Users Guide

Sie können z. B. (als Administrator) einen DM-Nutzer mit dem Namen DM1 erstellen und die Gruppe G1 in nutzerdefinierten Gruppen
zuweisen. Dann hat DM1 nur betrieblichen Zugriff auf alle Geräte in G1. Der Nutzer DM1 kann nicht auf andere Gruppen oder Einheiten
zugreifen, die mit anderen Geräten in Verbindung stehen.
Außerdem kann DM1 mit SBAC die Einheiten, die von anderen DMs (z. B. DM2) erstellt wurden, nicht in der gleichen Gruppe G1 sehen.
Das bedeutet, dass ein DM-Nutzer nur die Einheiten sehen kann, die im Besitz des Nutzers sind.
Sie können z. B. (als Administrator) einen anderen DM-Nutzer mit dem Namen DM2 erstellen und die gleiche Gruppe G1 in
nutzerdefinierten Gruppen zuweisen. Wenn DM2 Konfigurationsvorlagen, Konfigurations-Baselines oder Profile für die Geräte in G1
erstellt, hat DM1 keinen Zugriff auf diese Einheiten und umgekehrt.
Ein DM mit Bereich für alle Geräte hat betrieblichen Zugriff, wie durch RBAC-Berechtigungen für alle Geräte- und Gruppeneinheiten im
Besitz des DM festgelegt.
SBAC für AD/LDAP-Nutzer:
Beim Importieren oder Bearbeiten von AD/LDAP-Gruppen können Administratoren Bereiche zu Nutzergruppen mit DM-Rolle zuweisen.
Wenn ein Nutzer Mitglied mehrerer AD-Gruppen ist, von denen jede eine DM-Rolle hat, und jede AD-Gruppe verschiedene
Bereichszuweisungen hat, ist der Bereich des Nutzers die Vereinigung der Bereiche dieser AD-Gruppen.
Beispiel:
● Nutzer DM1 ist Mitglied von zwei AD-Gruppen (RR5-Floor1-LabAdmins und RR5-Floor3-LabAdmins). Beiden AD-Gruppen wurde
die DM-Rolle zugewiesen, wobei die Bereichszuweisungen für die AD-Gruppen wie folgt lauten: RR5-Floor1-LabAdmins erhält ptlab-
Server und RR5-Floor3-LabAdmins erhält smdlab-Server. Der Bereich des DM DM1 ist nun die Verbindung von ptlab-Servern und
smdlab-Servern.
● Nutzer DM1 ist Mitglied von zwei AD-Gruppen (adg1 und adg2). Beiden AD-Gruppen wurde die DM-Rolle zugewiesen, wobei die
Bereichszuweisungen für die AD-Gruppen wie folgt erfüllt sind: adg1 erhält Zugriff auf g1 und adg2 erhält Zugriff auf g2. Wenn
g1 die übergeordnete Menge von g2 ist, ist der Bereich von DM1 der größere Bereich (g1, alle untergeordneten Gruppen und alle
untergeordneten Geräte).
Wenn ein Nutzer Mitglied mehrerer AD-Gruppen ist, die über unterschiedliche Rollen verfügen, hat die Rolle mit der höheren Funktionalität
Vorrang (in der Reihenfolge Administrator, DM, Viewer).
Ein DM mit uneingeschränktem Bereich hat betrieblichen Zugriff, wie durch RBAC-Berechtigungen für alle Geräte- und Gruppeneinheiten
angegeben.
ANMERKUNG:
Nach dem Upgrade von OpenManage Enterprise auf Version 3.6.x müssen die Geräte-Manager von AD/LDAP
und OIDC (PingFederate oder KeyCloack) alle Vorgängerversionen neu erstellen, da diese Entitäten nach dem Upgrade nur
dem Administrator zur Verfügung stehen. Weitere Informationen finden Sie in den Versionshinweisen unter https://www.dell.com/
support/home/en-yu/product-support/product/dell-openmanage-enterprise/docs.
SBAC für OIDC-Nutzer:
Die Bereichszuweisung für OIDC-Nutzer erfolgt nicht innerhalb der OME-Konsole. Sie können für OIDC-Nutzer in einem OIDC-Anbieter
während der Nutzerkonfiguration Bereiche zuweisen. Wenn der Nutzer sich mit den Anmeldeinformationen für den OIDC-Anbieter
anmeldet, ist die Rollen- und Bereichszuweisung für OME verfügbar. Weitere Informationen zum Verwalten von Nutzerrollen und
Bereichen finden Sie unter Konfigurieren Sie eine OpenID Connect-Anbieterrichtlinie in PingFederate für den rollenbasierten Zugriff auf
OpenManage Enterprise auf Seite 161.
ANMERKUNG:
Wenn PingFederate als OIDC-Anbieter verwendet wird, können nur Administratorrollen verwendet werden. Weitere
Informationen finden Sie unter Konfigurieren Sie eine OpenID Connect-Anbieterrichtlinie in PingFederate für den rollenbasierten
Zugriff auf OpenManage Enterprise auf Seite 161 und in den Versionshinweisen unter https://www.dell.com/support/home/en-yu/
product-support/product/dell-openmanage-enterprise/docs.
Eigentumsübertragung: Der Administrator kann die Eigentümerressourcen von einem Device Manager (Quelle) zu einem anderen
Device Manager übertragen. Ein Administrator kann z. B. alle zugewiesenen Ressourcen von einem Quell-DM1 auf DM2 übertragen. Ein
Geräte-Manager mit eigenen Einheiten, z. B. Firmware- und/oder Konfigurations-Baselines, Konfigurationsvorlagen, Warnungsrichtlinien
und Profilen, wird als berechtigter Quellnutzer betrachtet. Mit der Eigentumsübertragung werden nur die Einheiten und nicht
die Gerätegruppen (Bereich), die Eigentum eines Geräte-Managers sind, übertragen. Weitere Informationen finden Sie unter
Eigentumsübertragung von Geräte-Manager-Einheiten auf Seite 155.
Verwandte Verweise
OpenManage Enterprise-Nutzerrollentypen auf Seite 15
Zugehörige Tasks
Installieren von OpenManage Enterprise auf Seite 20
Sicherheitsfunktionen in OpenManage Enterprise
19