos grupos de AD tienen
asignada la función de DM, y las asignaciones de alcance para los grupos de AD son las siguientes: RR5-Floor1-LabAdmins obtiene
ptlab-servers y RR5-Floor3-LabAdmins obtiene smdlab-servers. Ahora, el alcance del DM dm1 es la combinación de ptlab-servers y
smdlab-servers.
● El usuario dm1 es miembro de dos grupos de AD (adg1 y adg2). Ambos grupos de AD tienen asignada la función de DM, con
asignaciones de alcance para los grupos de AD como se indica a continuación: adg1 recibe acceso a g1 y adg2 recibe acceso a g2. Si g1
es el supraconjunto de g2, el alcance de dm1 es el alcance mayor (g1, todos sus grupos secundarios y todos los dispositivos inferiores).
Cuando un usuario es miembro de varios grupos de AD que tienen diferentes funciones, la de mayor funcionalidad tiene prioridad (en el
orden Administrador, DM, Lector).
Un DM con acceso sin restricciones tiene acceso operativo según lo especificado en los privilegios de RBAC a todas las entidades de
dispositivos y grupos.
NOTA:
Después de actualizar OpenManage Enterprise desde la versión 3.5 o una anterior, los administradores de dispositivos AD/
LDAP y OIDC (PingFederate o KeyCloak) deben volver a crear todas las entidades de la versión anterior, ya que estas entidades solo
están disponibles para los administradores después de la actualización. Para obtener más información, consulte las notas de la versión
en https://www.dell.com/support/home/en-yu/product-support/product/dell-openmanage-enterprise/docs.
NOTA: Después de actualizar OpenManage Enterprise desde la versión 3.5 o una anterior, los administradores de dispositivos AD/
LDAP y OIDC (PingFederate o KeyCloak) deben volver a crear todas las entidades de la versión anterior, ya que estas entidades solo
están disponibles para los administradores después de la actualización. Para obtener más información, consulte las notas de la versión
en https://www.dell.com/support/home/en-yu/product-support/product/dell-openmanage-enterprise/docs.
SBAC para usuarios de OIDC:
La asignación de alcance para usuarios de OIDC no se realiza en la consola de OME. Puede asignar alcances para usuarios de OIDC en
un proveedor de OIDC durante la configuración de usuario. Cuando el usuario inicie sesión con las credenciales del proveedor de OIDC, la
asignación de la función y el alcance estará disponible para OME. Para obtener más información acerca de la configuración de funciones
y alcances de usuario, consulte la sección Configurar una política de proveedor de OpenID Connect en PingFederate para funciones en la
Guía del usuario de OpenManage Enterprise.
Transferir propiedad: El administrador puede transferir recursos de a un administrador de dispositivos (fuente) a otro administrador de
dispositivos. Por ejemplo, un administrador puede transferir todos los recursos asignados del dm1 de fuente al dm2. Un administrador de
dispositivos que sea propietario de entidades, como líneas de base de firmware o configuración, plantillas de configuración, políticas de
alerta y perfiles, se considera un usuario de fuente elegible. La transferencia de propiedad se realiza solo con las entidades y no los grupos
de dispositivos (alcance) que son propiedad de un administrador de dispositivos a otro. Para obtener más información, consulte la sección
Transferencia de propiedad de entidades del administrador de dispositivos en la Guía del usuario de OpenManage Enterprise.
Matriz de compatibilidad
15