Users Guide

可以按如下所示实施范围：
1. 创建或编辑用户
2. 分配 DM 角色
3. 分配范围以限制操作访问权限
当具有所分配范围的设备管理者 (DM) 用户登录时，DM 只能查看和管理范围内设备。此外，仅当 DM 拥有实体（DM 创建了该实体
或分配有该实体的所有权）时，DM 才能查看和管理作业、固件或配置模板和基线、警报策略、配置文件等与范围内设备关联的实
体。有关 DM 可以创建的实体的更多信息，请参阅 OpenManage Enterprise
中基于角色的访问控制 (RBAC) 权限 。
在 OpenManage Enterprise 中，可以在创建本地用户或导入 AD/LDAP 用户时分配范围。只能在 Open ID Connect (OIDC) 提供程序上
完成 OIDC 用户的范围分配。
本地用户的 SBAC：
在创建或编辑具有 DM 角色的本地用户时，管理员可以选择一个或多个定义 DM 范围的设备组。
例如，您（以管理员身份）创建名为 dm1 的 DM 用户并分配自定义组下的组 g1。那么，dm1 将仅拥有 g1 中的所有设备的操作访问权
限。用户 dm1 将无法访问与任何其他设备相关的任何其他组或实体。
此外，借助 SBAC，dm1 也将无法查看其他 DM（假设 dm2）在同一个组 g1 中创建的实体。这意味着 DM 用户将只能查看用户拥有
的实体。
例如，您（以管理员身份）创建另一个名为 dm2 的 DM 用户并分配自定义组下的相同组 g1。如果 dm2 为 g1 中的设备创建配置模
板、配置基线或配置文件，则 dm1 将无权访问这些实体，反之亦然。
范围为“所有设备”的 DM 对 DM 拥有的所有设备和组实体具有 RBAC 权限指定的操作访问权限。
AD/LDAP 用户的 SBAC：
在导入或编辑 AD/LDAP 组时，管理员可以将范围分配给具有 DM 角色的用户组。如果用户是多个 AD 组（每个都有一个 DM 角色）
的成员，并且每个 AD 组都具有不同的范围分配，则用户的范围是这些 AD 组的范围并集。
例如，
● 用户 dm1 是两个 AD 组（RR5-Floor1-LabAdmins 和 RR5-Floor3-LabAdmins）的成员。两个 AD 组都分配有 DM 角色，并且 AD 组
的范围分配如下：RR5-Floor1-LabAdmins 获得 ptlab-servers，而 RR5-Floor3-LabAdmins 获得 smdlab-servers。现在，DM dm1 的
范围是 ptlab-servers 和 smdlab-servers 的并集。
● 用户 dm1 是两个 AD 组（adg1 和 adg2）的成员。两个 AD 组均分配有 DM 角色，其中 AD 组的范围分配如下： adg1 具有 g1 的访
问权限，而 adg2 具有 g2 的访问权限。如果 g1 是 g2 的超集，则 dm1 的范围是较大的范围（g1、其所有子组和所有叶设备）。
如果用户是具有不同角色的多个 AD 组的成员，则功能更高的角色优先（按管理员、DM、查看者的顺序）。
具有无限范围的 DM 对所有设备和组实体具有 RBAC 权限指定的操作访问权限。
注: 将 OpenManage Enterprise 从版本 3.5 或更低版本升级后，AD/LDAP 和 OIDC（PingFederate 或 KeyCloak）设备管理者需要
重新创建所有先前版本的实体，因为在升级后这些实体仅可供管理员使用。有关更多信息，请参阅发行说明，网址为 https://
www.dell.com/support/home/en-yu/product-support/product/dell-openmanage-enterprise/docs。
注: 将 OpenManage Enterprise 从版本 3.5 或更低版本升级后，AD/LDAP 和 OIDC（PingFederate 或 KeyCloak）设备管理者需要
重新创建所有先前版本的实体，因为在升级后这些实体仅可供管理员使用。有关更多信息，请参阅发行说明，网址为 https://
www.dell.com/support/home/en-yu/product-support/product/dell-openmanage-enterprise/docs。
OIDC 用户的 SBAC：
在 OME 控制台内不会进行 OIDC 用户的范围分配。在用户配置过程中，您可以在 OIDC 提供程序中为 OIDC 用户分配范围。当用户
使用 OIDC 提供程序凭据登录时，角色和范围分配将可用于 OME。有关配置用户角色和范围的更多信息，请参阅《OpenManage
Enterprise 用户指南》中的 在 PingFederate 中为角色配置 OpenID Connect 提供程序策略 部分。
转移所有权：管理员可以将拥有的资源从一个设备管理者（源）转移给另一个设备管理者。例如，管理员可以将分配的资源从源 dm1
转移给 dm2。具有所拥有实体（如固件和/或配置基线、配置模板、警报策略和配置文件）的设备管理者被视为合格源用户。“所有
权转移”仅将实体而不是设备管理者拥有的设备组（范围）转移给另一个设备管理者。有关详细信息，请参阅《OpenManage
Enterprise 用户指南》中的 设备管理者实体的所有权转移 部分。
14 兼容性表