Users Guide

OpenManage Enterprise の範囲ベースのアクセス制御（SBAC）
ロール ベースのアクセス制御（RBAC）機能を使用すると、管理者はユーザーの作成時に役割を割り当てることができます。役割
は、アプライアンス設定およびデバイス管理機能へのアクセス レベルを決定します。範囲ベースのアクセス制御（SBAC）は、管
理者がデバイス マネージャーの役割を範囲と呼ばれるデバイス グループのサブセットに制限できるようにする RBAC 機能の拡張
です。
デバイス マネージャー（DM）ユーザーを作成またはアップデートする際に、管理者は、1 つまたは複数のシステム グループ、カ
スタム グループ、プラグイン グループに DM の操作アクセスを制限するための範囲を割り当てることができます。
管理者とビューアーの役割の範囲には制限はありません。つまり、すべてのデバイスおよびグループ エンティティへの RBAC 権限
によって指定された操作アクセスが可能であることを意味します。
範囲は次のように実装できます。
1. ユーザーの作成または編集
2. DM 役割の割り当て
3. 操作アクセスを制限するための範囲の割り当て
ユーザーの管理の詳細については、OpenManage Enterprise ユーザーの管理 、p. 143 を参照してください。
割り当てられた範囲を持つデバイス マネージャー（DM）ユーザーがログインしている場合、DM はスコープされたデバイスのみ
を表示および管理できます。また、DM は、ジョブ、ファームウェアまたは設定テンプレートやベースライン、アラート ポリシ
ー、プロファイルなど、対象デバイスに関連づけられたエンティティを表示および管理できます（DM はそのエンティティを作成
しているか、そのエンティティの所有権が割り当てられています）。DM が作成できるエンティティの詳細については、
「OpenManage Enteprise
のロール ベースのアクセス制御（ RBAC ） 権 限 」を参照してください。
たとえば、［設定］ > ［テンプレート］の順にクリックすると、DM ユーザーは、デフォルト テンプレートおよび自分が所有する
カスタム テンプレートを表示できます。また、DM ユーザーは、所有するテンプレートに対する RBAC 権限によってその他のタス
クを実行できます。
［設定］ > ［ID プール］をクリックすると、DM ユーザーは、管理者または DM ユーザーによって作成されたすべての ID を確認で
きます。DM は RBAC 権限によって指定されたユーザーに対してアクションを実行することもできます。ただし、DM は、DM の範
囲にあるデバイスに関連づけられている ID の使用のみを表示できます。
同様に、［設定］ > ［VLAN プール］の順にクリックすると、管理者によって作成されたすべての VLAN が表示され、エクスポート
することができます。DM はその他の操作を実行することはできません。DM がテンプレートを所有している場合は、テンプレー
トを編集して VLAN ネットワークを使用できますが、VLAN ネットワークを編集することはできません。
OpenManage Enterprise では、ローカル ユーザーの作成時または AD/LDAP ユーザーのインポート時に、範囲を割り当てることがで
きます。OIDC ユーザーの範囲の割り当ては、Open ID Connect（OIDC）プロバイダーでのみ実行できます。
ローカル ユーザー向け SBAC：
DM の役割を持つローカル ユーザーを作成または編集する際に、管理者は DM の範囲を定義する 1 つまたは複数のデバイス グルー
プを選択できます。
たとえば、（管理者として）「dm1」という名前の DM ユーザーを作成し、カスタム グループの下に存在するグループ g1 を割り当て
ます。その後、dm1 は、g1 内のすべてのデバイスに対してのみ操作アクセス権を持ちます。ユーザー dm1 は、他のデバイスに関連
する他のグループやエンティティにアクセスすることはできません。
さらに、SBAC を使用すると、dm1 は、同じグループ g1 で他の DM（例：dm2）によって作成されたエンティティを表示すること
もできません。つまり、DM ユーザーは、自分が所有するエンティティのみを表示できます。
たとえば、（管理者として）別の DM ユーザー（dm2）を作成し、カスタム グループの下に存在する同じグループ g1 を割り当てま
す。dm2 が g1 でデバイスの設定テンプレート、設定ベースライン、またはプロファイルを作成した場合、dm1 はそれらのエンティ
ティにアクセスできません。その逆も同様です。
すべてのデバイスへの範囲を持つ DM は、DM が所有するすべてのデバイスおよびグループ エンティティに対して RBAC 権限によ
って指定された操作アクセス権を持ちます。
AD/LDAP ユーザー向け SBAC：
管理者は、AD/LDAP グループをインポートまたは編集するときに、DM の役割を持つユーザー グループに範囲を割り当てることが
できます。ユーザーが DM の役割を持つ複数の AD グループのメンバーであり、各 AD グループに個別の範囲が割り当てられてい
る場合、そのユーザーの範囲はこれらの AD グループの範囲の結合になります。
例：
● ユーザー dm1 は、2 つの AD グループ（RR5-Floor1-labadmins および RR5-Floor3-labadmins）のメンバーです。両方の AD グルー
プには DM の役割が割り当てられていて、AD グループの範囲の割り当ては次のようになります。RR5-Floor1-LabAdmins は
ptlab-servers を取得し、RR5-Floor3-LabAdmins は smdlab-servers を取得します。DM dm1 の範囲は、ptlab-servers と smdlab-
servers の結合になります。
146 OpenManage Enterprise アプライアンス設定の管理